미·일·유럽 5개 사이버보안기관, 취약점 공개 공동 지침…연구자 세이프하버 권고

미국 사이버보안·인프라보안국(CISA)과 국가안보국(NSA), 일본 JPCERT/CC, 네덜란드 국가사이버보안센터(NCSC-NL), 영국 국가사이버보안센터(NCSC-UK)가 공동 취약점 공개(CVD) 프로그램 운영 지침을 발표했다. 7월 15일자 공동 문서는 소프트웨어 제조사와 온라인 서비스 제공자가 외부 보안 연구자와 협력해 취약점을 접수하고 수정·공개하는 전 과정을 다룬다.

5개 기관은 내부 보안 점검만으로 모든 결함을 발견하기 어렵다고 진단했다. 공급자가 공개된 취약점 공개 정책(VDP)을 마련하고, 외부 연구자가 법적 보복을 걱정하지 않고 결함을 알릴 수 있는 명확한 통로를 제공해야 한다는 것이 지침의 출발점이다. 보고 접수 이후에는 분류와 심각도 평가, 수정, CVE 식별자 부여, 보안 권고 공개로 이어지는 내부 절차를 갖추도록 했다.

지침은 VDP를 웹사이트에 공개하고 참여 범위를 국적이나 연령 등으로 제한하지 말라고 권고했다. 보안 연구가 실제 공격자의 행동을 충분히 재현할 수 있도록 시험 범위는 가능한 한 넓게 설정하되, 취약점 존재를 확인하는 데 필요한 최소 수준을 넘어선 악용은 금지해야 한다. 악성코드 투입, 데이터 복사·삭제, 무차별 대입, 서비스 거부 공격, 사회공학 등 금지 행위도 정책에 구체적으로 적도록 했다.

신고 방식은 전용 이메일이나 웹 플랫폼, 제3자 조정기관을 통해 명확히 안내해야 한다. 공동 지침은 국제인터넷표준화기구(IETF)의 RFC 9116에 따른 security.txt 파일도 권고했다. 익명 신고를 허용하는 방안과 최소 보고 요건, 이상적인 보고서에 포함할 개념증명과 영향 평가도 정책에서 설명할 필요가 있다고 봤다.

선의의 연구자를 위한 세이프하버도 핵심 권고에 포함됐다. 공급자가 정책을 준수한 연구를 승인된 활동으로 간주하고 관련 법적 조치를 추진하지 않겠다고 명시하는 방식이다. 공동 지침은 포괄적인 비밀유지계약이나 이른바 ‘조용한 수정’에 의존하지 말고, 연구자와 합리적인 수정·공개 일정을 협의하라고 요구했다. 수정된 사실을 알리지 않는 조용한 수정은 고객의 패치 적용을 늦출 수 있다는 판단이다.

운영 단계에서는 취약점 신고 전용 채널을 일반 고객지원과 분리하고, 접수 후 2~3영업일 안에 연구자에게 응답하는 방안이 제시됐다. 심각도와 우선순위는 이해관계자별 취약점 분류 체계(SSVC) 같은 도구로 평가하고, 위험도가 높다면 신규 기능 개발이나 정기 버그 수정 일정보다 보완을 앞세우도록 했다. 개발팀에는 같은 유형의 결함이 다른 코드에도 있는지 함께 찾고, 수정안이나 완화책을 연구자와 검증하는 절차도 권고했다.

확인된 제품 취약점에는 내부 발견과 외부 신고를 가리지 않고 CVE 식별자를 부여하는 것이 원칙으로 제시됐다. 공개 기록에는 근본 원인을 설명하는 CWE, 기술적 영향과 악용 가능성을 나타내는 CVSS 벡터, 영향받는 제품과 버전, 실제 악용 여부, 수정·완화 방법을 담아야 한다. 고객용 권고는 로그인이나 유료 구독 없이 열람할 수 있는 위치에 게시하고, 자동 분석이 가능한 공통 보안 권고 프레임워크(CSAF)를 활용하는 방안도 포함됐다.

자체 인력이나 역량이 부족한 공급자는 국가 침해사고대응팀이나 제3자 조정기관을 활용할 수 있다. 이들 기관은 연구자와 공급자 사이의 연락, 복수 업체가 얽힌 취약점 조정, CVE 부여, 동시 공개를 지원한다. 다만 공동 지침은 외부 조정기관이나 버그바운티 프로그램을 선택할 때도 과도한 비밀유지 조건이 없는지 확인해야 한다고 강조했다.

이번 문서는 특정 취약점이나 긴급 공격을 경고하는 보안 권고가 아니라, 제품을 만드는 조직의 공개·대응 체계를 표준화하려는 운영 지침이다. 취약점 접수를 고객지원의 부수 업무로 두지 않고 제품 보안의 독립된 절차로 다루며, 연구자 보호와 고객 통지를 함께 제도화했다는 점에서 의미가 있다. 국내 소프트웨어 기업과 온라인 서비스 사업자도 글로벌 공급망과 규제 요구에 대응하려면 공개 정책, 전용 신고 창구, CVE·보안 권고 발행 절차를 점검할 필요가 있다.

출처: NSA 공식 발표 https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4546549/nsa-joins-cisa-and-others-in-releasing-the-cybersecurity-information-sheet-esta/
출처: CISA·NSA·JPCERT/CC·NCSC-NL·NCSC-UK 공동 지침 https://media.defense.gov/2026/Jul/14/2003961238/-1/-1/0/260714-D-AB123-1001.PDF