거래에서 라이선스 충돌 컴포넌트 발견
TechDD Pro — Third-party tech due diligence
AI가 코드를 전수 검증하고,
CTO급 전문가가 서명합니다
IT 서비스를 운영하는 기업의 IT 시스템과 IT 조직을 인수·투자 의사결정 관점에서 검증합니다. 자료는 폐쇄망 밖으로 나가지 않으며, 온사이트와 폐쇄망 SaaS 중 선택할 수 있습니다. 인수·투자자의 발주와 피실사 기업의 사전 실사(Vendor DD)를 모두 지원합니다.
실사 상담 신청저희가 보는 대상은 명확합니다 — IT 서비스를 운영하는 회사의 시스템과, 그 시스템을 만들고 운영하는 조직입니다.
소스코드와 아키텍처, 클라우드 인프라와 운영 체계, 보안과 개인정보 처리 실태, 오픈소스·IP 권리관계, 그리고 이 모두를 지탱하는 개발 조직의 구조까지. SaaS·플랫폼·게임·커머스·엔터프라이즈 솔루션 등 소프트웨어로 사업을 하는 기업이 대상입니다.
실사 범위에 포함
- 소스코드 · 아키텍처 · 데이터베이스
- 클라우드·인프라 구성과 비용 구조
- 보안·개인정보 처리 실태
- 개발 프로세스 · 배포 · 장애 대응 체계
- 개발 조직 구조 · 핵심 인력 의존도
- 오픈소스 라이선스 · IP 귀속 · 벤더 종속
실사 범위에 포함되지 않음
- 특허·지식재산 가치평가 (권리 귀속 실태는 확인)
- 재무·법률 실사 (기술적 사실은 제공, 법적 판단은 제외)
- 반도체·회로·기구 등 하드웨어 설계
- 바이오·제약 연구 파이프라인, 임상 데이터
- 실기기 동적 테스트, 통신 물리 계층 검증
01 — Deal risk
딜 이후가 아니라, 딜 전에 확인합니다
거래에서 미패치 취약 OSS 발견
의존성 목록에도, SBOM에도 잡히지 않는 유입 코드
Black Duck 감사 데이터 기준. 16%는 직접 복사 의존성·AI 스니펫 등을 포함한 비매니페스트 유입 총합입니다.
숨은 라이선스 의무와 보안 결함은 인수 후 우발채무가 되고, 거래조건 조정과 선행조건의 근거가 됩니다.
02 — Who
어느 쪽에서든 발주할 수 있습니다
인수·투자자
투자·인수 전 제3자 검증. 투자심의위원회·이사회 제출용 근거를 확보합니다.
피실사 기업 (Vendor DD)
실사 요구가 오기 전에 먼저 정리합니다. 발견될 것을 먼저 알고 협상 테이블에 앉습니다.
자문사
법률·재무 실사에 코드 수준의 기술 증거를 보강합니다.
03 — Input
코드 저장소 하나면 시작합니다
나머지 자료는 있는 만큼만. 빠진 자료는 리포트에 커버리지로 표기되고, 해당 평가 항목은 제외 처리됩니다.
사업·제품 소개서, 제품 로드맵, 사용 지표
시스템 구성도, 데이터 플로우, DB 스키마, 인프라 구성도
소스코드 저장소(필수), 테스트 커버리지, 알려진 이슈 대장
CI/CD 구성, 개발 프로세스, 배포·롤백 Runbook, 백업·DR 절차
정보보호 정책, 암호화 정책, 침투테스트 보고서, 사고 이력, 인증서
클라우드 청구 명세, 가용성 지표, 사용자당 인프라 비용
데이터 소스·모트, 모델 설명, MLOps, 추론 비용 구조
기술 조직도, 핵심 인력, 외주 비중, 이슈 트래킹 통계
IP 양도 계약, 오픈소스 인벤토리, 벤더 계약·종속성
인터뷰 서식
문서만으로는 확인되지 않는 것이 있습니다. 실제 장애 대응은 어떻게 이뤄지는지, 한두 명만 아는 블랙박스 모듈이 있는지, 홍보하는 기능과 실제 구현 사이에 격차가 있는지. 7종의 구조화 설문 서식(기술총괄 / 개발 프로세스 / 보안 / 인프라·운영 / 조직·키맨 / IP·라이선스 / AI·ML)을 제공하며, 응답은 문서·코드 증거와 교차 대조됩니다.
인터뷰 응답만으로는 어떤 항목도 ‘적합’ 판정을 받지 못합니다. 응답과 실제 코드가 어긋나면, 그 불일치 자체가 리스크 신호로 기록됩니다.
M&A 딜의 경우 IT 자산·통합 관련 자료 5종이 추가됩니다.
모두 갖추지 않아도 신청 가능합니다. 빠진 자료는 리포트에 커버리지로 표기되며 해당 평가는 제외 처리됩니다.
04 — Framework
무엇을, 어떤 기준으로 봅니까
평가 기준을 공개합니다. 국내외 13개 공인 표준에 근거한 36개 평가 기준, 53개 정량 지표로 판정하며, 모든 판정 문장에는 참조 표준과 기준 코드가 각주로 붙습니다.
ISO/IEC 25010ISO/IEC 27001ISMS-P (KISA)OWASP Top 10GDPRDORASPACECMMISP인증 (NIPA)SPDXAWS · Azure · Google Cloud Well-Architected
평가 근거로 참조하는 공개 표준입니다.
| # | 영역 | 기준 수 | 근거 표준 | 대표 평가 기준 | 대표 지표 |
|---|---|---|---|---|---|
| 1 | 제품 품질 | 9 | ISO/IEC 25010:2023 | 기능 적합성 · 성능 효율성 · 신뢰성 · 보안성 · 유지보수성 · 호환성 · 상호작용 용이성 · 유연성 · 안전성 | p95 응답시간 · 가용성 · 평균 복구시간 · 기술부채 비율(TDR) · 결함 밀도 · 순환복잡도 p95 · 접근성 중대 위반 수 |
| 2 | 클라우드 아키텍처 | 6 | AWS Well-Architected Framework (Azure · Google Cloud WAF 교차 매핑) | 운영 우수성 · 보안 · 신뢰성 · 성능 효율성 · 비용 최적화 · 지속 가능성 | 핵심 SPOF 수 · DR 시험 성공률 · 유휴·고아 자원 비용률 · 서비스 단위 비용 · IaC 관리 리소스 비율 |
| 3 | 배포·운영 | 5 | DORA 지표 (Google DevOps Research and Assessment) | 배포 빈도 · 변경 리드타임 · 실패 배포 복구시간(MTTR) · 변경 실패율 · 배포 재작업률 | 주당 배포 빈도 · 변경 리드타임(h) · 복구시간(h) · 변경 실패율 · 재작업률 |
| 4 | 기술 조직 | 5 | SPACE 프레임워크 (Microsoft Research · GitHub) · DORA · 버스 팩터 분석 | 지식 분산·버스 팩터 · 협업·리뷰 체계 · 개발 활동 흐름 · 핵심 인력 이탈 리스크 · 외주 의존·지식 이전 | 최소 버스 팩터 · 지식 집중도(HHI) · 단독 소유 핵심 모듈 수 · PR 리뷰 커버리지 · 외주 커밋 비중 |
| 5 | 보안·개인정보 | 5 | ISMS-P 인증기준(KISA) · ISO/IEC 27001:2022 · OWASP Top 10 (2025) · GDPR | 인증·접근제어 · 애플리케이션 취약점 방어 · 정보보호 거버넌스 · 보안 로깅·사고대응 · 개인정보 권리·침해 대응 | MFA 적용률 · 휴면 특권계정 수 · SLA 초과 고위험 취약점 · 보안 로그 커버리지 · 침해 통지 준비시간(72시간) |
| 6 | 공급망·지식재산 | 4 | SPDX 3.0.1 (Linux Foundation) | SBOM 및 무결성 · 카피레프트 오염 위험 · 지식재산권 및 임치 · AI 모델·데이터셋 계보 | SBOM 구성요소 커버리지 · 미해결 라이선스 충돌 수 · IP 권리연결 완전성 · AI 자산 계보 커버리지 |
| 7 | 프로세스 성숙도 | 2 | CMMI 3.0 (ISACA/SEI) · 소프트웨어프로세스 품질인증(SP인증, NIPA) | 개발 프로세스 성숙도 · 국내 SW프로세스 품질 | CMMI 성숙도 수준(1~5) · SP 인증 등급 |
제품 품질9개 기준
- 근거 표준
- ISO/IEC 25010:2023
- 대표 평가 기준
- 기능 적합성 · 성능 효율성 · 신뢰성 · 보안성 · 유지보수성 · 호환성 · 상호작용 용이성 · 유연성 · 안전성
- 대표 지표
- p95 응답시간 · 가용성 · 평균 복구시간 · 기술부채 비율(TDR) · 결함 밀도 · 순환복잡도 p95 · 접근성 중대 위반 수
클라우드 아키텍처6개 기준
- 근거 표준
- AWS Well-Architected Framework (Azure · Google Cloud WAF 교차 매핑)
- 대표 평가 기준
- 운영 우수성 · 보안 · 신뢰성 · 성능 효율성 · 비용 최적화 · 지속 가능성
- 대표 지표
- 핵심 SPOF 수 · DR 시험 성공률 · 유휴·고아 자원 비용률 · 서비스 단위 비용 · IaC 관리 리소스 비율
배포·운영5개 기준
- 근거 표준
- DORA 지표 (Google DevOps Research and Assessment)
- 대표 평가 기준
- 배포 빈도 · 변경 리드타임 · 실패 배포 복구시간(MTTR) · 변경 실패율 · 배포 재작업률
- 대표 지표
- 주당 배포 빈도 · 변경 리드타임(h) · 복구시간(h) · 변경 실패율 · 재작업률
기술 조직5개 기준
- 근거 표준
- SPACE 프레임워크 (Microsoft Research · GitHub) · DORA · 버스 팩터 분석
- 대표 평가 기준
- 지식 분산·버스 팩터 · 협업·리뷰 체계 · 개발 활동 흐름 · 핵심 인력 이탈 리스크 · 외주 의존·지식 이전
- 대표 지표
- 최소 버스 팩터 · 지식 집중도(HHI) · 단독 소유 핵심 모듈 수 · PR 리뷰 커버리지 · 외주 커밋 비중
보안·개인정보5개 기준
- 근거 표준
- ISMS-P 인증기준(KISA) · ISO/IEC 27001:2022 · OWASP Top 10 (2025) · GDPR
- 대표 평가 기준
- 인증·접근제어 · 애플리케이션 취약점 방어 · 정보보호 거버넌스 · 보안 로깅·사고대응 · 개인정보 권리·침해 대응
- 대표 지표
- MFA 적용률 · 휴면 특권계정 수 · SLA 초과 고위험 취약점 · 보안 로그 커버리지 · 침해 통지 준비시간(72시간)
공급망·지식재산4개 기준
- 근거 표준
- SPDX 3.0.1 (Linux Foundation)
- 대표 평가 기준
- SBOM 및 무결성 · 카피레프트 오염 위험 · 지식재산권 및 임치 · AI 모델·데이터셋 계보
- 대표 지표
- SBOM 구성요소 커버리지 · 미해결 라이선스 충돌 수 · IP 권리연결 완전성 · AI 자산 계보 커버리지
프로세스 성숙도2개 기준
- 근거 표준
- CMMI 3.0 (ISACA/SEI) · 소프트웨어프로세스 품질인증(SP인증, NIPA)
- 대표 평가 기준
- 개발 프로세스 성숙도 · 국내 SW프로세스 품질
- 대표 지표
- CMMI 성숙도 수준(1~5) · SP 인증 등급
각 기준에는 검증 방법과 요구 증빙이 정의되어 있습니다. 예 — 지식재산권 및 임치(SPDX): 소유권 연결고리·제3자 권리·특허 조항·임치 자료의 최신성과 복원성을 확인. 요구 증빙 = IP 양도계약, 제3자 라이선스, 임치 증명.
기술 조직 영역 상세
기술 조직은 딜에서 가장 자주 과소평가되지만, 인수 후 실행 리스크의 대부분이 여기서 나옵니다.
- 버스 팩터 · 지식 분산
한두 명만 이해하는 블랙박스 모듈이 존재하는가. 그 사람이 떠나면 무엇이 멈추는가
git 커밋·리뷰 이력에서 모듈별 기여자 집중도를 산출 (정량) - 협업 · 지식 공유 (SPACE-C)
코드 리뷰가 형식인가 실질인가. 문서화·페어링·온보딩 체계
PR 리뷰 커버리지·리뷰 참여자 수 (정량) + 문서 자산 확인 - 개발 활동 흐름 (SPACE-A·E)
실제로 일이 흐르는가, 중단과 재작업에 갇혀 있는가
PR 사이클 타임·중단률 (정량) - 소프트웨어 전달 역량
빠르게 배포하면서 안정성을 유지하는가
DORA 5개 지표를 조직 관점에서 재해석 - 핵심 인력 이탈 리스크 (SPACE-S)
핵심 엔지니어의 재직 기간·이탈 추이·번아웃 신호
인터뷰 응답 기반 — 자기 신고 증거로 별도 표기
SPACE 5축 중 A·C·P는 git·배포 이력으로 정량 측정하고, S·E는 인터뷰로 보강합니다(자기 신고 증거는 별도 표기). 개발자 전수 설문 없이 만족도·몰입을 정량화하지 않습니다.
판정 방식
- 기준마다 적합 / 주의 / 부적합 판정과 판정 근거·인용 위치가 기록됩니다.
- 절대 기준이 법·표준으로 정해진 항목은 그 임계를 그대로 적용합니다. (예: 개인정보 침해 통지 준비시간 — GDPR 제33조 72시간 초과 시 부적합)
- DORA 5개 지표는 업계 연구 분포에 대비한 0~10 정규화 점수로 산출합니다.
- 인터뷰 응답만 있고 문서·코드 증거가 없는 항목은 ‘자기 신고 한정’으로 별도 표기되며, 단독으로 적합 판정을 받지 못합니다.
- 증빙이 없는 기준은 점수 계산에서 제외되며, 리포트 표지에 커버리지 %로 명시됩니다. 영역 내 미확인 비중이 과도하면 해당 영역 등급에 상한이 걸립니다 — 자료를 내지 않아 좋은 점수를 받는 일은 발생하지 않습니다.
평가 기준 외 심층 산출물
재무가치 환산
발견된 기술 부채를 재구축 비용·개발 공수·부채 상환 비용으로 환산(COCOMO II 기반). 가격 조정 협상의 정량 근거로 사용할 수 있습니다.
유사 기술·서비스 case study
공개된 창업자 인터뷰·강연 아카이브를 근거로, 유사 사례의 기술 선택과 성장 요인을 정리합니다.
본 표준들은 평가 근거로 참조한 공개 표준이며, 각 발행 기관과의 제휴·인증 관계를 의미하지 않습니다.
05 — Method
26년의 실사 경험이 들어간 AI 에이전트
상장사·대기업 CTO로 26년간 3,000대 이상의 서버와 200억 규모 IT 예산을 운영하고, ISMS-P 대응과 기술실사를 직접 수행한 경험을 지식 베이스로 구조화했습니다. 7개 전문 에이전트가 이 지식 베이스를 참조해 영역별로 분석하고, 그 결과를 교차 대조해 리스크를 합성합니다.
판정의 1차 근거는 공개 표준입니다
ISMS-P·ISO/IEC 27001·ISO/IEC 25010·OWASP Top 10·GDPR·DORA·SPACE·CMMI·SP인증·SPDX 등 13개 표준이 모든 판정의 기준입니다. 26년의 경험은 표준이 잡아내지 못하는 신호를 포착하는 데 쓰이며, 이 경험칙만으로는 등급을 바꿀 수 없도록 설계되어 있습니다. 등급을 결정하는 판정에는 반드시 공개 표준 근거가 붙습니다.
치명적 항목은 샘플링하지 않습니다
하드코딩된 시크릿, 알려진 취약점, 오픈소스 라이선스 위반, 백도어 시그니처는 코드베이스 100%를 기계적으로 전수 검사합니다. AI가 담당하는 것은 탐지가 아니라 해석 — 아키텍처의 적정성, 부채의 맥락적 심각도입니다.
같은 자료를 넣으면 같은 결과가 나옵니다
판정은 확률적 생성이 아니라 지식 베이스 가중치에 기반한 결정론적 연산입니다. 제3자가 동일한 입력으로 재현할 수 있으며, 이의가 제기되면 해당 항목의 참조 표준·입력 증거·재현 파라미터 전체를 소명 자료로 제공합니다.
모든 보고서에는 커버리지 명세서가 부록으로 붙습니다. 무엇을 전수로 검사했고, 무엇을 표본으로 봤고, 무엇을 보지 못했는지가 명시됩니다.
06 — Product
두 가지 중에서 고르십시오
분석의 깊이는 같습니다. 다른 것은 누가 결과에 이름을 거는가입니다.
| AI 기술실사 리포트 | AI 기술실사 + 전문가 서명 | |
|---|---|---|
| 분석 범위 | 7개 영역 36개 평가 기준 · 53개 지표 | 동일 |
| 검토 | AI 판정 · 항목별 근거 링크 | CTO급 전문가가 전 항목 검토·수정·최종 승인 |
| 산출물 | 리포트 · 커버리지 명세서 · 진위확인 해시 | 좌동 + 전자서명 · 검토자 실명 · 검토 기록 |
| 권장 용도 | Pre-DD 스크리닝, 내부 검토, 딜 초기 판단 | 투자심의위·이사회·계약 협상 제출용 |
| 결과의 책임 | AI 산출물 — 의사결정 보조 자료 | 검토 전문가 + 법인 |
서명본에서는 전문가가 AI 판정을 뒤집을 수 있습니다. 무엇을 왜 수정했는지가 리포트에 함께 남습니다.
07 — Delivery
자료를 어디에 둘지, 고객이 정합니다
| 온사이트 | 폐쇄망 SaaS | |
|---|---|---|
| 위치 | 고객사 시설 내에서 분석 — 자료가 사옥을 벗어나지 않습니다 | 노우버스 폐쇄망에 딜 전용 VDR을 개설합니다 |
| 접속·설치 | GPU 보유 시 Docker 이미지 설치 / 미보유 시 검증된 장비를 지참해 현장 설치 | 2FA 인증 전용 채널로 접속해 자료를 등록합니다 |
| 종료 후 | 원클릭 철수 후 파기 증적서(삭제 목록·해시·시각) 교부 | 분석 종료 시 원본 자동 파기, 접근 이력 전 구간 기록 |
| 적합 | 최고 민감도 딜, 대기업·PEF | 대부분의 투자 딜, 일정이 촉박한 경우 |
어느 방식이든 외부로 나가는 것은 최종 보고서와 무결성 서명 해시뿐입니다. 원본 자료와 중간 산출물은 반출 경로가 존재하지 않습니다.
08 — Process
상담부터 브리핑까지
- 01
상담·NDA
거래 목적과 코드베이스 범위, 보안 요건을 확인합니다.
- 02
자료 등록
폐쇄망 SaaS: 전용 VDR 개설·2FA 접속 / 온사이트: 현장 설치 후 로컬 등록. 일부 서류가 없어도 시작할 수 있으며, 누락은 커버리지로 투명하게 공시합니다.
- 03
AI 분석 (· 전문가 리뷰)
36개 기준 전수 판정을 수행합니다. 서명 상품인 경우 CTO급 검토자가 핵심 리스크를 재검토합니다.
- 04
리포트·브리핑
최종 보고서와 우선 조치, 의사결정 쟁점을 설명합니다.
09 — Inquiry
실사 상담 신청
거래 단계와 검토 범위, 보안 요건을 알려주시면 적합한 방식과 진행 절차를 안내드립니다.
10 — FAQ
자주 묻는 질문
견적은 어떻게 정해지나요?
코드베이스 규모·범위에 따라 견적을 드립니다.
기간은 얼마나 걸리나요?
범위와 자료 준비 상태를 확인한 뒤 일정과 중간 점검 시점을 안내합니다.
소스코드는 어떻게 보호하나요?
조직별 격리 VDR과 폐쇄망 분석을 적용하며 완료 후 자동 파기와 감사 증적을 제공합니다.
외부 반출이 불가능한 환경도 지원하나요?
네. 고객사 환경에서 운용하는 온사이트 방식과 원격 폐쇄망 방식을 보안 요건에 맞춰 구성합니다.
어떤 회사가 실사 대상이 됩니까?
소프트웨어로 사업을 운영하는 기업입니다. SaaS·플랫폼·커머스·게임·엔터프라이즈 솔루션 등 자체 시스템을 개발·운영하는 곳이면 됩니다. 하드웨어 설계, 바이오·제약 연구, 특허 가치평가는 범위 밖입니다.
평가 항목 전체를 볼 수 있나요?
7개 영역 36개 평가 기준과 근거 표준 13종은 본 페이지에 공개돼 있습니다. 기준별 검증 방법·요구 증빙·판정 임계는 상담 시 방법론 문서로 제공합니다.
AI 리포트만 받아도 되나요?
가능합니다. 다만 투자심의위·이사회 제출용으로는 서명본을 권합니다. 두 산출물은 분석 깊이가 아니라 결과에 대한 책임 주체가 다릅니다.
온사이트와 폐쇄망 SaaS 중 무엇을 택해야 하나요?
자료를 사옥 밖으로 내보낼 수 없다면 온사이트입니다. GPU 장비가 없어도 저희가 검증된 장비를 지참해 설치합니다. 일정이 촉박하거나 관계자가 여러 곳에 흩어져 있다면 폐쇄망 SaaS가 빠릅니다.
투자를 받는 기업이 직접 신청할 수 있나요?
가능합니다. 실사 요구에 대비한 사전 실사(Vendor DD) 목적의 발주를 지원하며, 결과는 발주자에게만 제공됩니다.
개인·스타트업 진단(TechScan)과 무엇이 다른가요?
자가진단은 신청 기업이 제출 자료를 직접 고릅니다. 기업 실사는 딜 당사자가 NDA 아래 자료를 요구하고, 코드·인터뷰·재무가치 환산까지 교차 검증합니다. 상·하위 관계가 아니라 용도가 다른 별개 상품입니다.