{"componentChunkName":"component---src-terms-tsx","path":"/terms/homepage/vulnerability-disclosure","result":{"data":{"markdownRemark":{"frontmatter":{"path":"/terms/homepage/vulnerability-disclosure","title":"취약점 신고·공개 정책","redirectUrl":null,"noIndex":null},"html":"<h3>CVD/VDP 시범사업용 취약점 신고·공개 정책</h3>\n<p>토스페이먼츠 주식회사(이하 '본 기업')는 외부 정보보호연구자를 통한 취약점 발굴·신고 및 신고된 취약점의 조치·공개까지의 모든 과정에서 정보통신망법, 개인정보보호법, 저작권법 등 우리나라 관련 법령을 준수합니다.</p>\n<p>※ 정보보호연구자(화이트 해커, 윤리적 해커) : 침해사고 예방을 위한 선의의 목적으로 정보통신망 서비스 또는 디지털 제품의 취약점을 찾아 제보하는 개인 또는 조직(국가·공공기관, 대학교, 기업 등). 다만, 이번 시범사업에서 조직은 제외</p>\n<p>본 기업은 과학기술정보통신부·한국인터넷진흥원이 실시하는「취약점 신고·조치·공개제도(CVD/VDP) 시범사업」참여기업으로, 본 기업의 취약점 신고·공개 정책(VDP, Vulnerability Disclosure Policy)은 2026년 6월 29일부터 2026년 7월 24일까지 한국인터넷진흥원에 신고된 취약점이 조치 및 공개될 때까지 적용됩니다.</p>\n<h4>1. 취약점 발굴 허용 대상자</h4>\n<p>본 기업은 아래 사항을 모두 충족한 정보보호연구자에 한하여 취약점 발견을 허용합니다.</p>\n<ul>\n<li>(1) 만 19세 이상의 대한민국 국적자(시범사업 참가 신청일 기준)</li>\n<li>(2) 시범사업 참가 신청서를 제출한 자</li>\n<li>(3) 개인정보 수집·이용 동의서를 제출한 자</li>\n<li>(4) 시범사업 관련 교육을 이수한 자</li>\n<li>(5) 취약점 신고·공개 정책 준수 서약서를 제출한 자</li>\n<li>(6) 개인정보보호법에 따라 개인정보처리위탁 계약을 체결한 자</li>\n</ul>\n<h4>2. 취약점 발굴 허용 범위</h4>\n<p>본 기업은 한국인터넷진흥원이 제공하는 VPN을 통해서만 서비스 취약점 발굴 행위를 허용하며, 본 기업이 취약점 발견을 허용하는 범위는 아래와 같습니다.</p>\n<ul>\n<li>\n<p>(1) 정보통신망 서비스명</p>\n<ul>\n<li>토스페이먼츠 대표 홈페이지(<a href=\"https://www.tosspayments.com\">https://www.tosspayments.com</a>)</li>\n<li>개발자센터(<a href=\"https://developers.tosspayments.com\">https://developers.tosspayments.com</a>)</li>\n</ul>\n</li>\n</ul>\n<h4>3. 취약점 발견 허용 기간</h4>\n<p>본 기업이 정보보호연구자에게 취약점 발견을 허용하는 기간은 2026년 6월 29일부터 2026년 7월 21일까지입니다.</p>\n<h4>4. 취약점 신고 및 접수</h4>\n<ul>\n<li>\n<p>(1) 신고 방법 :</p>\n<ul>\n<li>한국인터넷진흥원(파인더갭) (<a href=\"https://hacker.findthegap.co.kr/\">https://hacker.findthegap.co.kr/</a>)</li>\n<li>포털 비회원일 경우는 회원가입 필수</li>\n</ul>\n</li>\n<li>(2) 신고자 정보 : 이름, 휴대전화번호, 이메일 등 사이버 보안 취약점 정보 포털 내 취약점 신고에 필요한 사항 (취약점별 1인 신고만 가능)</li>\n<li>(3) 신고 기한 <br/>\n정보보호연구자는 취약점을 발견할 경우, 취약점을 발견한 때부터 72시간 이내에 신고해야 하며, 발견 취약점을 통해 정보보호연구자가 정보통신망에 침입한 경우에는 취약점 발견 행위를 즉시 중단하고 망에 침입한 때부터 12시간 이내에 신고해야 합니다. <br/>\n※ 망에 침입한 때 : 취약점 공격이 성공하여 망에 침입한 시점</li>\n<li>(4) 신고 내용 <br/>\n정보보호연구자는 취약점이 발견된 서비스 또는 제품명, 취약점 발견 일시, 취약점 증명 내용(PoC, Proof of Concept), 취약점 악용 시나리오, 망침입 시점(해당하는 경우) 등을 제출해야 합니다.</li>\n<li>(5) 신고 취약점 공유 <br/>\n본 기업은 한국인터넷진흥원으로부터 취약점 신고자 정보 및 취약점 내용을 공유받은 후, 취약점 조치를 목적으로 관련 서비스 사업자 또는 디지털제품·소프트웨어의 제조사·유통사·수입사 등 공급사에게 취약점 내용을 공유할 수 있습니다(취약점 신고자 정보는 공급사 공유에서 제외).</li>\n</ul>\n<h4>5. 유효 취약점 제외 대상</h4>\n<p>본 기업은 신고받은 취약점이 아래의 유효 취약점 제외 대상에 포함될 경우, 취약점 조치 및 공개 대상에서 제외할 수 있으며 제외된 사유를 한국인터넷진흥원으로부터 공유받은 날로부터 14일 이내에 정보보호연구자에게 안내합니다.</p>\n<ul>\n<li>(1) 취약점이 재현되지 않는 경우</li>\n<li>(2) 너무 많은 사용자의 개입 또는 사용자의 극단적인 개입이 필요한 경우</li>\n<li>(3) 보안 기능을 끄고 취약점을 발생시킨 경우</li>\n<li>(4) 구체적인 증빙 없이 가능성만을 신고한 경우</li>\n<li>(5) 동일 취약점이 중복으로 신고된 경우</li>\n<li>(6) 서비스 거부 공격</li>\n<li>\n<p>(7) 그 밖에 위험성이 적다고 판단되는 모든 취약점 유형</p>\n<ul>\n<li>횟수 제한 미 적용</li>\n<li>구 버전 라이브러리/소프트웨어 사용</li>\n<li>관리자 페이지 노출</li>\n<li>디버깅 응답 값 노출</li>\n</ul>\n</li>\n</ul>\n<h4>6. 취약점 공개</h4>\n<ul>\n<li>\n<p>(1) 공개 가능 시기</p>\n<ul>\n<li>① 정보보호연구자는 본 기업이 한국인터넷진흥원으로부터 취약점 신고내용을 공유받은 날부터 120일이 경과한 후 해당 취약점을 공개할 수 있습니다.</li>\n<li>② 본 기업은 한국인터넷진흥원으로부터 취약점 신고내용을 공유받은 날부터 120일 이내에 패치 등 보안 조치를 한 이후 해당 취약점을 공개합니다.</li>\n<li>③ 본 기업은 정보보호연구자의 문의가 있을 경우 보안 조치 진행상황을 알려줍니다.</li>\n<li>④ 취약점 공개 위치는 KISA(<a href=\"https://knvd.krcert.or.kr\">https://knvd.krcert.or.kr</a>)이며, 정보보호연구자가 희망할 경우 취약점 발견자를 실명 또는 익명으로 명시할 수 있습니다.</li>\n<li>⑤ 본 기업은 취약점 공개 가능 시기가 도래하기 전에 정보보호연구자에게 공개 시기를 알릴 수 있습니다.</li>\n<li>⑥ 정보보호연구자는 신고한 취약점을 공개하기 전에 본 기업과 합의하여야 합니다.</li>\n</ul>\n</li>\n<li>\n<p>(2) 공개 시기 연기</p>\n<ul>\n<li>① 본 기업은 (1)에도 불구하고 취약점에 대한 보안조치를 위해 정보보호연구자에게 공개시기 연기를 요청할 수 있습니다. 이때 연기 기간은 60일 이내에서 본 기업과 정보보호연구자 간 협의를 통해 정합니다.</li>\n<li>② 본 기업이 정보보호연구자에게 공개 시기 연기를 요청할 경우 그 사유를 설명합니다.</li>\n</ul>\n</li>\n</ul>\n<h4>7. 준수사항</h4>\n<ul>\n<li>(1) 정보보호연구자는 본 기업의 취약점 신고·공개 정책을 준수하는 범위 내에서만 정보통신망법 제48조 제1항에 따른 '접근권한'을 부여받은 것으로 봅니다. 본 기업은 정보보호연구자가 이 취약점 신고·공개 정책을 위반하는 경우 정보통신망법 제48조 제1항에 따른 침입행위를 한 것으로 간주합니다.</li>\n<li>(2) 정보보호연구자가 개인정보보호법에 부합하기 위해서는 본 기업의「취약점 신고·공개 정책」과 「개인정보처리위탁 계약서」에서 정한 사항을 준수해야 하며, 내용이 상충하는 경우, 개인정보 보호에 관한 사항은 본 계약이, 그 외의 사항은 VDP가 우선합니다.</li>\n<li>(3) 취약점을 발견하는 과정 중에「개인정보 보호법」에 따른 개인정보, 「신용정보의 이용 및 보호에 관한 법률」에 따른 신용정보, 「부정경쟁방지 및 영업비밀보호에 관한 법률」에 따른 영업비밀 등의 정보를 접근 또는 열람하였을 때는, 취약점 발견 활동을 즉시 중단하고 본 기업에게 그 사실을 알려야 합니다. 또한 취약점 증명을 위해 화면캡처 필요 등 불가피한 경우, 반드시 해당 부분을 모자이크 또는 마스킹 처리하여 알아볼 수 없도록 하여야 하며 신고 후 즉시 삭제해야 합니다.</li>\n<li>(4) 정보보호연구자는 취약점 발견 행위 중단 이후 취약점 발견 행위 재개와 관련하여서는 본 기업의 승인을 받아야 합니다.</li>\n</ul>\n<h4>8. 금지사항</h4>\n<ul>\n<li>(1) 정보보호연구자는 취약점 신고 또는 공개 등과 관련하여 어떠한 금전적인 대가도 요구해서는 안됩니다.</li>\n<li>(2) 정보보호연구자는 발견한 취약점을 본 기업 또는 한국인터넷진흥원 이외의 제3자에게 신고하여서는 안되며, 발견한 취약점에 대해 사적 이용 등 VDP의 범위를 벗어난 행위를 하여서는 안됩니다.</li>\n<li>(3) 정보보호연구자는 취약점을 발견하는 과정 중 개인정보, 신용정보, 영업비밀 등의 정보를 접근 또는 열람하였을 때는, 접근 또는 열람한 정보를 기록·저장·보유·출력 등 처리하거나 제3자에게 유출(정보가 본 기업의 통제 범위를 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 총칭한다) 하여서는 안됩니다.</li>\n<li>(4) 정보보호연구자는 취약점 발견 허용 범위의 프로그램을 취약점 발견 목적 외로 사용하여서는 안되며, 취약점 발견 목적 외로 프로그램 코드를 역분석 하여서는 안됩니다.</li>\n<li>(5) 정보보호연구자는 발견한 취약점을 악용하여 악성프로그램 설치, 전달, 또는 유포하여서는 안되며, 정보통신망 서비스, 데이터 또는 프로그램 등을 훼손, 멸실, 변경, 또는 위조하여서는 안됩니다.</li>\n<li>(6) 정보보호연구자는 취약점 발견을 위해 디도스 등을 통해 정보통신망 서비스, 디지털제품, 소프트웨어 어플리케이션의 안정적 운영을 훼손하여서는 안됩니다.</li>\n<li>(7) 정보보호연구자는 취약점 발견을 위해 피싱, 보이스 피싱 등의 사회공학적 방법을 사용하여서는 안됩니다.</li>\n<li>(8) 정보보호연구자는 취약점 발견을 위해 물리적인 공격을 사용하여서는 안됩니다.</li>\n<li>(9) 허용된 도메인 외 서브 도메인에 공격 시 차단이 될 수 있습니다. 취약점 발견 시 허용된 도메인이 맞는 지 확인해야 합니다.</li>\n</ul>\n<h4>9. 법적 보호</h4>\n<ul>\n<li>(1) 본 기업은 취약점에 대한 정보보호연구자의 선제적 발견 및 신고, 책임있는 공개를 장려하기 위해, 정보보호연구자가「취약점 신고·공개 정책」을 준수한 경우, 정보보호연구자의 행위를 선의의 정보보호연구(good faith security research)로 간주하고 어떠한 법적 문제를 제기하지 않습니다.</li>\n<li>(2) 본 기업은 제3자가「취약점 신고·공개 정책」에 따라 수행된 정보보호연구자의 행위를 이유로 정보보호연구자를 상대로 법적 조치를 제기하는 경우, 본 기업은 정보보호연구자의 행위가 본 정책을 준수하였음을 알리겠습니다.</li>\n</ul>\n<h4>10. 연락처</h4>\n<ul>\n<li>\n<p>(1) 본 기업 : 취약점 신고·공개 정책(VDP)에 따른 취약점 발굴·신고·조치·공개</p>\n<ul>\n<li>이메일 : security.team@tosspayments.com</li>\n</ul>\n</li>\n<li>\n<p>(2) 한국인터넷진흥원(파인더갭*) : 시범사업 운영 지원</p>\n<ul>\n<li>전화번호 : 02-405-6697</li>\n<li>이메일 : cvd@kisa.or.kr</li>\n<li>* CVD/VDP 시범사업 운영 지원을 위한 한국인터넷진흥원 사업 수행사</li>\n</ul>\n</li>\n</ul>\n<h4>11. 문서 이력</h4>\n<table>\n<thead>\n<tr>\n<th>버전</th>\n<th>일자</th>\n<th>내용</th>\n</tr>\n</thead>\n<tbody>\n<tr>\n<td>1.0</td>\n<td>2026. 05. 22.</td>\n<td>최초 수립 및 게시</td>\n</tr>\n</tbody>\n</table>","id":"7856ab20-7a45-55ae-8f9e-387822ba0f75"}},"pageContext":{}},"staticQueryHashes":["63159454"]}