“공격자 수십억 벌 때 화이트 해커 고작...” 취약점 신고 보상·인센티브 확대 목소리↑ 작성일 06-18 41 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="HsCG9NNdOw"> <p contents-hash="4ab8de55d2cf5aff041e265a6ee28c10b82e22cf408573a7e7d7cbb63e2af91d" dmcf-pid="XOhH2jjJsD" dmcf-ptype="general"><strong>국가AI전략위 ‘보안취약점 상시 신고조치제’ 제도화 세미나 개최<br>“선의의 연구자 보상 및 기업의 노력 인센티브 확대 필요”</strong></p> <p contents-hash="a2bc82b61b3768c37e696bb9eb2fbe2f484fc60ca3ac907cfcd8327978607275" dmcf-pid="ZIlXVAAiEE" dmcf-ptype="general">[보안뉴스 강현주 기자] “사이버 공격자들은 암시장에서 취약점 하나로 수억, 수십억 원을 쉽게 벌어들이는 반면 선의의 연구자인 화이트해커들은 사업 전체 차원에서도 고작 몇천만 원 수준의 보상에 그칩니다. 선과 악의 갈림길에서 올바른 선택을 할 수 있는 동기부여 강화가 필요합니다.” </p> <p contents-hash="dcee8eb7244b11a53bcfa751969bb87574b375fef692e5d1eba3eb9e2a22d52e" dmcf-pid="5CSZfccnwk" dmcf-ptype="general">“취약점이 드러났을 때 기업을 비난하고 책임자를 찾아 문책하는 사회적 분위기에서 벗어나, 오히려 취약점을 빠르게 찾고 대응하는 것을 칭찬하고 포상하는 문화로의 인식 전환이 필요합니다.”</p> <p contents-hash="b61117248b4d89deacf8fc7a4df17449a5a9ecb6f48734abe9d3383860d6614f" dmcf-pid="1hv54kkLrc" dmcf-ptype="general">18일 열린 국가AI전략위원회가 개최한 ‘보안취약점 상시 신고조치제(CVD·VDP) 제도화 세미나’ 장에서 나온 목소리다. </p> <figure class="figure_frm origin_fig" contents-hash="aadd3cd6baa853f87c91da54f468651b65e6f6c3641c9519ae72ee767067cbcc" dmcf-pid="tRJAY22usA" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/18/552815-KkymUii/20260618175542649evbi.jpg" data-org-width="860" dmcf-mid="GnmTqLLxEr" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/18/552815-KkymUii/20260618175542649evbi.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲‘보안취약점 상시 신고조치제(CVD·VDP) 제도화 세미나’ 현장 [출처: 국가AI전략위원회] </figcaption> </figure> <div contents-hash="c250ccf053135ae3f8532c653c5a9416755f6908afef8be5aba9b979e93dd7cb" dmcf-pid="FeicGVV7Oj" dmcf-ptype="general"> <br>보안취약점 상시 신고조치제는 기존 공공기관·민간기업에서 일시적 이벤트 형태로 운영하는 모의해킹, 취약점 신고 포상제와 달리 실제 운영 망을 대상으로 365일, 24시간 화이트해커가 취약점을 탐색해 이를 신고할 수 있도록 한 제도다. 해당 기업 및 기관은 조치 내역을 투명하게 공개해야 한다. </div> <p contents-hash="231cb52f05323366fc342e9325b6c4e18059e0808c40db95b4ada1c01bbbfbbf" dmcf-pid="3dnkHffzON" dmcf-ptype="general">정부는 지난해 연이은 통신사 및 롯데카드, 쿠팡 등 해킹 사태와 최근 미토스 쇼크로 불리는 AI 기반 상시적 해킹 위협이 현실화됨에 따라 이달부터 보안취약점 상시 신고조치제 시범 사업을 진행 중이다.</p> <p contents-hash="e7fafa0db07c02fcb5fe8cf7f523941f11c5e3fbd00e919a6b85ad922f17bedc" dmcf-pid="0JLEX44qwa" dmcf-ptype="general">이 날 세미나에서는 사이버 공격 속도가 급격히 빨라지는 가운데, 선제적 보안 체계로 전환하기 위해 취약점을 찾고 개선하는 선의의 연구자들과 기업들에 대한 보상과 인센티브가 확대돼야 한다는 공감대가 형성됐다. </p> <p contents-hash="8c1ae6643b6c5ce325fb2ee02b8da070710b07bcb8a03f9a490e6c328915c288" dmcf-pid="pioDZ88BDg" dmcf-ptype="general">발제에 나선 구동언 로그프레소 전무는 선의를 가진 연구자들도 저조한 보상과 불편한 절차가 지속된다면 결국 악의적인 유혹에 노출될 수 있다는 점을 지적했다. </p> <p contents-hash="ffc1fec6490590c600d023c53708826184b4880c6457276f576573f58006591e" dmcf-pid="Ungw566bOo" dmcf-ptype="general">구 전무는 “공격자들은 취약점으로 암시장에서 수십억씩 버는 데 화이트해커는 사업 전체 차원에서 수천만원 수입에 그치는 실정”이라며 “선의의 연구자를 붙잡을 수 있는 보상이 단계적으로 높아져야 한다고 밝혔다. </p> <p contents-hash="c4129fd46480b2c6c3763ff1d90f27d505d5b7f09f73343982ac0f5eecb62b92" dmcf-pid="uLar1PPKmL" dmcf-ptype="general">이어 “주요 참여층인 10대 연구자들에게 지나치게 복잡한 의무 윤리교육이나 신고 동의 절차 등이 장벽이될 수 있다”고 말했다. </p> <p contents-hash="a940b30292870f0c68c491b524c9a5f00be1a2ad5622bdb9952021bd72e580b8" dmcf-pid="7oNmtQQ9En" dmcf-ptype="general">그는 취약점을 적극적으로 찾고 개선하며 공유하는 기업들에게도 공개에 대한 부담을 덜어주고 인센티브가 제공돼야 한다고 지적했다. </p> <p contents-hash="31bde8e7d0d079fd69626086c3236715a9365abd60ea7e50d2e3153a9a32c29d" dmcf-pid="zgjsFxx2Oi" dmcf-ptype="general">구 전무는 “취약점을 찾고 개선해 나가는 과정은 사회에 긍정적인 에너지를 만들어내는 일이어야 하는데, 현실은 책임질 사람을 찾아 비난하고 문책하기 바쁘다”며 “기업이 취약점을 숨기지 않고 해결할 수 있도록 분위기를 바꿔야 하며, 오히려 문제를 잘 찾고 빠르게 대응하는 기업을 칭찬하고 격려하는 문화가 정착되도록 제도화가 진행돼야 한다”고 말했다. </p> <p contents-hash="860576829f78fd0e7ffd4df8cdc915849655f6e621bcae49bf6a69676906f1db" dmcf-pid="qaAO3MMVrJ" dmcf-ptype="general">현재 정부가 시범사업으로 운영 중인 보안취약점 상시 신고조치제가 2027년부터 원활히 본 사업으로 이어지려면 조속한 제도화 정착이 필요하다는 논의가 이어졌다. </p> <p contents-hash="12ee004d67492d3df189d9394fc9b97c703a4b62c52e87d63afde43ef0595894" dmcf-pid="BNcI0RRfsd" dmcf-ptype="general">김진수 KISIA 회장은 “미토스나 이전 AI 모델을 활용한 공격으로도 대규모 개인정보 유출 등 다양한 위협이 발생할 수 있는 만큼, 시범사업 후 제도화를 검토하는 기존 방식으로는 늦는다”며 “시범사업과 제도화 논의가 동시에 병행돼야 한다”고 말했다. </p> <p contents-hash="2a566b3dbfd9b8d69958061eed70daff7c24b0ad8e3c641cd82bcd06dccb2217" dmcf-pid="bioDZ88Bse" dmcf-ptype="general">선의의 목적의 화이트해커 활동에 대한 법적 면책 근거 마련에 속도를 내야 한다는 법조계 목소리도 나왔다. </p> <p contents-hash="419c8113321f555a8c5b2f7eaf16f6507174e59d52dea427af55bb2050cdf35c" dmcf-pid="Kngw566bOR" dmcf-ptype="general">이 세미나는 보안취약점 상시 신고조치제 시범 사업 이후 제도화를 지원하기 위해 마련됐다. 배경훈 국가AI전략위 부위원장이자 부총리 겸 과학기술정보통신부 장관과 이원태 보안특위 위원장 등 위원회 위원, 과기정통부·국정원·개인정보위·한국인터넷진흥원 등 관계 기관, 삼성생명·LG유플러스·엔씨·잉카인터넷·토스페이먼츠 등 시범사업 참여기업을 포함해 50여 명이 참석했다. </p> <p contents-hash="fb544afe33941018114ce4a92673800b634970aaefada3f9ccdc626060352383" dmcf-pid="9Lar1PPKIM" dmcf-ptype="general">이원태 위원장을 좌장으로 이태승 한국인터넷진흥원(KISA) 연구위원, 구동언 로그프레소 전무, 김진수 한국정보보호산업협회(KISIA) 회장, 정석윤 법무법인 원 변호사가 발제자로 나섰다. 김경훈 카카오 AI 세이프티 리더와 유창하 법무법인 린 미국 변호사도 패널로 참석했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 'K-문샷' 사임한 이민형, 의혹 제기 교수 고소…공방 격화 06-18 다음 "'혐오표현' 금지·처벌 만으로 부족…'칵테일 요법' 필요" 06-18 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
