책임있는 공개

2020년 2월 24일 | 사이버

책임 공시 대부분의 보안 연구원이 따르는 중요한 정보를 공개하지 않는 모범 사례를 말합니다. 취약점 공급업체 패치나 수정 사항이 즉시 제공될 때까지 소프트웨어 제품에서. 이는 다음과 같은 팀에서 자주 발생합니다. 구글의 프로젝트 제로보안 결함을 발견하고 수정하고, 취약점을 발견한 후 해당 정보를 대중에 공개하지 않기 위해 만들어진 팀입니다. 보안 분석가와 연구원들이 정보를 공개적으로 공유할 수 없는 이유는 다음과 같습니다. 해커 사이버 범죄자 공급업체가 패치를 개발하는 것보다 발표된 취약점을 공격하고 악용하는 속도가 훨씬 빠른 경우가 많으며, 고객은 해당 패치를 배포하여 자신과 네트워크, 데이터, 시스템을 보호할 수 있습니다. 이것이 바로 책임 있는 정보 공개(Responsible Disclosure)라고 불리는 이유이며, 보안 연구자들이 이를 따르도록 강제하는 법률은 없지만 모범 사례로 간주됩니다.

관련 용어: 버그 바운티 프로그램,보안 문제, 제로데이 취약점

출처: CSO 온라인

중소기업도 책임 있는 정보 공개에 대해 알아야 할까요?

네. 많은 중소기업(SMB)이 온라인 배포 및 사용을 위한 소프트웨어를 개발합니다. 중소기업 소유주라면 다음과 같은 광고를 고려해 보세요. 버그 바운티 프로그램 "를 장려하는 제품에 대해책임 있는 공개” 보안 연구원들이 제공하는 것입니다. 이는 소프트웨어에서 치명적인 결함을 발견한 사람들이 다크웹이나 딥웹에서 판매하는 대신 해당 소프트웨어를 여러분에게 가져오도록 유도하는 소액의 금전적 인센티브입니다.

둘째, 중소기업은 비즈니스 운영에 사용하는 소프트웨어 및 하드웨어의 심각한 취약점 패치 목표 일정을 명시한 취약점 경고 관리 프로세스(VAMP)를 구축해야 합니다. 네트워크, 데이터 또는 시스템을 원격으로 손상시킬 수 있는 심각도 1 버그는 최대한 빨리 패치해야 합니다.

CyberHoot은 중소기업이 제로데이 취약점, 패치, 책임 있는 공개와 관련하여 자체적인 모범 사례를 개발하도록 안내하는 VAMP 프로세스를 갖추고 있습니다.