CDR 보안 아키텍처 통합 —
기존 보안 체계와 맞물리는 접점 설계

CDR을 들여오는 조직이 먼저 부딪히는 문제는 처리 성능이 아니라 접점이다. 메일 서명 검증이 실패하고, 해시 기반 차단 규칙이 엇나가고, 암호화 문서가 검사 없이 통과하거나 반대로 업무가 멈춘다. CDR 보안 아키텍처 통합은 장비를 하나 더 세우는 일이 아니라, 기존 통제와 처리 순서·식별자·예외 경로를 맞추는 설계 작업이다. 이 글은 메일·망연계·웹 업로드 경로에서 CDR이 기존 보안 체계와 만나는 일곱 개 접점을 공개 표준 문서와 운영 원리에 근거해 정리하고, PoC·BMT에서 무엇을 확인해야 하는지 점검표로 묶는다.

보안 조직이 새 솔루션 검토 요청을 받으면 가장 먼저 나오는 반응은 피로감이다. 백신, 방화벽, 메일 게이트웨이, 엔드포인트 탐지·대응, 로그 통합 분석 체계가 이미 돌아가고 있다. 여기에 CDR을 더하면 관리 콘솔이 하나 늘고, 장애 지점이 하나 늘고, 예외 요청을 처리할 창구가 하나 는다. 이 반응은 합리적이다. 그래서 CDR 도입 논의는 "무엇을 추가하느냐"가 아니라 "기존 체계의 어느 빈자리에 끼우느냐"로 시작해야 한다.

빈자리는 대체로 같은 곳에 있다. 기존 통제 대부분은 판정을 전제로 동작한다. 파일이 악성인지 정상인지 결론을 내리고, 악성이면 막고 정상이면 보낸다. 판정 기반 통제는 결론이 맞을 때 강력하지만, 결론이 틀렸을 때는 아무것도 하지 않는다. 정상으로 판정된 파일은 그대로 사용자에게 간다. 문서 파일은 이 구조의 약점이 드러나기 쉬운 형식이다. 매크로, 임베디드 객체, 외부 링크, 스크립트, 취약점을 노리는 조작된 구조처럼 문서 안에 능동 요소가 들어갈 자리가 많고, 공격자는 그 자리를 업무 문서의 겉모습으로 감싼다. MITRE ATT&CK이 스피어피싱 첨부파일(T1566.001)과 악성 파일 사용자 실행(T1204.002)을 별도 기법으로 정리해 둔 것도 이 경로가 그만큼 반복되기 때문이다^[7].

CDR은 다른 질문을 던진다. 파일이 악성인지 묻지 않고, 업무에 필요한 내용만 남긴 안전한 사본을 만들 수 있는지 묻는다. CDR 방식은 일반적으로 파일을 스캔해 매크로·스크립트·임베디드 객체·외부 링크 같은 액티브 콘텐츠를 찾아내고, 이를 제거한 뒤 본문·표·이미지처럼 업무 내용을 담은 요소로 파일을 다시 만든다. 사용자가 받는 것은 원본이 아니라 재생성된 사본이므로, 앞 단계의 판정이 틀렸더라도 공격 코드가 실행될 경로가 남기 어렵다. 이 점이 판정 기반 통제와 겹치지 않는 지점이다.

다만 시큐레터는 탐지를 버리라고 말하지 않는다. 100% 탐지는 어떤 엔진에도 불가능하고, 탐지가 놓친 것을 무해화가 막는 것이 시큐레터 제품의 기본 구조다. 탐지와 무해화를 함께 쓴다. 따라서 CDR 보안 아키텍처 통합의 목표는 기존 탐지 계층을 걷어내는 것이 아니라, 탐지 결과와 무해화 결과가 서로 어긋나지 않도록 순서와 데이터를 맞추는 것이다.

통합 설계를 하려면 각 계층이 무엇을 할 수 있고 무엇을 못 하는지 공정하게 놓고 봐야 한다. 상대 방식을 실제보다 약하게 그리면 배치 설계도 틀어진다. 아래 표는 문서 유입 경로에서 흔히 함께 쓰이는 네 가지 방식을 같은 기준으로 정리한 것이다.

행위 기반 방식이 놓치는 회피 기법은 MITRE ATT&CK의 가상화·샌드박스 회피(T1497) 항목에 시스템 점검, 사용자 활동 확인, 시간 기반 회피로 나뉘어 정리돼 있다^[8]. 반대로 행위 기반 방식은 실행 파일의 실제 동작을 보여 주는 가시성이 있고, 이 가시성은 침해 분석에서 여전히 가치가 있다. 어느 한 방식이 다른 방식을 완전히 대체하는 구도가 아니다.

시큐레터의 MARS 엔진은 이 표에서 세 번째 열에 해당한다. MARS는 자동화된 리버스 엔지니어링으로 문서를 어셈블리 수준까지 분해해, 악성 행위가 일어나기 전에 취약점의 근원을 찾아낸다. 행위 기반 방식이 놓치는 가상환경 회피·시간차 공격을 근본 원인 분석으로 잡는 것이 설계 의도다. 탐지 범위는 문서에 한정되지 않는다. 문서·이미지·압축 파일 같은 문서형 공격은 리버스 엔지니어링으로, 실행 파일은 백신·YARA·평판 분석으로 탐지한다. 시큐레터는 KISA 인증 시험에서 100% 악성코드 탐지율을 인정받았지만^[1], 인증 시험 결과가 현장의 모든 미지 위협에 대한 보증이 되지는 않는다. 그래서 탐지 뒤에 무해화를 둔다.

배치 설계는 제품 목록이 아니라 파일이 들어오는 경로 목록에서 시작한다. 같은 조직 안에서도 구축형 메일 서버를 쓰는 부서와 클라우드 메일을 쓰는 부서가 공존하고, 망연계 구간과 대민 웹게시판 업로드 경로가 따로 운영된다. 경로마다 이미 자리 잡은 통제가 다르고, 그래서 CDR이 끼어들 위치와 탐지 공백도 다르다.

이 표에서 중요한 것은 오른쪽 열이다. 같은 "CDR 도입"이라도 경로별로 남는 탐지 공백이 다르다. 클라우드 메일 경로에 DISARM을 붙이면 무해화와 BEC 탐지는 확보되지만 문서형 APT 탐지는 별도 계층이 맡아야 한다. 반대로 SLF와 SLE는 MARS 탐지와 CDR이 한 제품 안에 있다. 제품을 고를 때는 무해화 여부뿐 아니라 탐지 엔진 구성도 함께 봐야 한다. 예컨대 구축형 CDR 전용 제품인 SLCDR은 무해화를 맡고 탐지는 백신·YARA·TI로 하며, 리버스 엔지니어링(APT) 탐지 엔진은 없다. 이런 구성을 어느 경로에 두든 문서형 APT 탐지를 맡을 계층을 따로 정해 두어야 한다. 경로별 위험도를 매기고, 공백을 어디서 메울지 문서로 남겨야 감사에서도 설명이 된다.

위험도를 매길 때는 경로마다 노출 특성을 따로 본다. 메일은 외부의 누구든 조직 구성원 개개인에게 파일을 직접 보낼 수 있는 경로이고, 스피어피싱 첨부파일은 MITRE ATT&CK이 초기 침투 기법으로 따로 정리할 만큼 반복되는 수법이다^[7]. 실제 유입 비중은 조직마다 다르므로, 도입 전 일정 기간의 메일·망연계·업로드 로그로 경로별 첨부파일 수와 탐지 건수를 직접 집계해 우선순위의 근거로 삼는 편이 좋다. 망연계 구간은 유입량은 적어도 내부망으로 들어가는 마지막 관문이라는 점에서 영향도가 크다. 웹 업로드는 외부인이 파일을 올리고 내부 담당자가 내려받는 구조라 표적형 공격의 우회로가 되기 쉽다.

탐지를 먼저 할지 무해화를 먼저 할지는 단순한 선후 문제가 아니다. 순서에 따라 남는 증거와 운영 부담이 달라진다. 원칙은 원본에 대해 판정하고, 판정 결과를 기록한 뒤, 무해화한다이다. 무해화를 먼저 하면 능동 요소가 제거된 사본만 남아, 어떤 공격이 시도됐는지 판단할 근거가 사라진다. 원본에 대한 탐지 결과가 있어야 공격 시도 통계가 생기고, 위협 인텔리전스 공유와 침해 분석이 가능하다.

여기서 3단계가 자주 생략된다. 모든 파일을 같은 정책으로 무해화하면 설계는 단순해지지만, 암호화 파일이나 전자서명 문서처럼 무해화가 의미 없거나 해가 되는 파일이 같은 큐에 섞인다. 반대로 분기를 지나치게 세분하면 예외 경로가 공격자의 우회로가 된다. 분기 기준은 "형식과 상태"로 나누고, "송신자 신뢰"는 보조 기준으로만 쓰는 편이 안전하다. 신뢰 송신자의 계정이 탈취되는 경우를 생각하면, 송신자만으로 무해화를 건너뛰는 규칙은 공격자에게 가장 쓸모 있는 규칙이 된다.

처리 시간도 순서 설계에 영향을 준다. 시큐레터 CDR의 평균 무해화 소요시간은 파일당 34ms이고^[2], TTA GS 인증으로 확인된 분석 시간은 약 12초다^[1]. 두 수치를 나란히 놓으면, 사용자가 체감하는 지연은 무해화 자체보다 분석 단계에서 생긴다는 점이 드러난다. 그래서 대기 처리 방식은 분석 단계를 기준으로 경로마다 달리 설계해야 한다. 메일처럼 수 초 단위 지연을 수용할 수 있는 경로는 처리가 끝날 때까지 전달을 보류해도 업무 영향이 작지만, 웹 업로드처럼 사용자가 화면 앞에서 기다리는 경로는 사정이 다르다. 업로드 경로에서는 업로드 완료 응답과 내부 배포 시점을 분리하는 방식이 흔히 쓰인다.

파일 흐름 한가운데 놓이는 장비는 모두 같은 질문에 답해야 한다. 장비가 응답하지 않으면 파일을 통과시킬 것인가(fail-open), 막을 것인가(fail-closed). 이 결정은 기술 문제가 아니라 업무 연속성과 보안 위험의 교환 문제이고, 경로마다 답이 다르다.

메일 경로의 절충안이 성립하는 이유는 SMTP의 구조에 있다. RFC 5321은 수신 측이 일시적 실패 응답을 돌려주면 송신 측이 일정 시간 재시도하도록 규정한다^[5]. 즉 메일 경로는 짧은 장애를 "지연"으로 흡수할 수 있다. 반면 웹 업로드는 사용자 세션이 끝나면 재시도 주체가 사라지므로, 업로드 수락과 내부 배포를 분리하지 않으면 장애가 곧 업무 중단이 된다. 웹 프록시나 업로드 처리 경로에서 콘텐츠 검사를 외부 서버에 맡기는 표준으로는 ICAP(RFC 3507)이 있으며, 이 방식을 쓰는 구성은 ICAP 서버 무응답 시 동작을 프록시 쪽 설정으로 정해야 한다^[6].

메일 경로에서 CDR이 첨부파일을 재생성하면 메일 본문이 바뀐다. 첨부파일은 MIME 구조 안에서 본문의 일부로 인코딩되기 때문이다^[4]. 이 사실은 메일 인증 체계와 직접 충돌한다.

DKIM(RFC 6376)은 송신 도메인이 메일 헤더 일부와 본문 해시에 서명하는 방식이다^[3]. 서명 안에는 본문 해시 값이 들어 있고, 수신 측은 받은 본문의 해시를 다시 계산해 비교한다. 첨부파일이 재생성되면 본문 해시가 달라지므로, CDR 이후 지점에서 DKIM을 검증하면 실패한다. DKIM 결과를 근거로 하는 DMARC 판정(RFC 7489)도 영향을 받는다^[15].

해결의 원칙은 간단하다. 인증 검증은 변경 전에, 변경은 검증 결과를 기록한 뒤에 한다. 인바운드에서는 메일 게이트웨이나 수신 MTA가 원본 상태에서 SPF·DKIM·DMARC를 검증하고 결과를 헤더에 남긴 뒤 CDR로 넘긴다. 이후 단계의 장비들이 서명을 다시 검증하지 않고 기록된 결과를 신뢰하도록 구성해야 한다. 메일이 여러 중간 처리 지점을 거치는 구조라면, 중간 지점이 앞선 인증 결과를 서명해 전달하는 ARC(RFC 8617)를 검토할 수 있다^[16].

아웃바운드는 반대다. 외부로 나가는 메일의 첨부파일을 무해화하는 정책이 있다면, 무해화는 DKIM 서명 전에 끝나야 한다. 서명 뒤에 첨부파일을 바꾸면 수신 측에서 서명 실패가 나고, 수신 측 DMARC 정책에 따라 정상 업무 메일이 격리될 수 있다.

사용자 경험 측면도 함께 설계한다. 첨부파일에서 무엇이 제거됐는지 수신자에게 알리는 방식, 예컨대 본문 상단 안내 문구나 별도 알림 메일은 사용자의 문의를 줄인다. 다만 안내 문구를 본문에 덧붙이는 것도 본문 변경이므로, 위 순서 원칙을 똑같이 따른다. BEC처럼 첨부파일 없이 본문만으로 이루어지는 공격은 CDR의 대상이 아니다. 이 영역은 SLE나 DISARM의 BEC 탐지 같은 별도 기능이 맡는다는 점을 경로별 설계 문서에 분리해 적어 둔다.

재생성된 파일은 원본과 다른 파일이다. 내용은 같아 보여도 바이트 구성이 달라지므로 해시 값이 바뀐다. 해시를 식별자로 쓰는 기존 통제는 모두 이 영향을 받는다.

• 엔드포인트 차단·허용 목록 — 위협 인텔리전스에서 받은 악성 해시로 엔드포인트에서 차단하는 규칙은 재생성 파일에 적용되지 않는다. 원본 해시 매칭은 게이트웨이 단계에서 끝내야 한다. 반대로 업무용 문서를 해시로 허용 목록에 올려 둔 경우, 무해화를 거치면 허용 목록과 어긋난다.
• DLP 핑거프린트 — 문서 지문으로 유출을 탐지하는 정책은 지문 생성 방식에 따라 영향이 다르다. 파일 전체 해시를 쓰면 매칭이 깨지고, 본문 텍스트 기반 지문을 쓰면 대개 유지된다. 도입 전에 실제 샘플로 확인해야 하는 항목이다.
• 중복 제거·보관 — 문서 관리 시스템이 해시로 중복을 판단한다면, 같은 문서가 원본과 재생성본 두 벌로 쌓일 수 있다.
• 침해 분석 — 사고 조사에서 엔드포인트에 남은 파일 해시를 위협 인텔리전스와 대조할 때, 재생성 파일 해시로는 아무것도 나오지 않는다. 원본 해시를 찾아갈 수 있어야 한다.

해결책은 원본 해시와 재생성 해시를 한 쌍으로 기록하고, 로그 통합 분석 체계에서 둘을 연결하는 것이다. 무해화 장비가 남기는 로그 레코드에 최소한 다음 필드가 있어야 한다: 원본 해시, 재생성 해시, 파일명, 유입 경로, 송신 측 정보, 탐지 판정, 제거된 능동 요소 종류, 처리 시각. 이 레코드가 있으면 엔드포인트 경보가 재생성 파일 해시로 올라와도 원본으로 거슬러 올라갈 수 있다. NIST SP 800-92는 보안 로그 관리에서 출처별 로그의 형식 정규화와 상관 분석을 위한 공통 필드 정의를 권고한다^[12]. 무해화 로그도 이 원칙에서 예외가 아니다.

CDR 보안 아키텍처 통합에서 이 접점이 중요한 이유는, 무해화의 효과가 로그 상에서 "아무 일도 일어나지 않음"으로 나타나기 때문이다. 탐지는 경보를 남기지만, 무해화는 공격이 실행되지 않았다는 사실만 남긴다. 제거 내역이 기록되지 않으면 경영진 보고나 감사에서 무해화 계층의 기여를 설명할 수 없다. 제거된 능동 요소의 종류별 통계는 그 자체로 조직이 받는 문서형 공격의 분포를 보여 주는 자료가 된다.

CDR은 파일 내부 구조를 읽어야 동작한다. 일반적으로 CDR 방식은 파일 형식의 구조를 해석해 능동 요소를 식별하고, 업무 내용을 담은 요소만으로 파일을 다시 구성한다. 그러니 내용을 읽을 수 없는 파일, 그리고 내용이 바뀌면 안 되는 파일은 별도 정책이 필요하다. 국내 조직에서는 이 세 유형이 특히 자주 나온다.

암호가 걸린 압축 파일과 문서. 공격자는 게이트웨이 검사를 피하려고 암호 압축 파일을 보내고 본문에 암호를 적는 방식을 오래 써 왔다. 내용을 볼 수 없는 파일은 탐지도 무해화도 할 수 없다. 선택지는 차단, 격리 후 수신자가 암호를 제출하면 해제해 처리, 표식을 붙여 통과 후 엔드포인트 검사에 맡기기 정도다. 외부에서 암호 파일을 받을 일이 적은 경로라면 차단이 합리적이고, 업무상 빈번하다면 암호 제출 방식이 현실적이다.

문서 DRM. 문서 암호화 솔루션을 쓰는 조직에서는 DRM이 적용된 파일이 CDR 앞에 도착하면 내용이 보이지 않는다. 처리 순서를 "DRM 해제 → 탐지·무해화 → DRM 재적용"으로 설계할지, DRM 파일을 내부 생성 문서로 보고 예외로 둘지 결정해야 한다. 외부 유입 파일은 대개 DRM이 적용되지 않은 상태로 들어오므로, 인바운드에서는 무해화 후 DRM 적용 순서가 자연스럽다. 망연계처럼 내부 문서가 오가는 경로에서는 DRM 연동 방식을 먼저 확인해야 한다.

전자서명 문서. PDF 전자서명이나 서명된 VBA 프로젝트는 내용에 대한 서명이다. 재생성하면 서명 검증이 실패한다. 계약서·인증서처럼 서명 자체가 업무 증거인 문서는 무해화본만으로는 업무 목적을 달성하지 못한다. 이 유형은 원본에 대한 탐지 판정을 거친 뒤 승인 절차를 통해 원본을 제공하는 예외 경로로 보낸다.

게이트웨이에 CDR을 두면 엔드포인트 통제는 필요 없어지는가. 그렇지 않다. 다만 두 계층이 같은 위협을 서로 다른 조건에서 막는다는 점을 이해하면 중복과 공백을 줄일 수 있다.

Office는 인터넷에서 받은 것으로 표시된 파일의 VBA 매크로를 기본으로 차단한다^[9]. 이 동작은 조건에 따라 달라진다. Windows 환경에서 파일에 웹 표식(Mark of the Web)이 남아 있어야 하고, 신뢰할 수 있는 위치로 지정된 경로나 조직 정책 설정, Office 버전과 업데이트 채널에 따라 적용 여부가 바뀐다. 웹 표식은 파일 내용이 아니라 NTFS 대체 데이터 스트림(Zone.Identifier)에 기록되므로, 표식을 붙이는 주체는 파일을 저장하는 브라우저나 메일 클라이언트다. 공격자는 ISO·VHD 같은 컨테이너 형식을 이용해 안쪽 파일에 표식이 전파되지 않게 하는 기법을 써 왔고, MITRE ATT&CK은 이를 T1553.005로 정리한다^[10].

Windows 공격 표면 축소(ASR) 규칙도 엔드포인트에서 Office 애플리케이션의 자식 프로세스 생성이나 실행 파일 콘텐츠 생성 같은 동작을 제한한다^[11]. 이 규칙은 실행 단계에서 공격 연쇄를 끊는다는 점에서 유효하다. 다만 규칙별로 감사 모드와 차단 모드가 있고, 업무 애플리케이션과 충돌하면 예외를 두어야 하며, 중앙 정책 배포 도구로 관리되지 않는 단말에는 적용되지 않는다.

표를 보면 역할이 갈린다. 게이트웨이 CDR은 단말 상태와 무관하게 경로 상 파일을 처리하고, 엔드포인트 통제는 경로를 거치지 않은 파일(USB, 개인 클라우드 저장소, 메신저)과 실행 이후 단계를 맡는다. 어느 쪽도 다른 쪽을 대체하지 않는다. CDR 보안 아키텍처 통합 설계서에는 "게이트웨이를 거치지 않는 유입 경로" 목록을 따로 두고, 그 경로를 어떤 엔드포인트 통제가 맡는지 대응시켜 두는 것이 좋다.

무해화된 파일로 업무가 해결되지 않는 경우는 반드시 생긴다. 매크로가 빠진 정산 파일, 서명이 깨진 계약서, 임베디드 객체가 빠진 설계 문서가 그렇다. 이때 원본을 어떻게 제공하느냐가 운영 만족도와 보안 수준을 동시에 좌우한다. 원본 제공 절차가 너무 번거로우면 사용자는 개인 메일이나 메신저로 우회하고, 너무 쉬우면 무해화 계층이 형식만 남는다.

설계 요소는 다섯 가지다. 첫째, 원본 보관 위치와 기간. 원본은 접근 통제가 된 격리 저장소에 두고, 보관 기간을 정한다. 원본에는 개인정보나 영업비밀이 들어 있을 수 있으므로 보관 기간은 조직의 개인정보 보유 기준과 맞춰야 한다. 둘째, 요청 주체. 수신자 본인만 요청할 수 있게 할지, 부서 관리자도 요청할 수 있게 할지 정한다. 셋째, 승인 주체. 보안 담당자 승인, 부서장 승인, 자동 승인(탐지 판정이 정상이고 사전 지정 업무에 해당하는 경우) 중 경로별로 고른다. 넷째, 승인 전 조건. 원본 제공 전에 탐지 판정을 반드시 거친다. 악성 판정 파일은 어떤 승인으로도 원본을 제공하지 않는다. 다섯째, 감사 기록. 누가 언제 어떤 근거로 원본을 받았는지 남긴다.

원본 보관은 침해 분석에도 쓰인다. 엔드포인트에서 의심 경보가 올라오면 재생성 파일 해시로 원본 레코드를 찾고, 보관된 원본을 다시 분석할 수 있다. 7장에서 다룬 해시 쌍 기록과 이 장의 원본 보관이 맞물려야 사후 분석 경로가 완성된다.

공공과 금융 조직에서 아키텍처 변경은 규제 대응 근거와 함께 설명돼야 한다. 여기서 주의할 점은, 특정 솔루션이 특정 통제항목을 "충족한다"고 단정하는 문장은 감사에서 오히려 약점이 된다는 것이다. 통제항목 충족은 솔루션이 아니라 조직의 운영으로 증명된다.

N2SF. 국가 망 보안체계(N2SF)는 업무 정보와 시스템을 중요도에 따라 등급으로 나누고 등급별 보안 통제를 적용하는 체계다. 국가사이버안보센터가 보안 가이드라인을 공개했고^[13], KISA는 2026년 4월 실증 사례집을 냈다^[14]. 망분리 중심 체계에서 등급 기반 체계로 바뀌면, 외부 자료가 들어오는 경로가 늘어나는 만큼 파일 경로의 내용 통제가 설계의 한 축이 된다. 다만 CDR이 어느 통제항목과 연결되는지는 기관의 등급 분류 결과와 가이드라인 최신판을 기준으로 기관이 직접 매핑해야 한다. 매핑표에는 통제항목, 해당 경로, 담당 계층(탐지·무해화·엔드포인트), 증빙 자료(정책 문서·로그·예외 기록)를 함께 적는다.

ISMS-P. 인증기준에는 악성코드 통제와 정보 전송 보안에 관한 항목이 있다^[17]. 무해화 계층은 이 항목들의 운영 증빙을 만드는 데 쓰일 수 있다. 증빙의 핵심은 장비 도입 사실이 아니라 정책 문서, 경로별 처리 기록, 예외 승인 기록이다. 7장과 10장의 로그 설계가 그대로 증빙 설계가 된다.

제로 트러스트. NIST SP 800-207은 자원 접근을 정책 결정 지점과 정책 집행 지점으로 나눠 매 요청마다 판단하는 구조를 제시한다^[18]. 이 틀에서 보면 CDR은 콘텐츠 수준의 정책 집행 지점이다. 사용자와 단말이 신뢰받더라도 그들이 주고받는 파일 내용은 별도로 통제한다는 설계가 제로 트러스트의 "암묵적 신뢰를 두지 않는다"는 원칙과 맞물린다.

외부 평가 자료는 선정 근거를 보강하는 용도로 쓴다. 시큐레터는 KISA 인증 시험에서 100% 악성코드 탐지율을 인정받았고, TTA GS 인증에서 분석 시간 약 12초를 확인받았으며, Gartner CDR Market Guide(2022)에서 대표 벤더로 인정된 글로벌 40개 기업 중 유일한 한국 기업이다^[1]. 이런 자료는 "검증된 제품을 골랐다"는 근거는 되지만, "조직이 통제를 운영한다"는 근거는 되지 않는다. 두 근거를 구분해 문서화한다.

통합 문제는 제품 사양서로는 드러나지 않고 실제 트래픽과 실제 연동에서 드러난다. PoC·BMT는 탐지율과 처리 속도를 재는 자리이기도 하지만, 이 글에서 다룬 일곱 접점을 조직의 환경에서 확인하는 자리여야 한다. 기간은 경로와 범위에 따라 다르며, 시큐레터 SLE의 경우 PoC 기간은 3주다.

표본 구성에도 원칙이 있다. 공개된 악성 샘플만으로는 통합 문제가 드러나지 않는다. 실제 업무 메일, 실제 망연계 반입 자료, 실제 업로드 파일을 개인정보 보호 기준에 맞춰 준비하고, 여기에 공격 샘플을 섞는다. 탐지율은 공격 샘플로, 통합 품질은 업무 표본으로 잰다. 두 결과를 따로 보고하면 의사결정자가 "얼마나 잘 막는가"와 "업무에 얼마나 잘 붙는가"를 구분해 판단할 수 있다.