개발자를 위한 취약점 정보 발표 가이드라인(한글판)

예전에 말씀드린 일본의 '개발자를 위한 취약점 정보 발표 가이드라인'을 Nchovy Storm Center 에서 한글로 번역해주셨습니다. 앞으로 대한민국의 보안 발전에 큰 기여가 될 것 입니다. 번역하느라 수고하신 8con 님께 모두 감사를~

한글판 보러 가기 : http://nchovy.kr/forum/2/article/224

국내에선 아쉽게도 고객에게 자사 제품의 취약점 정보를 제공하면서 상세한 정보를 제공하지 않아, 많은 고객들이
  1. 무엇이 문제인지? (즉, 해당 취약점에 대해 조치를 취하지 않으면 어떤 피해가 발생하는지?)
  2. 어떤 버전이 취약한 것인지? (즉, 우리회사에 납품된 제품은 안전한 것인지?)
  3. 우리회사에 납품된 제품이 취약한 제품인지 여부를 어떻게 확인할 수 있는지?
  4. 이 정보가 언제 발표되었는지? (제품 도입 일자 및 패치 일자와 비교하여, 패치 여부를 파악할 수 있는 수단)
  5. 어떻게 대처해야 하는지?
  6. 패치 말고 혹시 다른 대안은 없는지?
등에 대해 궁금해하면서 발만 동동 구르는 경우를 많이 보게 됩니다.

결과적으로 이런 고객들은 해당 제품 개발사에 대해 불만을 품은 상태에서, 고객센터(혹은 영업사원 이나 유지보수팀)에 전화하여 알고싶은 내용들을 질문하게 되고, 결과적으로 개발사는 많은 비용을 지불하게 됩니다. 왜냐하면,
  1. 중복된 내용을 질문하는 고객들 모두에게 전화로 응대하여야 함 (시간 낭비).
  2. 전화가 폭주하면서 고객들은 개발사의 위기 대응 능력, 고객 서비스에 대해 실제보다 안좋은 인상을 받게 됨.
  3. 단발적인 이슈에 대해 여러명의 SE 를 고객사로 파견하여 패치 작업을 대행하여야 함.

이런 불필요한 비용 낭비를 막기 위해서는 '개발자를 위한 취약점 정보 발표 가이드라인(한글판)' 에 나온 좋은 예제를 충실히 따라주시면 됩니다.

이글루스 가든 - professional secur...