GitHub, 닫힌 Dependabot 보안 알림 2년 후 보관 정책 도입

GitHub 공식 변경 로그에 따르면 회사는 2026년 8월 25일부터 닫힌 Dependabot 보안 알림에 데이터 보존 정책을 적용한다. 이번 정책은 GitHub.com과 GitHub Enterprise Cloud의 Dependabot 보안 알림을 대상으로 하며, GitHub Enterprise Server에는 적용되지 않는다.

핵심 변화는 오래전에 닫힌 보안 알림의 UI와 API 노출 방식이다. GitHub는 열린 알림은 기간 제한 없이 UI와 API에서 계속 접근할 수 있고, 닫힌 알림도 닫힌 뒤 2년 동안은 같은 방식으로 제공한다고 밝혔다. 그러나 닫힌 지 2년 이상 지난 Dependabot 알림은 보관 저장소로 이동하며, 이후에는 UI나 API에 표시되지 않는다.

GitHub는 보관된 알림 데이터를 계정이 유지되는 동안 전체 충실도로 보존한다고 설명했다. 기업, 조직, 저장소 관리자와 보안 관리자는 해당 수준의 보안 알림 페이지에서 CSV 파일로 보관 데이터를 내려받을 수 있다. 저장소나 조직, 계정이 삭제되거나 엔터프라이즈 계약이 종료되는 경우에는 관련 알림 데이터도 제거된다.

이번 정책은 Dependabot부터 단계적으로 적용된다. GitHub는 다른 보안 알림 유형의 적용 시점은 아직 확정 중이며, 시행 최소 60일 전에 변경 로그로 알리겠다고 밝혔다. GitHub Enterprise Cloud 데이터 레지던시 이용자의 경우 보관 알림은 기존 데이터와 같은 지역에 남는다고 덧붙였다.

개발 조직에는 단순한 보관 정책 이상의 의미가 있다. Dependabot 보안 알림은 의존성 취약점 대응 이력, 감사 자료, 규제 준수 증빙으로 쓰이는 경우가 많다. 오래된 닫힌 알림을 REST API로 조회해 내부 대시보드나 보고 체계에 반영해 온 조직이라면 2026년 8월 25일 전에 2년 이상 지난 알림 조회 방식과 보관 CSV 활용 절차를 점검해야 한다.

정책은 보안 운영 데이터의 생애주기를 명확히 하는 동시에, 장기 이력을 API 중심으로 처리해 온 팀에는 변경 부담을 만든다. 특히 대규모 조직은 Dependabot 알림을 취약점 관리 시스템, 티켓, 감사 로그와 연결하는 경우가 많아 데이터 전환 시점과 보관 파일 관리 권한을 미리 정리할 필요가 있다.

GitHub는 적용 전까지 닫힌 Dependabot 알림을 REST API로 조회하고, 2년보다 오래된 알림에 의존하는 쿼리가 있는지 검토하라고 안내했다. 보안팀은 열린 알림과 최근 닫힌 알림의 운영 흐름은 유지하되, 장기 감사 자료는 별도 아카이브 절차로 관리하는 방향을 준비해야 한다.

출처: GitHub Changelog https://github.blog/changelog/2026-06-30-cloud-data-retention-policy-for-closed-security-alerts/
출처: GitHub Docs https://docs.github.com/rest/dependabot/alerts