GitHub Advanced Security 요금과 CRACI의 역할

간단한 답변

2026년 9월 기준 GitHub는 GitHub Advanced Security를 두 가지 애드온으로 판매합니다. GitHub Secret Protection은 활성 커미터 1인당 월 $19이며 시크릿 스캔과 푸시 보호를 제공합니다. GitHub Code Security는 활성 커미터 1인당 월 $30이며 CodeQL 코드 스캔, Copilot Autofix, 종속성 검토, 프리미엄 Dependabot 기능을 제공합니다. 둘 다 구매하면 활성 커미터 1인당 월 $49입니다. 두 제품 모두 GitHub Team 또는 Enterprise 플랜이 필요하며, GitHub 시트 비용에 더해 별도로 지불합니다.

활성 커미터란 지난 90일 동안 해당 제품이 활성화된 리포지토리로 커밋이 푸시된 사람을 말하며, 조직 전체에서 한 번만 집계됩니다. 그래서 청구 금액은 보유한 시트 수가 아니라 코드를 푸시하는 사람 수에 따라 달라집니다.

GitHub Advanced Security 요금 한눈에 보기

가격은 2026년 9월 기준 GitHub와 Azure의 정가입니다. GitHub의 플랜 페이지에는 각 애드온이 Team과 Enterprise에 추가하는 기능이 나와 있으며, 무료 열은 GitHub.com의 공개 리포지토리에 해당합니다.

청구 금액 산정 방식

• 제품별, 활성 커미터 1인당. 지난 90일 동안 커밋 중 하나가 활성화된 리포지토리로 푸시되었다면, 커밋 작성 시점과 관계없이 활성 커미터입니다. 한 사람이 몇 개의 리포지토리에 기여하든 조직 또는 엔터프라이즈 전체에서 라이선스 하나를 사용합니다.
• 활성화된 리포지토리만 집계. Secret Protection과 Code Security는 따로 활성화하므로, Secret Protection은 모든 곳에 켜고 Code Security는 필요한 곳에만 켤 수 있습니다.
• Enterprise의 종량제 또는 볼륨 청구. 종량제 청구는 GitHub Enterprise Cloud와 GitHub Connect를 사용하는 GitHub Enterprise Server 3.13 이상에서 이용할 수 있으며, 사용한 라이선스에 대해 사전 한도나 초과 상태 없이 매월 청구합니다. 볼륨 또는 구독 청구는 일정 기간(일반적으로 최소 1년) 동안 고정된 수의 라이선스를 구매합니다.
• 무료 위험 평가. Team 및 Enterprise Cloud를 사용하는 조직은 구매 전에 무료 시크릿 위험 평가와, 최대 20개 활성 리포지토리에 대한 코드 보안 위험 평가를 실행할 수 있습니다.

계산 예시

개발자 50명이 모두 두 제품이 활성화된 리포지토리에 푸시한다면, 정가 기준으로 Secret Protection에 50 × $19 = $950, Code Security에 50 × $30 = $1,500을 지불해 월 $2,450, 연 $29,400가 됩니다. 이는 GitHub Team 또는 Enterprise 시트와 GitHub Actions 사용 시간에 추가되는 비용입니다. 조직에서 라이선스를 보유하고 활성화된 리포지토리에 푸시하는 사람은 외주 인력을 포함해 모두 집계되므로, 직원 수가 아니라 커미터 수를 세어야 합니다.

비용 없이 이용할 수 있는 기능

종속성 그래프와 Dependabot 알림은 모든 GitHub 플랜에 포함됩니다. 공개 리포지토리에서는 코드 스캔, 시크릿 스캔, 푸시 보호, 종속성 검토가 무료입니다. 코드가 오픈 소스라면 GitHub Advanced Security의 상당 부분을 비용 없이 쓸 수 있습니다.

GitHub Advanced Security for Azure DevOps

같은 두 제품이 Azure Repos용으로도 판매되며, Azure 요금 페이지에 따르면 커미터 1인당 월 Secret Protection $19, Code Security $30입니다. 요금은 매일 발생하고 Azure DevOps 조직에 연결된 Azure 구독으로 매월 청구되며, 커미터는 해당 구독 전체에서 제품별로 한 번만 집계됩니다.

GitHub Advanced Security의 강점

CodeQL 코드 스캔은 풀 리퀘스트에 내장된 의미 기반 정적 분석이며, Copilot Autofix는 발생한 알림에 대한 수정안을 제안합니다. 시크릿 스캔은 git 기록, 풀 리퀘스트, 이슈, 위키를 대상으로 하며, 푸시 보호는 시크릿이 들어오기 전에 차단합니다. 유효성 검사는 유출된 자격 증명이 아직 유효한지 알려 줍니다. CRACI는 이 중 어느 것도 제공하지 않으며, 이 페이지의 어떤 내용도 이를 대체하자는 뜻이 아닙니다.

종속성 측면에서 종속성 그래프는 리포지토리의 매니페스트와 잠금 파일을 파싱하고, 그중 하나가 GitHub Advisory Database의 권고와 일치하면 Dependabot이 알림을 보냅니다. 보안 업데이트는 패치가 있는 모든 미해결 알림에 대해 풀 리퀘스트를 열려고 시도하며, 종속성 검토(Code Security에 포함)는 병합 전에 풀 리퀘스트가 무엇을 바꾸는지 보여 줍니다. 자동 종속성 제출은 Maven, Gradle, Python에 대해 빌드에서 해석된 데이터를 추가할 수 있습니다. 그래프는 UI 또는 REST API에서 SPDX SBOM으로 내보낼 수 있습니다.

아티팩트 증명은 Sigstore를 사용해 바이너리와 컨테이너 이미지의 빌드 출처 증명에 서명하며, SPDX 또는 CycloneDX 형식의 SBOM도 증명할 수 있습니다. GitHub 문서에 따르면 증명만으로 SLSA v1.0 Build Level 2를, 재사용 가능한 워크플로와 함께 사용하면 Level 3을 제공합니다.

요금에 포함되지 않는 것

GitHub Advanced Security의 모든 기능은 리포지토리, 즉 코드와 시크릿, 선언된 종속성을 읽습니다. 그 어느 것도 릴리스를 만드는 빌드 내부에서 일어나는 일을 기록하거나, 그 빌드가 네트워크에서 접근할 수 있는 대상을 제어하지 않습니다. 바로 이 지점에서 CRACI가 역할을 합니다.

이 표에는 GitHub Advanced Security와 그 기반이 되는 GitHub 플랫폼 기능(종속성 그래프, Dependabot, 아티팩트 증명, 호스팅 러너)이 함께 나와 있습니다. 팀이 실제로 이 기능들을 그렇게 함께 경험하기 때문입니다.

리포지토리가 아닌 빌드의 기록

종속성 그래프는 리포지토리를 설명하며, 커밋이 기본 브랜치의 매니페스트나 잠금 파일을 바꿀 때 갱신됩니다. 유용한 정보이지만 릴리스를 만든 작업의 기록과는 다릅니다. CRACI는 빌드 자체를 관찰합니다. 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스로 향하는 트래픽을 봅니다. 증거는 CI 캐시와 함께 전달되며, 각 SBOM은 작업과 캐시마다 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 완전성을 명시합니다.

작업이 접근할 수 있는 대상의 제어

CRACI는 작업마다 이그레스 정책을 적용합니다. 기본 거부 또는 기본 허용 방식이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 레지스트리 및 Git용 유형별 사용자 지정 소스를 제공합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단되며, 정책 위반 시 CRACI가 알림을 보냅니다. 이는 빌드에 대한 런타임 제어로, 리포지토리 스캔으로는 제공할 수 없습니다.

출처 증명

GitHub의 아티팩트 증명은 사용자가 추가하는 워크플로 단계입니다. 빌드 출처 증명에 서명하며, GitHub는 이에 대해 SLSA v1.0 Build Level 2를 명시합니다. CRACI는 출처 증명에 서명하지 않으며 어떤 SLSA 레벨도 주장하지 않습니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. 서명된 출처 증명이나 문서화된 SLSA 레벨이 필요하다면 GitHub의 아티팩트 증명이 이를 제공합니다.

출시한 소프트웨어 모니터링

CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 모니터링 중인 SBOM을 계속 재평가하며, 보안 팀이 탐지 결과를 분류해 수정을 담당하는 팀에 보낼 수 있게 합니다. 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 기준으로 정확히 보여 줍니다. SBOM은 취약점을 포함해 CycloneDX 또는 SPDX로 내보낼 수 있으며, API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

다른 요금 모델

GitHub Advanced Security는 활성 커미터 단위로 요금이 책정됩니다. CRACI는 러너이기 때문에 빌드 시간에 대해서만 요금을 받습니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004), 초 단위 측정, 월 기본료 없음입니다. 이 사용 시간은 원래 GitHub 호스팅 러너에서 실행했을 작업을 실행하는 데 쓰입니다. 현재 조건은 CRACI 요금을 참고하세요.

함께 사용하는 방법

• 모든 풀 리퀘스트에 GitHub Advanced Security: CodeQL, 시크릿 스캔, 푸시 보호, 종속성 검토.
• 선언된 종속성의 패치를 유지하는 Dependabot.
• 러너로서의 CRACI: 각 빌드를 기록하고, 이그레스 정책을 적용하며, 증거를 보관합니다.

CRACI에서 실행한 내역도 GitHub UI에 그대로 표시되며, 워크플로의 단계도 바뀌지 않습니다. 작업의 runs-on 레이블만 바꾸면 CRACI로 옮겨집니다. Windows와 macOS 작업은 GitHub 호스팅 러너에 그대로 두세요. CRACI는 현재 x86-64와 ARM64의 Linux만 지원하며, Windows와 macOS는 로드맵에 있습니다.

코드 스캐너를 비교하고 계신가요? 요금 정보가 포함된 GitHub Advanced Security 대안을 참고하세요.

Cyber Resilience Act 대응

GitHub의 도구는 출시 전에 취약점을 찾아 수정하도록 도와주며, 이는 제조사가 해야 할 일입니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 각 릴리스에 무엇이 들어갔는지, API가 반환하는 SBOM, 네트워크 추적, 출처 증명, 그리고 지속적인 취약점 추적이 여기에 해당합니다. 어느 쪽도 그 자체만으로 제품을 규정에 맞게 만들어 주지는 않습니다. CRA란 무엇인가와 CRA 증거를 참고하세요.

CI/CD 통합과 빌드 시점 SBOM 생성에 대해 자세히 알아보거나, 데모를 예약해 종속성 그래프와 나란히 놓인 CRACI의 빌드 기록을 확인해 보세요.

CRACI가 대체하는 것과 대체하지 않는 것은 CRACI가 대체하는 것에서 확인하세요.

GitHub Advanced Security 요금 관련 질문

GitHub Advanced Security 요금은 얼마인가요?

2026년 9월 기준 GitHub는 Advanced Security를 두 가지 애드온으로 판매합니다. GitHub Secret Protection은 활성 커미터 1인당 월 $19, GitHub Code Security는 월 $30이므로 둘 다 구매하면 활성 커미터 1인당 $49입니다. 두 애드온은 GitHub Team 또는 Enterprise 플랜에 추가로 구매합니다.

활성 커미터는 어떻게 집계되나요?

조직에서 GitHub Team 또는 Enterprise 라이선스를 보유한 사람 중, 지난 90일 이내에 Secret Protection 또는 Code Security가 활성화된 리포지토리로 커밋이 푸시된 사람입니다. 커밋이 언제 작성되었는지는 관계없습니다. 기여하는 리포지토리 수와 관계없이 한 사람은 조직 또는 엔터프라이즈 전체에서 라이선스 하나를 사용합니다.

공개 리포지토리에서는 GitHub Advanced Security가 무료인가요?

일부 무료입니다. 공개 리포지토리에서는 GitHub가 코드 스캔, 시크릿 스캔, 푸시 보호를 기본으로 활성화하며 종속성 검토도 무료입니다. 비공개 리포지토리에는 유료 애드온이 필요합니다. 종속성 그래프와 Dependabot 알림은 모든 GitHub 플랜에 포함됩니다.

GitHub Free 또는 Pro 플랜에서 GitHub Advanced Security를 구매할 수 있나요?

아니요. GitHub Secret Protection과 GitHub Code Security에는 GitHub Team 또는 GitHub Enterprise 플랜이 필요합니다. Team 및 Enterprise Cloud를 사용하는 조직은 먼저 무료 시크릿 위험 평가와 코드 보안 위험 평가를 실행해 볼 수도 있습니다.

Enterprise에서는 GitHub Advanced Security가 어떻게 청구되나요?

두 가지 방식이 있습니다. 종량제 청구는 GitHub Enterprise Cloud와 GitHub Connect를 사용하는 GitHub Enterprise Server 3.13 이상에서 이용할 수 있으며, 활성 커미터가 사용한 라이선스에 대해 사전 한도 없이 매월 청구합니다. 볼륨 또는 구독 청구는 정해진 기간(일반적으로 최소 1년) 동안 고정된 수의 라이선스를 구매하는 방식입니다.

Azure DevOps에서 GitHub Advanced Security 요금은 얼마인가요?

GitHub Advanced Security for Azure DevOps는 Azure Repos와 함께 작동합니다. Azure는 Secret Protection을 커미터 1인당 월 $19, Code Security를 월 $30로 제시하며, 요금은 매일 발생하고 Azure DevOps 조직에 연결된 Azure 구독으로 매월 청구됩니다. 커미터는 해당 구독 전체에서 제품별로 한 번만 집계됩니다.

GitHub Advanced Security에 SBOM이 포함되나요?

GitHub는 리포지토리의 종속성 그래프를 SPDX SBOM으로 내보낼 수 있으며, 종속성 그래프는 모든 플랜에 포함됩니다. 이 SBOM은 특정 빌드가 아니라 기본 브랜치의 매니페스트와 잠금 파일을 설명합니다. CRACI는 각 빌드가 실제로 가져온 패키지를 기록하고 빌드마다 CycloneDX와 SPDX로 내보냅니다.

CRACI가 GitHub Advanced Security를 대체하나요?

아니요. CRACI는 코드 스캔이나 시크릿 스캔을 하지 않습니다. CRACI는 GitHub Actions 작업이 실행되는 러너를 대체하며, 각 빌드가 하는 일을 기록하고 제어합니다. GitHub를 쓰는 팀은 일반적으로 리포지토리에 Secret Protection과 Code Security를 계속 사용하고, 빌드 증거를 위해 CRACI를 추가합니다.