스캔 한 번으로 세 가지 산출물.

완료된 모든 스캔은 PTES, NIST SP 800-115, OWASP WSTG, CREST, CVSS에 기반한, 구조적으로 정직한 전문 리포트를 생성합니다. 테스트했다는 증거가 필요한 사람이 저희가 어떻게 침투했는지 볼 수 있는 사람인 경우는 드물기 때문입니다.

무료 평가 시작하기 문서 읽기

3개 등급

증명서, 전체 리포트, 기계 판독용 버전

6개 프레임워크

컴플라이언스 교차 매핑에 포함, EU AI Act 별도

CREST / OSCP

인증 전문가 검토자가 리포트를 최종 승인 — 모든 스캔에서 이용 가능

증명서 GET /api/runs/<id>/attestation · 소유자 또는 관리자

증명서 — 설계 단계부터 민감 정보 제거

법인명, 제공자 및 서명, 날짜, 범위 요약, 방법론, 심각도별 건수. PoC, 엔드포인트, 발견 사항별 세부 정보는 절대 포함하지 않습니다.

포함 내용

법인 및 제공자 서명 포함

테스트 기간 및 평가 유형 포함

심각도별 건수 포함

개념 증명, 엔드포인트, 발견 사항 세부 정보 제외

기계 판독용 버전

GET /api/runs/<id>/compliance.json
→ Vanta · Drata · Secureframe
evidence against a control, never a pass

NDA를 주고받을 필요 없이 TPRM 검토에 바로 제출 익스플로잇 세부 정보 없음

스캔 하나, 세 독자

동일한 평가를, 읽는 사람에 맞게 민감 정보를 제거하여.

Tier 1

증명서(Letter of Attestation)

구매 · TPRM · 고객

Tier 2

전체 컴플라이언스 리포트

엔지니어링 · NDA를 체결한 감사인

Tier 3

JSON 버전

Vanta · Drata · Secureframe

검은 막대는 디자인 장식이 아닙니다. 증명서에는 실제로 PoC, 엔드포인트, 발견 사항별 세부 정보가 모두 빠져 있으므로 외부로 내보낼 수 있습니다.

각 산출물의 대상 독자

증명서(Letter of Attestation)

다운스트림 고객, 구매 부서, 서드파티 위험 관리를 위한 문서입니다. 민감 정보가 제거되고 서명되었으며 익스플로잇 세부 정보는 전혀 없으므로, 별도의 가림 작업 없이 전달할 수 있습니다.

전체 컴플라이언스 리포트

엔지니어링 팀과 NDA를 체결한 감사인용: 요약 보고와 전체 기술 리포트를 하나의 문서에, 교전 규칙, 심각도 히트맵, 발견 사항별 세부 정보, 단계별 조치 로드맵.

JSON 버전

동일한 평가를 구조화된 JSON으로 제공하므로, 누군가 다시 입력해야 하는 PDF가 아니라 통제 항목에 대한 증거로 Vanta, Drata, Secureframe에 바로 들어갑니다.

발견 사항에 실제로 담기는 내용.

환경에 맞춰 조정된 벡터를 지어내는 일은 결코 없습니다

필드

명시 내용

CVSS

의존성 CVE에는 실제 권고 점수를 사용합니다. 그 외에는 CWE별 CVSS-B 클래스 기본 벡터를 사용하고, 이를 바탕으로 계산한 점수에 '클래스 기본'이라고 표시합니다. 행위 기반 발견 사항은 심각도 등급으로 평가합니다.

공격 성공률(ASR)

측정한 경우 성공 횟수/시도 횟수, 그렇지 않으면 “단일 관찰(통계적 표본 아님)”.

재현 컨텍스트

타임스탬프와 대상, 그리고 엔진이 기록하는 경우 모델, 샘플링, RAG 상태.

추적성

발견 사항 → OWASP LLM Top 10 (2025) → MITRE ATLAS → NIST AI RMF, ISO 42001, EU AI Act 제15조.

사람 검토

실제로 사람이 검토한 경우에만 검토자를 명시합니다. 그렇지 않으면 리포트에 “사람 검토 미수행”이라고 기재합니다.

컴플라이언스 교차 매핑: SOC 2 · ISO 27001 · ISO 42001 · NIST AI RMF · NIST CSF 2.0 · EU AI Act. 통제 항목에 대한 증거로 제시될 뿐, 결코 통과 판정이 아닙니다.

감사인과 고객 모두가 받아들일 수 있는 증거.

샘플 리포트 보기