보안 점검 보고서

템플릿 소개

어떤 자리에 쓰는 자료인가

정기 보안 점검을 한 차례 끝내고 그 결과를 보고할 때 쓰는 16장 구성입니다. 분기 취약점 점검 결과 공유, 외부 모의해킹 결과 브리핑, 인증 심사 전 사전 점검 보고처럼 무엇을 점검했고 무엇이 나왔으며 언제까지 무엇을 고치는가를 정리해야 하는 자리에 맞습니다. 실시간 침해 대응 상황 공유나 사고 조사 결과 보고는 시간 순 기록이 필요해 성격이 다르므로 별도 문서로 만드는 편이 낫습니다.

차례 여덟 줄이 그대로 점검 보고 순서입니다

표지, 목차, 간지와 본문 다섯 쌍, 비교 슬라이드, 지표 카드, 추이 막대, 마무리 순서로 이어집니다. 2장 목차는 점검 대상과 방법, 등급별 집계, 모의 침투 결과, 조치 담당과 기한, 재점검과 예방, 발견 사항과 조치 결과, 핵심 지표, 추이 분석 여덟 항목이고, 여덟 줄 모두 뒤에 슬라이드가 있습니다. 앞의 다섯 줄은 SECTION 01~05 간지와 본문 한 쌍씩(3·4장, 5·6장, 7·8장, 9·10장, 11·12장)을 쓰고, 06 발견 사항과 조치 결과는 13장 좌우 비교, 07 핵심 지표는 14장 카드, 08 추이 분석은 15장 막대가 받습니다. 이름만 있고 화면이 없는 항목은 없으니, 낱말을 사내 점검 보고 용어로 바꾸는 일부터 하면 됩니다. 이때 간지·본문·차례 세 곳의 문구를 같이 고쳐야 합니다.

1. 표지에 점검 대상 범위와 수행 기간을 넣습니다. 예: 2026년 상반기 정기 보안 점검 — 대외 서비스 18종, 5월 6일부터 5월 24일까지.
2. 차례의 낱말을 사내 용어로 바꿉니다. 예: 01 점검 개요와 범위 · 02 취약점 현황 · 03 침해 시나리오 · 04 조치 계획 · 05 재점검 일정 · 06 조치 전후 비교.
3. 간지 다섯 장(SECTION 01~05)과 짝이 되는 본문 다섯 장의 제목을 차례와 같은 문구로 맞춥니다. 본문 제목은 간지 제목과 같은 낱말로 한 번 더 들어가 있어 한쪽만 고치면 곧바로 어긋납니다.
4. 본문은 소제목 한 줄에 항목 세 줄입니다. 항목마다 등급, 대상 시스템, 조치 기한이 보이게 씁니다. 4장 “대외 서비스 18종 전수 점검”, 6장 “치명 2건 높음 9건 보통 27건”, 10장 “치명 등급은 72시간 안에 패치”가 그 형식을 보여 줍니다.

발견 사항 쓰는 예

• 예: High — 주문 조회 API 파라미터에 SQL 구문 삽입 가능. 운영 반영은 3월 20일, 임시 조치로 입력값 검증 규칙 우선 적용.
• 예: Medium — 관리자 콘솔 세션 만료 미설정. 30분 유휴 시 자동 종료로 변경, 3월 27일.
• 예: Low — 퇴사자 계정 7개 잔존. 즉시 비활성화 완료, 인사 시스템 연동 자동 회수는 4월 적용 예정.

비교 슬라이드는 점검 전후입니다

13장은 왼쪽 점검에서 발견에 관리자 계정 2단계 인증 미적용 · 외부 노출 포트 7개 · 미패치 취약점 38건, 오른쪽 조치 결과에 전 관리자 계정 2단계 인증 적용 · 노출 포트 2개로 축소 · 치명·높음 11건 우선 패치가 마주 보게 들어 있습니다. 지난 점검과 이번 점검의 대비가 아니라 이번 점검 안에서 발견과 조치를 짝지은 구조이니, 세 줄을 고칠 때도 왼쪽 한 줄에 오른쪽 한 줄이 대응하도록 유지하십시오. 왼쪽의 미패치 취약점 38건은 14장 카드의 발견 취약점 38건과 같은 값이라, 한쪽만 바꾸면 그 자리에서 지적을 받습니다.

지표와 추이 슬라이드 바꾸기

14장 지표 카드 네 칸에는 발견 취약점 38건, 치명 등급 2건, 긴급 조치 72시간, 점검 대상 18종이 들어 있어 이미 점검 보고용 항목입니다. 발견 취약점 38건은 13장 왼쪽, 치명 2건은 6장 등급별 집계, 72시간은 10장 조치 기한, 점검 대상 18종은 4장 점검 범위에서 각각 다시 나오는 값이니 네 칸 모두 앞 슬라이드와 함께 고쳐야 합니다. 조치 완료율을 한 칸 더 넣고 싶다면 점검 대상 18종 칸을 바꾸는 편이 낫고, 조치 완료율은 조치 완료 건수를 전체 발견 건수(38건)로 나눈 값이므로 앞 슬라이드 건수와 반드시 맞아야 합니다. 15장 추이 막대는 점검 직후 15, 2주 경과 47, 4주 경과 81, 8주 경과 97로 조치 완료율이 올라가는 모양입니다. 분기별 미조치 High 건수처럼 줄어드는 값을 넣으려면 12 → 9 → 5 → 3 으로 값을 넣고 막대 높이 순서까지 뒤집어야 그림과 숫자가 맞습니다.

주의할 점

• 취약점 상세와 재현 절차를 슬라이드에 그대로 붙이는 것. 보고 자료는 회람 범위가 넓어 그 자체가 위험 요소가 됩니다. 요약만 남기고 상세는 접근 통제된 문서로 분리하세요.
• 13장 좌우 여섯 줄을 예시 문구로 두는 것. 이번 점검에서 실제로 나온 항목과 그 항목에 대한 조치로 바꿔야 개선 흐름이 보입니다.
• 8장 모의 침투 결과의 “고객 정보 열람은 차단됨”처럼 막힌 지점만 남기고 뚫린 지점을 지우는 것. 같은 장의 “외부에서 관리자 화면 접근 성공”이 이 보고의 핵심이고, 이런 줄을 빼면 조치 기한을 요구할 근거가 사라집니다.
• 미조치 항목을 빼고 조치 완료만 보고하는 것. 다음 점검 때 같은 항목이 다시 올라오면 보고 자체의 신뢰가 떨어집니다.