EVIDENT 조정된 취약점 공개(CVD) 정책 및 제품 보안 성명서

서론

EVIDENT는 사이버 보안 및 제품 보안을 매우 중요하게 생각합니다. 당사는 사용자와 환자의 안전을 보장하고, 데이터의 기밀성을 보호하며, 디지털 요소가 포함된 제품 및 서비스의 보안을 유지하기 위해 최선을 다하고 있습니다.

끊임없이 확장되고 매우 복잡한 사이버 보안 분야와 관련된 모든 위협에 전문적으로 대응하기 위해, 당사는 전담 전문가들로 구성된 제품 보안 팀을 설립하였으며, 이들은 위험 평가, 위협 모델링, 보안 설계, 보안 코딩 및 제품의 전반적인 보안 개발 수명 주기(SDLC)와 같은 중요한 과제를 지속적으로 다루고 있습니다.

취약점 보고 및 공개는 당사의 사이버 보안 체제의 핵심 축이기도 합니다.

당사는 보안 취약점에 대한 책임감 있는 보고 및 해결을 지원하기 위해 이 조정된 취약점 공개(CVD) 정책을 제공합니다.

관할권에 따라 규제 의무가 상이한 경우, EVIDENT는 해당 제품 및 시장에 적용되는 관련 법적 프레임워크를 적용합니다.

적용 범위

본 CVD 정책은 다음의 대상에 적용됩니다.

EVIDENT가 제공하는 디지털 요소를 포함하는 모든 소프트웨어 및 하드웨어 제품에 적용되며, 당사는 디지털 요소를 포함하는 모든 제품에 대한 취약점 또는 사고의 책임 있는 공개를 권장합니다.
제품 기능에 필요한 모든 관련 원격 데이터 처리 솔루션.

취약점 신고 방법

EVIDENT는 발견 가능성, 선택적 익명 신고 및 체계적인 접수에 대한 기대치를 충족하기 위해 공개적이고 접근하기 쉬운 취약점 접수 채널을 제공합니다. 본 CVD 정책은 공개적인 취약점 접수 및 신고자와의 협조를 지원하지만, 해당되는 경우 CRA 또는 기타 관련 법률에 따라 CSIRT, ENISA, 시장 감시 당국 또는 기타 관할 기관에 대한 EVIDENT의 별도의 규제 보고 의무 를 대체, 제한 또는 정의하지는 않습니다.

이메일(product.security.reporting@evidentscientific.com )을 통해 취약점을 제출할 수 있습니다.

가능하다면, 보고서의 분석 속도를 높이기 위해 취약점 보고서를 영어로 작성해 주시기 바랍니다.

취약점을 제출하려면 합리적으로 가능한 범위 내에서 다음 정보가 필요합니다:

취약점에 대한 간략한 요약
취약점에 대한 상세한 설명
취약점이 초래할 수 있는 잠재적 영향
영향을 받는 제품 및 버전
해당되는 경우, 시스템 하드웨어 구성(변형), 해당 구성에 연결된 하드웨어 장치, 운영 체제, 네트워크 연결 등과 같은 구성 세부 정보
해당되는 경우, 어떤 타사 구성 요소가 영향을 받습니까?
취약점을 발견하고 악용하기 위한 도구 및 방법
취약점을 재현하는 단계
가능한 경우, 해당 취약점이 실제로 악용될 수 있음을 입증하는 개념 증명(예: 악용 코드)
취약점을 악용하는 데 필요한 권한
해당 취약점이 이미 적극적으로 악용되고 있다는 증거
선택 사항: 귀하의 연락처 정보 및 당사의 제품이나 서비스 내에서 사용되는 타사 구성 요소에서 취약점이 발견된 경우, EVIDENT가 귀하의 연락처 정보를 해당 타사 공급업체에 전달하는 것을 허용하는지 여부.

취약점 보고서를 제출함으로써, 귀하는 EVIDENT에 보고된 취약점을 책임감 있는 방식으로 조사, 검증, 수정 및 공개하는 목적으로만 제출된 정보를 사용, 복제 및 공유할 수 있는 비독점적, 전 세계적, 로열티 없는 권리를 부여합니다.

EVIDENT는 취약점 보고 및 관련 정보를 적절한 주의를 기울여 취급하며, 제품 보안, 취약점 처리 또는 관련 법률 및 규제 요건 준수와 무관한 목적으로 해당 정보를 사용하지 않습니다.

귀하는 정보 제출이 귀하에게 어떠한 권리(본 정책에 명시적으로 규정된 경우 제외)도 부여하지 않으며, 관련 법률에서 요구하는 범위를 넘어서는 EVIDENT에 대한 계약상 의무도 발생시키지 않는다는 데 동의합니다.

협조적 공개, 대응 절차 및 약속

EVIDENT는 취약점 보고를 접수하면 다음과 같이 조치합니다.

귀하가 연락처 정보를 제공했고 익명으로 신고하지 않은 경우, 합리적으로 가능한 한 빨리 신고 접수 사실을 확인해 드리기 위해 노력합니다. EVIDENT는 이 사안을 참조할 수 있는 고유한 추적 번호를 귀하에게 제공할 것입니다.
귀하에게 EVIDENT와 안전하게(예: 이메일 암호화 사용) 소통을 계속할 수 있는 옵션을 제공하고, 추가 설명이 필요한 경우 귀하의 협조를 요청할 것입니다.
당사의 제품 보안 사고 대응 팀(PSIRT)을 통해 보고된 취약점을 검증합니다.
해결 방안을 마련하고 해당 해결책에 대한 검증을 수행합니다.
적절한 조치(예: 정보 공개, 보안 업데이트 제공 등)를 취합니다.
신고된 취약점이 당사 제품 또는 서비스 중 하나에 포함된 제3자 구성 요소에서 발견된 경우, EVIDENT는 문제 해결에 필요한 취약점 세부 정보를 해당 제3자 공급업체와 공유할 수 있습니다. 귀하의 연락처 정보는 귀하가 그러한 공개에 명시적으로 동의한 경우에만 제3자 공급업체에 전달됩니다. 동의가 없는 경우, EVIDENT는 가능한 한 귀하의 신원이나 개인 연락처 정보를 공개하지 않고 취약점에 대해 전달할 것입니다.

EVIDENT는 취약점 공개에 있어 조정된 위험 기반 접근 방식을 따릅니다.

다음과 같은 경우를 포함하되 이에 국한되지 않고, 합리적이고 적절한 경우 공개 시기가 조정될 수 있습니다:

수정 또는 검증의 복잡성,
제3자 구성 요소 또는 공급업체에 대한 의존도, 또는
사용자, 고객 또는 환자 안전에 대한 과도한 위험을 방지해야 할 필요성.

취약점이 적극적으로 악용되고 있거나, 높은 위험 또는 임박한 위험을 초래하는 경우, 또는 규제나 위험 완화상의 고려 사항으로 인해 긴급한 공지가 필요한 경우에는 조기 공개를 검토할 수 있습니다.

제로데이 취약점의 경우, EVIDENT는 완전한 수정 프로그램이 제공되기 전 , , 문제 해결이 진행되는 동안 위험을 줄이기 위해 임시 완화 조치나 우회 방법을 포함한 단계적 또는 제한적 공개를 제공할 수 있습니다.

이러한 접근 방식을 뒷받침하기 위해 EVIDENT는 다음과 같이 조치할 것입니다:

고객과 협력하여 합리적이고 위험 기반의 공개 시기를 협의합니다.
적절한 경우, 기존 고객 알림 절차를 활용하여 고객과의 직접적인 소통을 통해 취약점을 공개합니다. 여기에는 공식적인 해결책이 마련될 때까지의 예비적인 우회 조치 제공이 포함될 수 있습니다.
수정 프로그램이 제공되거나, 해당되는 경우 CRA(소비자권리법) 또는 기타 관련 법률에 따른 비례적이고 위험 기반의 커뮤니케이션 고려 사항에 부합하는 시점에 취약점 권고문을 게시합니다.

EVIDENT는 공개 시기보다 환자 안전을 최우선으로 여깁니다. 따라서 EVIDENT는 피해를 방지하기 위해 특정 공개 세부 정보를 일시적으로 보류할 수 있습니다.

CRA 제14조에 따라 EU 당국에 대한 보고 의무

위의 평가를 통해 해당 보고가 다음 중 어느 것에 해당하는지 확인합니다.

현재 악용되고 있는 취약점 및/또는
당사 제품의 보안에 영향을 미치는 심각한 사고인지 여부를 확인합니다.

CRA의 규정에 따라.

해당하는 경우, EVIDENT는 CRA 제14조에 따라 ENISA가 운영하는 단일 보고 플랫폼(SRP)을 통해 EU 당국에 이를 통보할 것입니다. EVIDENT는 해당 CRA 보고 의무 준수를 지원하기 위해 마련된 내부 절차를 유지하고 있습니다.

관련 법률에 따라, CRA에 따른 보고 의무 외에도 EVIDENT는 국가 CERT에 취약점을 보고할 수 있습니다.

CRA는 MDR 또는 IVDR이 적용되는 디지털 요소가 포함된 제품에는 적용되지 않습니다.

보복 금지 약속("세이프 하버")

귀하가 선의에 따라 본 ‘조정된 취약점 공개 정책’을 준수하여 행동하는 경우, EVIDENT는 귀하의 취약점 연구 및 보고 활동에 대해 법적 조치를 취하지 않을 것입니다. 이 약속은 EVIDENT에 의해서만 제공되며, 고객, 사용자, 규제 기관 또는 기타 공급업체를 포함한 제3자의 권리나 청구를 구속, 포기 또는 제한하지 않습니다.

EVIDENT는 본 정책에 따라 수행된 보안 연구를 승인된 것으로 간주하며, 단, 귀하가 다음을 준수하는 경우에 한합니다:

개인정보 침해, 서비스 중단, 또는 사용자, 환자, 고객에 대한 부정적 영향을 피하기 위해 성실하게 노력할 것;
취약점의 존재를 검증하는 데 합리적으로 필요한 범위로만 활동을 제한해야 하며;
본 정책의 “책임 있는 행동 및 책임 있는 연구” 섹션을 준수해야 하며;
발견된 취약점을 EVIDENT에 즉시 보고하고, 조정된 공개에 합의되기 전까지 이를 공개하지 않아야 합니다.

본 세이프 하버는 불법적이거나, 무모하게 수행되거나, 고의적인 피해를 수반하거나, 무단 접근, 고객 또는 환자 데이터에 대한 접근, 법적 금지 조항의 우회, 취약점을 입증하는 데 필요한 범위를 넘어서는 데이터 유출, 공갈, 사회 공학, 승인 없이 고객 환경이나 운영 시스템에서 테스트를 수행하는 행위, 또는 본 정책의 범위를 벗어난 행위에 대해서는 적용되지 않습니다.

EVIDENT는 악의적 의도, 불성실한 행위 또는 관련 법률 및 규정 미준수 시 적절한 조치를 취할 권리를 보유합니다.

승인된 테스트, 책임 있는 행동 및 책임 있는 연구의 범위

본 정책에 따른 승인된 취약점 연구는 테스트를 위해 의도적으로 제공된 EVIDENT 제품 및 서비스로 제한되며, 여기에는 전용 테스트, 데모 또는 개발 환경과 고객 또는 사용자 상호작용을 명시적으로 목적으로 하는 공개적으로 접근 가능한 인터페이스가 포함됩니다.

EVIDENT가 본 정책에 따라 의도적으로 테스트를 위해 제공한 구성 요소, 시스템 및 환경을 제외하고, 테스트는 연구자가 소유하거나 관리하는 구성 요소, 시스템 및 계정에서만 수행되어야 하며, 시스템 가용성을 저하시키거나 환자 안전을 위협하거나 실제 사용자, 고객 또는 환자 데이터에 영향을 미치지 않는 기술만을 사용해야 합니다.

이 범위 외의 테스트 활동은 EVIDENT의 명시적인 사전 서면 승인을 받아야 합니다.

책임감 있는 행동을 보장하기 위해 다음 지침을 준수해 주십시오:

연구 및 테스트 활동 수행 시 모든 법률과 규정을 준수하십시오.
EVIDENT 또는 제3자에게 정보를 제출할 때는 개인 식별 정보(PII)나 환자 건강 정보(PHI)와 같은 민감한 정보가 통신 내용에 포함되지 않도록 주의하십시오. 스크린샷이나 기타 첨부 파일을 제공하는 경우, 기술적으로 안전한 방법으로 해당 정보를 반드시 제거하십시오.
현재 활발히 사용 중인 제품이나 서비스, 특히 환자 치료, 환자 진단 또는 환자 모니터링에 사용되는 제품이나 서비스에 대해서는 취약점 테스트나 취약점 연구를 수행하지 마십시오. 대신, 테스트 및 연구 활동을 데모 또는 테스트 환경으로만 제한하십시오. 제품이나 서비스의 정상적인 작동을 방해할 수 있는 행위(예: 서비스 거부(DoS) 공격 수행)는 삼가 주십시오.
취약점의 존재를 확인하는 데 절대적으로 필요한 범위를 넘어서는 방식으로 취약점을 악용하지 마십시오.
발견한 취약점을 어떠한 형태로도 악용해서는 안 됩니다. 여기에는 다음이 포함되나 이에 국한되지는 않습니다:
1. 민감하거나 비공개 데이터에 접근하거나 이를 다운로드하는 행위
2. 데이터를 변경하거나 삭제하는 행위
3. 시스템을 변경하거나 손상을 입히는 행위
테스트 중에는 본인의 계정과 시스템만 사용하십시오. 사회공학적 기법을 사용하여 타인의 계정에 접근해서는 안 됩니다.
시스템에 접근하기 위해 무차별 대입 공격을 사용해서는 안 됩니다.

데이터 보호

귀하가 제공하는 모든 개인 데이터(예: 연락처 정보)는 보고된 취약점을 처리 및 조정하고 관련 법적 의무를 준수하기 위한 목적으로만 EVIDENT에 의해 처리됩니다. 이러한 데이터는 해당 목적에 필요한 기간 동안만 보관되며, 관련 데이터 보호법 및 https://evidentscientific.com/ko/legal/privacy에서 확인할 수 있는 EVIDENT의 개인정보 처리방침에 따라 처리됩니다.

버그 바운티 또는 명예의 전당

EVIDENT는 현재 버그 바운티 프로그램을 운영하지 않습니다. 신고자는 EVIDENT에 취약점을 신고하더라도 금전적 보상이나 기타 보상이 제공되지 않음을 인정합니다.