취약점 대응 체계 활성화 필요성 강조
■ 취약점 알려줘도 고소·고발로 받아치는 경우 허다
케이스 1 : 핀란드 온라인 게임 플랫폼 하보의 경우 취약점을 신고한 10대 청소년을 형사고발했다.
케이스 2: 글로벌 컨설팅 업체 PwC에 취약점을 신고한 보안 연구자들은 침해중지요구서를 전달받았다.
케이스 3 : 치과 SW가 환자 2만2천여명의 건강정보를 암호화하지 않는 사실을 제보한 화이트해커는 미국 연방수사국(FBI)의 압수수색을 받기도 했다.
■ "취약점 제보자에 '면책' 필요"…화이트해커-SW회사 공조 체계 활성화해야
보고서는 "버그 바운티는 제품 또는 제품 라인의 기본 설계 상 보안 한계점을 개선할 수 없는 사후 대응적 조치"라며 "코드 검토, 감사, 네트워크 침투 테스트 등의 위험을 줄이기 위한 많은 다른 도구 중 하나로 사용돼야 한다"고 조언했다.
- 디지털 트랜스포메이션 사회의 가장 큰 위협은 보안 취약점이다.
- IoT기기의 취약점이 개인의 안전을 위협하고 있다.
- 모든 코드(소프트웨어)는 항시 취약점을 지니고 있다.
- 그러나 현재까지 정책적인 조명을 받지 못하고 있다.
- 취약점 관리의 Key Best Practice는 CVD (Co-ordinated Vulnerability Disclosure) 이다.
- CVD는 Vuln Owner와 Researcher간의 취약점 공개과정에서 발생하는 위험을 줄이기 위한 절차다.
- 취약점 관리 국제표준으로 ISO/IEC 29147:2018 (vuln disclosure), ISO/IEC 30111:2019 (vuln handling) 참고. https://doi.org/10.1787/0e2615ba-en
또한 미국 CISA는 민간 기관에게도 VDP(Vulnerability Disclosure Policy)의 개발을 통해 취약점을 공개하는 것이,
결국 모든 시스템과 네크워크를 더욱 안전하게 한다는 인식을 확장시키고 있다.
https://cyber.dhs.gov/bod/20-01/
cyber.dhs.gov - Binding Operational Directive 20-01
Binding Operational Directive 20-01 September 2, 2020 Develop and Publish a Vulnerability Disclosure Policy This page contains a web-friendly version of the Cybersecurity and Infrastructure Security Agency’s Binding Operational Directive 20-01, Develop a
cyber.dhs.gov
OECD iLibrary | Encouraging vulnerability treatment: Overview for policy makers
1887 This is a required field Please enter a valid email address Approval was a Success Invalid data An Error Occurred Approval was partially successful, following selected items could not be processed due to error OECD iLibrary: http://instance.metastore.
www.oecd-ilibrary.org
zdnet.co.kr/view/?no=20210317165712
OECD "소스코드는 곧 취약점…쉬쉬해선 안돼"
취약점은 디지털 생활의 일부다. 모든 취약점을 제거하는 것은 불가능하다. 그보다는 취약점 조치를 개선해 보안 위험을 줄이고 디지털 전환 시대의 신뢰를 도모해야 한다.보안...
zdnet.co.kr
'Security' 카테고리의 다른 글
| Open SSL 취약점 Monero GUI 및 CLI 업데이트 (0) | 2021.03.27 |
|---|---|
| 전자정보 압수수색 시대 ‘죄’ 밝힐 정보만? 현실은 ‘인생’ 정보 통째로 압수 (0) | 2021.03.24 |
| AP IN FOR (0) | 2021.03.22 |
| 4차 정보보호 전문교육 <누구나 쉽게 따라하는 웹 취약점 진단기술> (0) | 2020.09.23 |
| K-Shield Jr. 보안사고 분석대응 과정 9월호 (0) | 2020.09.22 |
WRITTEN BY
- J cert
Freedom of Liberty and the establishment of a law to establish the law of cyberspace will defend freedom and try to build a just society.
