설계에 보호 요구를 넣습니다

중요 데이터와 신뢰 경계, 인증 및 객체별 권한을 먼저 정합니다. OWASP Top 10은 주요 위험을 논의하는 자료로 활용하되 실제 제품의 요구와 전체 검사 기준을 대신하지 않습니다.

2021판과 2025판은 범주가 다릅니다. 적용한 판과 제품에 필요한 예외 및 추가 요구를 명확히 하고 개발과 운영의 책임을 연결합니다.

검사별로 보는 대상을 구분합니다

SAST는 코드의 정적 표현, DAST는 실행 중인 동작을 분석합니다. SCA는 외부 구성 요소와 알려진 문제를 대조하며 인증 상태와 빌드 조건에 따라 검사 범위가 달라집니다.

자동 검사 결과는 오탐과 누락이 있을 수 있습니다. 발견 사항을 실제 조건에서 검증하고 원인을 수정한 뒤 필요한 범위의 재검사를 수행합니다.

SBOM에는 어떤 빌드의 구성 요소와 관계를 기록했는지 표시합니다. 소스의 목록과 배포 산출물에 실제로 포함된 구성이 다른지 확인하고 공급자 공지와 연결합니다.

서명과 해시로 산출물의 출처 및 변경을 검증할 수 있지만 그 내용이 무해하다는 보증은 아닙니다. 빌드 계정, 비밀값과 의존성 취득 경로도 보호해야 합니다.

검사한 변경과 실제 배포하는 산출물이 같은지 확인합니다. 보호 검사를 우회하거나 잠금값만 갱신하지 않고 실패 원인과 수정 및 예외 승인 근거를 기록해야 합니다.

배포 뒤의 동작과 취약점 대응도 개발 생명주기에 포함됩니다. 책임자와 원복 조건 및 새 취약점이 공개됐을 때 영향 범위를 찾을 자료를 유지합니다.