증빙이 없으면 비용도 없습니다.

성과 기반 모델에는 결과에 대한 공동의 정의가 필요합니다. 예를 들어 정해진 조건에서 합의된 권한 경계가 지켜지지 않음을 구체적으로 입증하는 방식이 가능합니다. 어떤 영향, 어떤 심각도, 어떤 재현성이면 충분한지는 시작 전에 결정합니다. 알려진 발견 사항과 이미 수용된 위험도 함께 분류합니다. 이를 통해 양측 모두 이후의 증빙이 합의된 목표에 해당하는지, 아니면 단순히 추가적인 관찰 사항인지를 알 수 있습니다.

고정 비용은 이렇게 서면으로 정의된 결과와 합의된 테스트 범위를 기준으로 합니다. 이 틀 안에서 필요한 증빙을 제시하지 못하면 성과 기반 모의해킹 보수는 발생하지 않습니다. 범위를 벗어난 발견 사항은 자동으로 지급 청구권을 발생시키지 않습니다. 추가 분석, 시정 조치, 재테스트는 별도의 명시적 합의를 통해서만 발주됩니다. 이 모델은 모든 기술적 이상 징후가 곧 성과라는 막연한 기대가 아니라 명확한 경제적 근거를 만드는 것을 목표로 합니다.

시작 전에 대상 시스템, 허용된 출발점, 테스트 계정, 기간을 확정합니다. 제3자 시스템이나 플랫폼에 대한 권리는 사전에 명확히 해야 합니다. 담당자, 신고 경로, 중단 조건도 함께 합의합니다. 결과 입증에 대한 유인은 이러한 규칙을 전혀 바꾸지 않습니다. 정의된 목표를 달성하기 위해서라는 이유만으로 테스트를 임의로 다른 시스템까지 확대하거나 승인되지 않은 방법으로 계속 진행해서는 안 됩니다.

증빙은 평가에 필요한 범위로 제한됩니다. 준비된 테스트 데이터로 영향을 보여줄 수 있는 경우에는 다른 고객의 데이터를 사용할 필요가 없습니다. 민감한 결과는 협의된 경로를 통해 권한이 있는 담당자와만 공유합니다. 평가를 둘러싼 이견에 대비해 사전에 공동 검토 절차를 합의합니다. 이를 통해 결과 판정은 기준과 문서를 근거로 이루어지며, 마지막에 가서야 발견 사항의 의미에 대한 서로 다른 견해를 조율할 필요가 없어집니다.

Result as a Service는 명확하게 범위를 정하고 입증할 수 있는 목표에 적합합니다. 여기에는 SaaS, API, 레거시 소프트웨어, 고객이 책임지는 인프라에서의 구체적인 질문이 포함될 수 있습니다. AI 애플리케이션의 경우 출력 결과가 달라지고 여러 구성 요소가 관여하므로 특히 정밀한 증빙 기준이 필요합니다. 따라서 이 모델이 귀사의 프로젝트에 적합한지는 계약 전에 검토합니다. 일반적인 현황 조사, 전체 감사 범위, 단일한 성과 기반 테스트 목표는 서로 다른 서비스입니다.

합의된 증빙 없이 끝난 테스트가 시스템에 취약점이 전혀 없다는 뜻은 아닙니다. 이 판단은 범위, 시점, 기간에 한정됩니다. 성공적인 증빙 역시 우선은 시정 조치의 출발점일 뿐입니다. 기술 문서는 귀사의 팀이 원인과 영향을 이해하고 수정 계획을 세울 수 있도록 돕기 위한 것입니다. 이어지는 재테스트는 새로운 버전에서 해당 취약점이 실제로 해결되었는지를 목표에 맞춰 확인할 수 있으며, 그 범위는 별도로 정합니다.