[서울=뉴시스]박은비 기자 = "우리 서비스를 해킹해주세요. 취약점을 찾으면 돈을 드리겠습니다."

기업들의 보안 공식이 바뀌고 있다. 해커 침입을 막아야 하는 상황에서 오히려 해커에게 문을 열고 있어서다. 국내 통신사 중에는 LG유플러스가 처음 '글로벌 버그바운티(Bug Bounty)' 운영에 나섰다.

버그바운티는 기업·조직의 서비스와 IT 인프라에서 보안 취약점을 발견한 화이트해커에게 포상금을 지급하는 제도를 말한다. 기업은 보안 취약점을 조기에 발굴·보완해 한층 강화된 보안 환경을 구축할 수 있다.

25일 업계에 따르면 LG유플러스는 전날부터 글로벌 버그바운티 프로그램 운영을 시작했다. 이를 위해 전 세계 240만여명의 화이트해커가 소속된 커뮤니티 해커원(HackerOne)과 파트너십을 체결했다.

이번 프로그램은 모바일·인터넷·기업서비스 등 LG유플러스 서비스 전 영역을 대상으로 운영된다. 최근 인공지능(AI) 고도화로 해커가 무단 접근하거나 공격하는 보안 위협이 국내에 국한되지 않는 상황에서 통신 서비스도 로밍·클라우드·AI 서비스 등 해외 인프라와 맞닿는 영역이 늘고 있다는 판단이다.

내부 보안팀은 회사 시스템의 구조와 개발 의도를 잘 알고 있지만, 그만큼 예상하지 못한 방식으로 서비를 바라보는 데 한계가 있을 수 있다. 전문 보안업체의 모의해킹 역시 일정 기간과 범위 안에서 이뤄진다.

하지만 버그바운티는 상시적인 외부 검증이 가능하다. 새로운 기능이 추가되고 코드가 바뀌면 새로운 취약점이 생길 수 있는데 버그바운티는 이런 변화가 반복되는 서비스에 외부의 시선을 지속적으로 붙여놓는 역할을 한다.

◆버그바운티 꺼리는 기업들 "안 그래도 인력 부족한데 보안·개발 업무 가중"

현재 국내에서 버그바운티를 도입한 기업이 많은 편은 아니다.

국내 통신사의 경우 KT는 내부 임직원과 그룹사 대상으로만 보안 취약점 신고·보상 프로그램을 2017년부터 시행하고 있다. SK텔레콤은 취약점 신고 포상제인 버그바운티 연내 시행을 목표로 준비 중이다.

기업들은 버그바운티를 두기 어려운 이유로 보안 및 개발 업무가 늘어나는 상황에 대한 부담을 호소한다.

취약점이 접수되면 보안팀은 내용을 확인하고 실제로 재현되는지 검증해야 한다. 이후 위험도를 평가하고 개발팀에 전달해 수정한 뒤 다시 검증하는 절차도 거쳐야 한다.

이 때문에 버그바운티를 할 만큼 준비가 안 된 보안 수준이 낮은 회사가 시작하기 어려운 측면이 있다.

한 IT 기업의 정보보호최고책임자(CISO)는 "내부적으로 취약점을 찾는 모의해킹을 하더라도 100% 안전하다고 할 수가 없다"며 "버그바운티를 하면 해커들한테 '다 덤벼봐' 하면서 취약점을 보완할 수 있으니까 좋은데, 문제는 안 그래도 인력이 적은 상황에서 과제가 많이 생기니 대응이 쉽지 않다"고 토로했다.

◆괜히 외부 노출했다가 더 문제?…"별도 가상 환경에 검증된 해커만 접근"

일각에서는 회사 내부 시스템을 외부에 공개하면서 공격표면이 더 넓어지는 게 아니냐는 우려의 시선도 존재한다. 외부 연구자가 취약점을 찾는 과정에서 실제 이용자 정보에 접근할 가능성이 존재하고, 잘못된 테스트가 서비스 장애로 이어질 수 있다.

이에 참여 기업들은 테스트할 수 있는 시스템과 금지된 행위를 구체적으로 정하고 있다. LG유플러스 역시 실제와 유사한 별도의 가상 환경을 마련하고, 검증된 소수의 화이트해커만 접근할 수 있게 했다.

LG유플러스는 이번 글로벌 버그바운티 운영으로 글로벌 스탠다드에 부합하는 취약점 관리 체계를 갖출 것으로 기대하고 있다.

다만 모든 기업이 글로벌 버그바운티를 운영해야 하는 것은 아니다. 서비스 규모와 성격, 보안 조직의 역량, 취약점 대응 체계에 따라 개별 회사에 적합한 방식이 다르기 때문이다.

국내에서는 한국인터넷진흥원(KISA)이 기업들의 버그바운티 직접 운영 부담을 낮추기 위해 공동 운영 프로그램을 통해 진입 장벽을 낮추고 있다. 지금까지 공동 운영 제도에 참여한 기업 가운데 네이버, 카카오, 지니언스, LG전자, 삼성SDS 등이 자체 버그바운티를 구축해 독립 운영 중이다.

다른 기업의 CISO는 "과학기술정보통신부와 KISA가 주관하는 보안취약점 상시 신고·조치·공개 제도(CVD·VDP) 시범사업 참여 기업들을 보면 당장의 준비가 부족한 점이 있더라도 방어 태세 성숙도를 높이고 싶다는 강한 의지가 있다"며 "보안 강화를 위해 성장해 나가는 과정이라고 볼 때 이런 기업들의 태도는 굉장히 박수쳐줄 만하다고 본다"고 했다.


◎공감언론 뉴시스 silverline@newsis.com