KISA, 침해사고 사전 예방 목적… 'IoT 신고포상제'도 운영
2012년부터 시행된 보안 취약점을 사전에 발견해 신고하는 제도가 차츰 확대되고 있다. 그러나 일각에선 소프트웨어(SW) 개발업체의 인식전환은 아직 부족하다는 지적도 나온다.
11일 한국인터넷진흥원(KISA)과 업계에 따르면 인터넷진흥원이 추진해 온 'SW 신규 취약점 신고포상제'는 첫 해 23건을 신고해 이중 14건에 대해 포상을 진행하며 출발했다. 이듬해 179건 신고·89건 포상, 2014년에는 274건 신고·177건 포상, 지난해에는 321건 신고·215건 포상을 진행해 점차 자리를 잡아가고 있다. 인터넷진흥원이 지급한 포상금액만 해도 첫 해 1970만원에서 이듬해 1억원을 돌파했고, 지난해에는 1억8470만원을 기록해 2억원에 육박했다.
인터넷진흥원은 이 밖에 지난해 11월에는 사물인터넷(IoT)의 보안 취약점에 대한 신고를 접수해 포상하는 'IoT 취약점 신고포상제'도 운영하기도 했다. 이 같은 제도를 도입한 까닭은 보안 취약점을 미리 발견해 사전에 침해사고를 예방하는데 목적이 있다. 취약점에 대한 대비책을 마련하기 전에 해커가 이를 공격해 침투하는 '제로데이(Zero Day)' 공격이 빈번해지는 상황에서 사전 예방이 무엇보다 중요해지고 있기 때문이다.
이와 함께 사전 신고자에 대해 업체가 직접 포상금을 지급하며 적극적인 사전 예방에 나서는 기업도 있다. 네이버와 한글과컴퓨터는 각각 지난해와 2014년에 자신들의 SW에 있는 취약점을 신고한 이들에게 3440만원과 1140만원의 포상금을 지급하고 취약점을 보완했다.
한편 일각에선 SW 업계의 반발로 보다 적극적인 확대가 어려운 게 아니냐는 시각도 상존하고 있다. 한 보안업계 관계자는 "국내 SW 업체들이 '왜 조용한 문제를 끄집어내서 크게 만드느냐'며 취약점을 신고한 해커를 상대로 소송을 운운하는 경우가 여전하다"고 말했다. 전길수 인터넷진흥원 사이버침해대응본부장도 "여전히 일부 업체는 신고자와 신고포상제에 대해 불만을 표시하는 경우가 많다"며 "SW 업계에 인식의 전환이 필요하다"고 지적했다. 한 업계 관계자는 "구글이나 테슬라자동차 등 해외 IT 대기업의 경우 자신들이 직접 해커들을 대상으로 모의 해킹이나 보안 취약점 신고 포상제를 운영하고 있다"며 "국내 업계도 폐쇄적인 사고에서 벗어나 열린 태도를 보여야 한다"고 말했다.
이재운기자 jwlee@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
