EU 사이버 복원력법에 따른 취약점 보고

보고가 필요한 경우

보고 개시 조건은 제품 범주, CVSS 점수, 취약점의 존재 자체가 아닙니다. 제조업체가 디지털 요소 제품에서 보고 대상 사건을 인지했는지를 제14조에 따라 판단합니다.

기타 취약점, 사이버 위협, 아차 사고, 영향이 적은 사고도 취약점 처리나 자발적 보고 측면에서 중요할 수 있습니다. 그러나 자동으로 제14조의 의무 보고 대상이 되지는 않습니다.

실제 악용 중인 취약점

‘실제 악용 중인 취약점’이란 시스템 소유자의 허가 없이 악의적 행위자가 시스템에서 악용했다는 신뢰할 수 있는 증거가 있는 취약점을 의미합니다.

규정(EU) 2024/2847 제3조 제42호

정의에는 세 가지 요건이 있습니다. 취약점이 존재해야 하고, 악용의 신뢰할 수 있는 증거가 있어야 하며, 악용이 악의적이고 허가되지 않은 행위여야 합니다. 이론적인 공격 경로나 스캐너 결과만으로는 충분하지 않습니다.

제로데이 취약점도 보고 대상일 수 있지만, 악의적 행위자가 실제로 악용했다는 신뢰할 수 있는 증거가 있는 경우에 한합니다. 선의의 버그 바운티 신고나 실험실 발견만 있고 이전에 악의적으로 악용된 증거가 없다면 의무적인 제14조 보고 조건에 해당하지 않습니다. 다만 자발적 보고는 가능할 수 있습니다.

신뢰할 수 있는 인지 정보는 다음과 같은 경로로 들어올 수 있습니다.

• 고객 또는 파트너가 침해 사실과 제품 취약점의 악용 증거를 신고;
• 정부 기관, 보안 연구자, 위협 인텔리전스 보고서가 제품의 악용 사례를 식별;
• 제조업체의 자체 원격 측정, 모니터링, 조사에서 악용 증거 발견.

취약점이 디지털 요소 제품에 포함되어 있어야 합니다. 통합 구성 요소에 취약점이 있더라도 제조업체 제품에서는 악용할 수 없다면 다른 환경에서 해당 구성 요소가 영향을 받았다는 이유만으로 그 제품에서 실제 악용 중인 취약점이 되지는 않습니다.

제품 보안에 영향을 미치는 중대한 사고

중대한 사고 역시 제품을 중심으로 판단합니다. 일반적인 기업 IT 사고만으로는 충분하지 않습니다. 디지털 요소 제품의 보안에 영향을 미쳐야 합니다.

다음 중 하나에 해당하면 제14조에 따라 중대한 사고입니다.

• 민감하거나 중요한 데이터 또는 기능의 가용성, 진위성, 무결성, 기밀성을 보호하는 제품의 능력에 부정적인 영향을 미치거나 그럴 가능성이 있는 경우;
• 제품 또는 사용자의 네트워크 및 정보 시스템에 악성 코드가 유입되거나 실행되었거나 그럴 가능성이 있는 경우.

24시간, 72시간, 최종 보고서

제14조는 단계별 보고를 규정합니다. 첫 보고는 조기 경보이며 완전한 기술 자료를 제출할 필요는 없습니다. 제조업체가 사건을 조사하고 완화함에 따라 후속 단계에서 확인된 정보를 추가합니다.

1. 조기 경보: 제조업체가 인지한 후 부당한 지체 없이 24시간 이내.
2. 주요 통지: 제조업체가 인지한 후 부당한 지체 없이 72시간 이내. 관련 정보를 이미 제공한 경우는 제외합니다.
3. 실제 악용 중인 취약점의 최종 보고서: 시정 또는 완화 조치를 이용할 수 있게 된 날부터 늦어도 14일 이내.
4. 중대한 사고의 최종 보고서: 72시간 이내 사고 통지 후 1개월 이내.

24시간 및 72시간 기한은 보고 대상 사건을 인지한 시점부터 계산합니다. 이 단계들은 대기 기간이 아니므로 부당한 지체 없이 통지해야 합니다. 최종 보고서 기산점은 다릅니다. 취약점의 경우 시정 또는 완화 조치를 이용할 수 있게 된 때이고, 중대한 사고의 경우 사고 통지를 제출한 때입니다.

단일 보고 플랫폼

제14조 제1항 및 제3항과 제15조 제1항 및 제2항의 통지를 제출하고 제조업체의 보고 의무를 간소화하기 위해 ENISA가 단일 보고 플랫폼을 구축해야 합니다. ENISA가 이 플랫폼의 일상 운영을 관리하고 유지합니다. 회원국과 ENISA가 자체 전자 통지 엔드포인트를 마련할 수 있도록 플랫폼 아키텍처를 설계해야 합니다.

규정(EU) 2024/2847 제16조 제1항

제14조 통지는 단일 보고 플랫폼을 통해 제출합니다. ENISA는 2026년 9월 11일 초기 운영 기능을 시작했으며 이제 의무 보고에 사용할 수 있습니다.

보고 준비

보고 기한을 지키려면 제조업체에 SRP 보고 경로, 조정 CSIRT, 제품을 공급하는 회원국 정보, 접근 가능한 내부 제품 데이터가 필요합니다. 보고 준비 페이지에서 이러한 준비 사항을 설명합니다.

보고 개시 조건을 확인한 다음 「 제14조 보고 준비 」를 읽어보세요.

경계 사례