통과는 수행한 검사 범위의 결과입니다

코드 검사가 통과해도 권한 설계나 실제 운영 설정의 문제가 남을 수 있습니다. 검사하지 않은 기능과 지원하지 않는 언어 및 로그인 상태의 차이도 있습니다.

검사가 필요 없다는 뜻이 아니라 어떤 질문에 답한 결과인지 알아야 한다는 뜻입니다. 통과 수량과 내용의 충분성은 서로 다릅니다.

도구마다 보는 것이 다릅니다

SAST는 실행 전 코드, DAST는 실행 동작, SCA는 외부 구성 요소를 살핍니다. 세 도구의 결과가 모두 있어도 업무 요구와 권한 정책의 올바름은 따로 확인해야 합니다.

SBOM은 무엇이 포함됐는지 찾는 자료이며 그 자체로 모든 취약점이 없다는 증명은 아닙니다.

검사 뒤 내용이 바뀌면 종전 결과를 그대로 적용할 수 없습니다. 같은 소스와 설정에서 만든 산출물인지 확인하고 승인한 변경 및 검증 이력을 연결해야 합니다.

서명은 출처와 변경 검증에 도움이 되지만 악성 동작이 전혀 없다는 판단을 대신하지 않습니다.

수행한 검사, 결과와 남은 범위를 기록하면 다음 변경에서 필요한 부분을 다시 검증할 수 있습니다. 실패를 숨기기보다 원인을 고치고 실제 결과를 확인하는 것이 중요합니다.

관련 기술자료에서 개발과 공급망 검증의 연결을, 용어사전에서 각 도구와 명세서의 역할을 확인할 수 있습니다.