“취약점 찾아내면 취약한 기업이라 오해”... CVD·VDP 정착하려면?

요약 : 「제15회 정보보호의 날 기념식」에서 열린 「보안 취약점 상시 신고조치제(CVD·VDP) 발전 방안 패널토의」에서 유진호 상명대 교수 좌장을 맡은 가운데 박찬암 스틸리언 대표·이종호 토스 리더·홍관희 LG유플러스 CISO·박동욱 한국교통안전공단 과장·손태진 법무법인 선우 변호사가 참여해, 취약점을 열심히 찾을수록 「A사는 많이 나왔으니 취약해」라며 오히려 평판 부담을 떠안는 모순을 지적하며 참여 기업에 대한 과징금 경감·중복 규제 면제 등 실질적 인센티브와 공공기관 평가 감점 감경책의 필요성을 강조했고, 국내 버그바운티 보상 규모가 해외 대비 미흡한 현실을 짚으며 표준화된 플랫폼을 통한 공정한 평가로 연구자 실적이 되는 상호협력 프로토콜과 보상 강화가 필요하다고 제언했으며, 법적 리스크 측면에서는 화이트해커가 「이것만 확실히 하면 된다」는 절차·결과물 파기 기준이 명확해야 억울하게 책임을 뒤집어쓰지 않고, 선의·악의 구분은 「정해진 정책(Policy)에서 이탈했는지 여부」로 판단하며 이를 관리하는 「중재자의 역할」이 CVD·VDP 정착의 핵심이라는 것이 기사의 주된 메시지입니다.

느낀점/소감 : 아직 한국은 이런 부분에서는 한참 모자르다 해외에 비해 한참 모자르고 아직 인식 자체부터가 문제다. 그냥 해외 모범 사례들을 좀 많이 보고 한국에 맞춰 만들어줬으면 좋겠다. 그전에 애초에 보안이란 인식자체부터 바꿔야할 문제라 오래 걸리거나 불가능할수도있다고 본다.