사이버 보안 정책
DropBG (dropbg.io) • 조정된 취약점 공개 (CVD)
정책
당사의 보안을 개선하는 데 관심을 가져주셔서 감사합니다. 법적 문제의 위험을 방지하기 위해 아래 규칙을 준수해 주시기 바랍니다.
조정된 취약점 공개 가이드라인
- 무단 공유를 피하세요. 조정된 공개 절차가 진행되는 동안에는 영향을 받는 공급업체, 시스템 소유자 및 당사와만 취약점에 대해 논의해 주세요.
- 수정을 위한 시간을 주세요. 영향을 받는 당사자가 문제를 해결할 충분한 시간을 가질 때까지, 또는 귀하와 DropBG를 포함한 모든 당사자가 공개 합의에 도달할 때까지 취약점의 대중 공개를 보류해 주세요.
- 상호작용을 최소한으로 유지하세요. 취약점을 제보한 후에는 조정된 공개 절차가 진행되는 동안 해당 시스템과 다시 상호작용하지 마세요.
- 테스트 범위를 제한하세요. 개념 증명(PoC)을 시연할 때는 필요한 최소한의 작업만 수행하세요. 필요한 범위를 넘어 데이터를 다운로드, 수정 또는 삭제하지 마세요.
- 접근 권한을 초과하지 마세요. 개념 증명에 필요한 최소 수준을 넘어 권한을 상승시키거나 시스템을 탐색하지 마세요. 테스트에는 본인의 계정만 사용하고 다른 사용자의 데이터를 절대 유출하지 마세요.
- 윤리적인 방법을 사용하세요. 시스템에 접근하기 위해 무차별 대입(Brute-force)이나 사회공학적(Social Engineering) 기법을 사용하지 마세요.
- 악의적인 행동을 피하세요. 서비스 거부(DDoS) 공격을 수행하거나 멀웨어 또는 바이러스를 설치하지 마세요.
- IP 주소를 제공해 주세요. 가능한 경우 취약점 발견 과정에서 사용한 IP 주소를 함께 알려주세요. 이는 잠재적 악용 여부를 평가하고 오탐지 알림을 줄이는 데 도움이 됩니다.
- 공개 계획을 미리 공유해 주세요. 발표나 기고문 등을 통해 발견 내용을 대중에게 공개할 계획이라면 사전에 당사에 알려주시기 바랍니다.
당사 CVD 프로그램에서 기대할 수 있는 사항
- 법적 보호 (Safe Harbor). 가이드라인을 준수하고 선의로 행동하며 악의적인 의도가 없는 한, 취약점 제보로 인해 당사로부터 민사 또는 형사 소송을 당하지 않습니다.
- 기밀성 및 익명성 보장. 귀하의 제보는 기밀로 취급됩니다. 익명을 유지할 수 있으며, 귀하의 명시적 동의 없이는 개인정보를 제3자와 공유하지 않습니다.
- 공로 인정. 문제가 해결된 후 취약점 제보자로 귀하의 이름이나 닉네임을 기꺼이 기재해 드립니다.
- 신속한 응답. 영업일 기준 3일 이내에 제보 접수 확인을 받으실 수 있으며, 영업일 기준 5일 이내에 문제를 분류 및 검토합니다.
- 지속적인 소통. 취약점 해결 진행 상황을 지속적으로 안내해 드리며, CVE 게시가 필요한 경우 모든 관련 당사자와 공개 일정을 조율합니다.
- 명예의 전당(Wall of Fame) 등재. 당사는 독립 프로젝트이므로 금전적 보상이나 현금 포상금(버그 바운티)을 제공하지 않습니다. 대신 귀하의 기여에 대한 감사의 표시로 공개 보안 명예의 전당(Security Wall of Fame)에 귀하의 이름이나 핸들을 기꺼이 등재해 드립니다(익명을 선호하는 경우 제외).
취약점을 제보하려면 다음 주소로 이메일을 보내주세요: dropna@pm.me. 당사의 RFC 9116 보안 파일은 다음 경로에서 확인할 수 있습니다: /.well-known/security.txt.
최종 수정일: 2026년 9월 29일