국내 취약점 공개 정책（VDP）의 단계별 운영 모델에 관한 연구 = A Study on Phased VDP Operating Models in Korea

다국어 초록 (Multilingual Abstract)

This paper examines a phased operational model for the introduction of a vulnerability disclosure policy in Korea. The system is still not familiar in Korea. A number of domestic framework issues including legal uncertainty for good faith researchers and corporate avoidance of formal reporting procedures, were collected and analyzed to address the causes of domestic VDP limitation. Furthermore, the absence of practical operation guidelines and unclear remediation obligations were analyzed to find the fundamental reason of low corporate participation.

As a solution for those issues, a research of phased VDP operating models has made to overcome the limit of company security maturity based on international standards. By applying collaborative support model, small and medium enterprises can reduce the operational burden through joint classification, template provision, and risk categorization. Also, internal dedicated organization model is applied to mature enterprises for strict internal remediation procedures, controlled disclosure criteria, and direct communication with researchers.

To support these models, a research of institutionalization has made to provide legal and policy support simultaneously. By applying this institutional support model, we can expect more continuous corporate security governance environments coming from active applications to improve information security disclosures and VDP excellence certification system linked to public procurement incentives.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 목적 1
• 제2절 연구의 범위 및 방법 3
• 1. 연구의 범위 3
• 2. 연구의 방법 4
• 제2장 취약점 공개（VDP） 체계 및 국제 표준 5
• 제1절 취약점 공개 정책의 개념 및 유형 5
• 1. 취약점 공개의 정의와 목적 5
• 2. 취약점 공개 정책의 개념과 구조 6
• 3. 완전 공개와 조정된 공개의 비교 분석 7
• 4. 관리형 취약점 공개 모델의 운영 구조 및 특징 9
• 제2절 취약점 발굴 행위의 법적 성격 10
• 1. 정보통신망 침해 행위의 구성 요건 10
• 2. 화이트 해커의 취약점 점검과 정당행위 성립 여부 11
• 제3절 취약점 공개 정책의 국제 표준 및 운영 현황 13
• 1. 국제 표준 규격의 핵심 요구사항 분석 13
• 2. 국제 표준 기반의 공개 프레임워크 및 관리 체계 16
• 3. 해외 주요국 및 기업의 취약점 공개 정책 운영 사례 18
• 제3장 국내 취약점 공개 정책의 현황 및 한계 28
• 제1절 국내 취약점 신고 제도의 실태와 한계 28
• 1. 한국인터넷진흥원 신고포상제의 운영상 한계 28
• 2. 신고된 취약점에 대한 기업의 조치 의무 부재 31
• 제2절 기업 실무 및 운영상의 현실적 장애 요인 34
• 1. 취약점 노출에 따른 기업 평판 저하 우려 34
• 2. 중소기업의 보안 예산 및 전담 인력 부족 37
• 3. 국내 환경에 적합한 실무 운영 가이드라인 부재 39
• 제4장 국내 VDP 실무 적용 및 활성화 방안 41
• 제1절 국내 VDP 운영을 위한 공통 프레임워크 설계 41
• 1. 통합형 VDP 플랫폼의 시스템 구성 41
• 2. 국제 표준 기반 운영 프로세스의 정립 45
• 제2절 기업 성숙도 기반 단계별 운영모델 47
• 1. 중소기업 맞춤 공동 지원형 운영모델 47
• 2. 자체 전담 조직 기반 고도화 모델 53
• 제3절 제도 정착을 위한 법정책적 지원 방안 62
• 1. 정보보호 공시와 VDP 운영 실적의 연계 63
• 2. VDP 우수 기업 인증 및 공공조달 인센티브 부여 67
• 3. 선의의 연구자 대상 실무 면책 가이드라인 70
• 제5장 결 론 75
• 참 고 문 헌 77
• ABSTRACT 80