보안 / 웹·앱·API
베트남에서 제공하는 웹 애플리케이션 보안 진단
Friday Works는 베트남 호치민시에 등록된 회사로, 웹사이트와 API를 대상으로 웹 애플리케이션 보안 진단을 전면 원격으로 제공합니다. 진단은 합의한 범위 안에서 공격 표면, 설정, 인증(로그인), 권한 관리, 중요한 업무 흐름을 다룹니다. 결과 보고는 재현 가능한 증거, 실제 영향, 그리고 개발팀이 바로 실행할 수 있는 조치 순서에 초점을 맞춥니다.
- 참고 예산
- 800만~2,000만 동애플리케이션 1개, 역할 2개, 범위 내 API 20개까지
- 기간
- 1~2주기업 홈페이지는 보통 며칠이면 되고, 역할이 많을수록 더 걸립니다
- 재진단
- 30일 이내 1회발견 사항이 조치되었는지 확인합니다
- 진단 승인
- 서면으로범위, 테스트 계정, 금지 행위를 진단 전에 합의합니다
자주 겪는 문제
기업이 자주 해결을 맡기는 문제
상황 01
출시가 코앞인데 계정 유형 간 권한을 아무도 점검하지 않았습니다.
Friday Works의 해결 방식
역할마다 직접 수동으로 확인합니다. 한 사용자가 다른 사용자의 데이터를 보거나 바꿀 수 있는지, 일반 계정으로 관리자 기능에 접근할 수 있는지 검증합니다.
상황 02
스캐너가 경고를 수백 건 쏟아냈는데 무엇이 진짜인지 모릅니다.
Friday Works의 해결 방식
도구 결과는 신호일 뿐입니다. 보고서의 모든 발견 사항은 재현 가능한 증거로 검증하고, 오탐(false positive)은 제외합니다.
상황 03
개발팀이 보고서를 받았지만 어디서부터 고쳐야 할지 모릅니다.
Friday Works의 해결 방식
발견 사항은 실제 영향에 따라 우선순위를 정하고, 현재 아키텍처에 맞는 조치 방법과 팀이 직접 질문할 수 있는 결과 설명회(walkthrough)를 함께 제공합니다.
상황 04
고객사나 파트너가 보안 진단을 받은 적이 있는지 묻습니다.
Friday Works의 해결 방식
보고서에는 범위, 일정, 방법, 재진단 후 상태가 명시됩니다. 범위를 정한 기술 진단이며, 컴플라이언스 인증은 아닙니다.
프로젝트 유형
주로 맡는 프로젝트
출시 전
웹사이트나 애플리케이션이 실제 사용자와 데이터를 받기 전에 중요한 보안 통제가 제대로 작동하는지 점검합니다.
대규모 변경 후
큰 규모의 배포 이후 로그인, 권한, 결제, 업로드, API 흐름을 확인합니다.
현재 수준 파악
체계적인 진단을 받은 적이 없는 시스템에 대해 우선순위를 매긴 위험 목록과 조치 과제 목록을 만듭니다.
보안 진단은 언제 받아야 할까요?
이런 경우에 적합합니다
- 웹사이트, 웹앱, API가 실제 사용자와 데이터를 받기 전.
- 로그인, 권한, 결제, 업로드, API에 큰 변경이 있은 후.
- 범위에 포함된 역할마다 테스트 환경과 테스트 계정을 준비할 수 있을 때.
이런 경우에는 맞지 않습니다
- 인프라, 내부망, DDoS 테스트나 본격적인 레드팀 프로그램이 필요한 경우.
- 기술 진단이 아니라 컴플라이언스 인증서가 필요한 경우, 또는 시스템 소유자가 테스트를 승인하지 않은 경우.
진행 방식
단계별 역할 분담과 받는 결과물
역할 2개, 범위 내 API 20개까지인 웹앱 1개를 기준으로 한 일정 예시입니다(B01 패키지, 실작업 약 1~2주). 기업 홈페이지는 대개 더 짧고, 애플리케이션이나 역할이 여러 개면 시간이 더 필요합니다.
- 01진단 전
범위 확정 및 승인
모든 점검은 서면으로 정한 범위와 승인 안에서만 진행합니다.
Friday Works가 하는 일
- 도메인, 애플리케이션, API, 사용자 역할, 진단 시간대를 합의합니다.
- 금지 행위와 사고 발생 시 연락 담당자를 정리합니다.
- 보고서 수신자와 테스트 데이터 보관 기간을 합의합니다.
고객의 역할
시스템 소유권을 확인하고 테스트 계정과 테스트 환경을 제공합니다.
받는 결과물
- 범위 및 진단 규칙 문서
- 진단 일정과 견적
확인 지점제안서와 진단 승인서 서명, 1차 지급↗︎
- 021~2일차
애플리케이션 파악
가설을 세우기 전에 실제 사용자처럼 애플리케이션을 이해합니다.
Friday Works가 하는 일
- 합의한 역할별로 애플리케이션을 직접 사용해 봅니다.
- 엔드포인트, 로그인 흐름, 권한, 업로드, 외부 연동을 목록으로 정리합니다.
- 심층 점검할 고위험 영역을 선정합니다.
고객의 역할
API 문서(있는 경우)와 가장 중요한 업무 흐름을 공유합니다.
받는 결과물
- 진단 대상 지도
- 우선순위를 매긴 가설 목록
- 032~7일차
통제된 진단
기술 검토와 영향이 적은 수동 점검을 함께 진행합니다.
Friday Works가 하는 일
- 인증, 세션, 계정 복구를 점검합니다.
- 역할별, 개별 데이터 객체별로 권한을 점검합니다.
- 입력값 처리, 업로드, 설정, 비즈니스 로직을 점검합니다.
- 가설마다 기준 결과와 대조 테스트를 기록하고, 심각한 위험을 발견하면 즉시 담당자에게 알립니다.
고객의 역할
기술 담당자와 연락이 닿도록 하고, 진단 기간에는 큰 변경을 피합니다.
받는 결과물
- 발견 사항별 증거
- 심각한 발견 사항 조기 알림
- 047~10일차
보고서 및 결과 설명회
경고를 나열한 목록이 아니라 개발팀이 바로 쓸 수 있는 보고서를 드립니다.
Friday Works가 하는 일
- 경영진 요약과 우선순위별 발견 사항 목록을 작성합니다.
- 각 발견 사항에 배경, 최소한의 증거, 영향, 조치 방향을 담습니다.
- 개발팀에 온라인으로 설명하고 질문에 답합니다.
고객의 역할
실제로 조치할 담당자가 결과 설명회에 참여하도록 합니다.
받는 결과물
- 보안 진단 보고서
- 기술 결과 설명회
확인 지점보고서 납품↗︎
- 0530일 이내
조치, 재진단 및 종료
조치된 부분을 확인하고 프로젝트를 깔끔하게 마무리합니다.
Friday Works가 하는 일
- 귀사 팀이 조치를 마치면 합의한 발견 사항을 재진단합니다.
- 보고서의 발견 사항별 상태를 갱신합니다.
- 테스트 계정을 회수하고, 합의한 보관 기간에 맞춰 테스트 데이터를 처리합니다.
고객의 역할
우선순위에 따라 조치하고, 재진단 준비가 되면 알려 줍니다.
받는 결과물
- 재진단 후 갱신된 보고서
- 다음 진단을 위한 권고 사항
확인 지점검수 및 잔금 지급↗︎
납품물
받으시는 결과물
범위와 안전
- 범위 및 진단 규칙대상 자산, 역할, 진단 시간대, 금지 행위를 서면으로 확인합니다.
- 진단 대상 목록진단에 포함된 엔드포인트, 흐름, 기능.
- 데이터 처리 합의보고서 수신자, 마스킹 방식, 보관 기간.
진단 보고서
- 경영진 요약전체 위험 수준과 먼저 조치할 일을 비전문가도 이해할 수 있는 말로 정리합니다.
- 증거 기반 발견 사항발생 조건, 안전한 재현 절차, 대조 테스트, 관찰된 영향.
- 우선순위와 조치 방안실제 영향 순으로 정리하고 현재 아키텍처에 맞춥니다.
- 점검 범위검토한 보안 통제 항목. 문제가 발견되지 않은 영역도 포함합니다.
조치 지원
- 기술 결과 설명회발견 사항마다 원인과 해결 방법을 설명합니다.
- 30일 이내 1회 재진단합의한 발견 사항이 올바르게 조치되었는지 확인합니다.
- 상태 업데이트해결됨, 미해결, 위험 수용으로 분류된 발견 사항을 명시합니다.
진단 방법론과 참고 도구
구체적인 기술 스택은 프로젝트마다 골라 제안서에 명시합니다. 모든 문제에 하나의 플랫폼을 억지로 맞추지 않습니다.
- OWASP ASVS, WSTG, API Security Top 10점검 범위를 구조화하는 틀로 쓰고, 실제 아키텍처와 업무 흐름에 맞게 조정합니다.
- 도구를 활용한 수동 검토브라우저 DevTools, 테스트용 프록시, 스크립트 점검을 사용합니다. 도구 결과가 그 자체로 발견 사항이 되지는 않습니다.
- 재현 가능한 증거모든 발견 사항에 발생 조건, 안전한 재현 절차, 대조 테스트를 기록합니다.
- 최소한의 데이터 처리민감한 데이터는 전 과정에서 다루는 범위를 제한하고, 마스킹하거나 암호화합니다.
협업
양측이 준비할 것
고객이 준비할 것
- 점검 대상 자산 전체에 대한 소유권 또는 승인 확인.
- 테스트(스테이징) 환경, 또는 운영 환경에서 안전하게 진단할 수 있는 시간대.
- 범위에 포함된 역할별 테스트 계정.
- API 문서와 중요한 업무 흐름 설명(있는 경우).
- 진단 기간 중 기술 담당자와 사고 대응 담당자.
보고서의 모든 발견 사항이 갖춰야 할 기준
- 발생 조건, 안전한 재현 절차, 대조 테스트가 명확할 것.
- 도구 점수만이 아니라 실제 영향에 따라 우선순위를 정할 것.
- 증거는 최소한으로 하고, 실제 민감 데이터는 보고서에 넣지 않을 것.
- 모든 점검이 승인된 범위와 시간대 안에서 이루어질 것.
- 자동 도구 결과는 수동으로 검증할 것.
- 개발자가 바로 실행할 수 있을 만큼 조치 방안이 구체적일 것.
가격
참고 패키지와 예산 산정 방식
관련 기본 패키지
2026년 10월 20일 기준 · 통화: 베트남 동(VND)웹·API 보안 진단
800만~2,000만 동/ 회
예상 기간: 1~2주
기본 범위: 애플리케이션 1개, 역할 최대 2개, 대상 API 최대 20개. 인증·권한 및 핵심 흐름 점검, 근거를 담은 보고서, 조치 우선순위, 30일 이내 재점검 1회.
포함되지 않음: 소스 코드 전체 검토, DDoS, 내부 인프라·네트워크 점검, 컴플라이언스 인증.
이 금액은 신규 프로젝트를 위한 참고 예산이며, 확정 견적이나 완료된 계약의 가격이 아닙니다. 범위, 일정, 비용은 프로젝트마다 착수 전에 확정합니다.
일반적인 일정
- 기업 홈페이지
- 범위, 접근 권한, 진단 환경이 준비되어 있으면 대개 영업일 기준 며칠이면 끝납니다.
- 웹 애플리케이션 또는 API(B01)
- 역할 2개, API 20개까지인 애플리케이션 1개는 보통 1~2주가 걸리며, 범위가 더 크면 2~3주가 걸릴 수 있습니다.
- 확정 범위
- 대상 자산, 기능, 안전한 진단을 위한 제약 조건을 파악한 뒤에 확정합니다.
예산을 좌우하는 요소
- 도메인, 애플리케이션, API 엔드포인트, 사용자 역할의 수.
- 인증, 권한, 비즈니스 로직의 복잡도.
- 테스트 환경, 테스트 계정, 진단 시간대, 사고 발생 시 협조 체계에 대한 요구 사항.
- 보고서 상세 수준, 워크숍, 재진단 범위.
제안 지급 일정
- 40%프로젝트 착수
- 40%데모 및 핵심 기능
- 20%검수 및 납품
견적 확정 전 확인 사항
- 착수 전에 페이지, 기능, 데이터, 검수 기준 목록을 확정합니다.
- 일정은 범위 승인, 필요한 자료 수령, 1차 지급 이후에 시작됩니다.
- 제안에는 검수 후 3개월 동안 Friday Works가 개발한 부분의 하자 보수가 포함됩니다.
- 도메인, 호스팅, 이메일, AI·API, 데이터, 라이선스, 외부 서비스 및 해당 세금은 별도로 표시합니다.
납품 후
하자 보수, 유지보수, 추가 개발
30일 이내 1회 재진단
귀사 팀이 조치를 마치면 Friday Works가 합의한 발견 사항을 재진단하고 보고서의 상태를 갱신합니다. 더 넓은 범위나 정기 진단은 별도로 견적을 드립니다.
자주 묻는 질문
시작하기 전에
01웹사이트 보안 진단이란 무엇이며, 취약점 스캔과 무엇이 다른가요?
웹사이트 보안 진단은 합의한 범위 안에서 설정, 공격 표면, 인증, 권한, 중요한 업무 흐름을 검토하는 작업입니다. 자동 스캔은 유용한 신호를 주지만, 맥락을 고려한 진단은 통제된 방식으로 가설을 검증하고 오탐(false positive)을 걸러낸 뒤 실제 영향에 따라 발견 사항의 우선순위를 정합니다.
02웹사이트, 웹앱, API 보안 진단 비용은 무엇에 따라 달라지나요?
보안 진단 비용은 도메인, 애플리케이션, API 엔드포인트, 사용자 역할의 수, 인증과 권한 구조의 복잡도, 업무 흐름의 깊이, 테스트 환경, 보고 요구 사항, 재진단 범위에 따라 달라집니다. 가격은 대상 자산, 안전한 진단을 위한 한도, 필요한 증거가 명확해진 뒤에 확정됩니다.
03Friday Works는 베트남에서 웹 애플리케이션 보안 진단을 제공하나요?
Friday Works는 호치민시에 등록된 회사로, 범위를 정한 웹 애플리케이션 보안 진단을 베트남에서 전면 원격으로 제공합니다. 진단 범위, 승인된 자산, 테스트 계정, 진단 시간대, 소통 채널, 사고 발생 시 연락처는 통제된 테스트를 시작하기 전에 모두 합의합니다.
04본격적인 모의해킹이나 레드팀 프로젝트인가요?
Friday Works의 서비스는 범위를 정한 웹앱·API 보안 진단으로, 본격적인 모의해킹(침투 테스트)이나 레드팀 활동은 아닙니다. 본격적인 모의해킹이나 레드팀 프로그램이 필요하다면 계약 전에 수행 역량, 범위, 적합한 파트너를 먼저 확인해야 합니다.
05진단 때문에 시스템이 중단되지는 않나요?
Friday Works의 보안 진단은 합의한 규칙에 따라 시스템 영향을 최소화하도록 설계됩니다. 데이터를 변경하거나 서비스에 영향을 줄 수 있는 작업은 적절한 환경과 명시적인 승인 없이는 수행하지 않습니다.
06보고서가 개발자의 조치에 도움이 되나요?
Friday Works의 보안 진단 보고서는 실제 조치를 위해 작성됩니다. 각 발견 사항에는 배경, 최소한의 증거, 영향, 실질적인 조치 방향이 담기며, 결과 설명회(walkthrough)에서 팀이 재진단 전에 직접 질문할 수 있습니다.
07보고서를 제3자와 공유할 수 있나요?
Friday Works의 보안 진단 보고서는 제안서에서 합의한 수신자에게만 전달되며, 고객사나 파트너와의 공유 여부는 의뢰 기업이 결정합니다. 테스트 데이터 보관 기간과 프로젝트 종료 후 처리 방식은 작업 시작 전에 합의합니다.
08보안 진단은 얼마나 자주 받아야 하나요?
보안 진단은 중요한 출시 전, 그리고 로그인, 권한, 결제, 업로드, API에 큰 변경이 있을 때마다 받는 것이 좋습니다. 자주 바뀌는 시스템이라면 한 번의 점검보다 정기적인 검토가 효과적입니다.
Friday Works와 상담하기
사고로 번지기 전에 위험을 파악하세요
시스템 범위, 사용자 역할, 진단하기 좋은 시기를 알려 주세요. Friday Works가 안전 범위를 명확히 정한 진단 계획을 제안합니다.
프로젝트 문의하기문의 후 진행 순서
- 01간단한 개요 보내기
목표, 현재 상황, 희망 일정을 알려 주세요. 자료를 첨부하셔도 좋습니다.
- 02영업일 기준 1일 이내 회신
Friday Works가 확인 질문을 보내거나 온라인 미팅을 제안합니다.
- 03범위 협의
목표와 위험 요소를 함께 검토하고 예산에 맞는 방안을 찾습니다.
- 04서면 제안서 받기
범위, 마일스톤별 일정, 비용, 검수 기준을 정리해 드립니다.