01 목적

IDP는 제품의 보안을 지속적으로 개선하기 위해 외부 보안 연구자, 고객, 이용자로부터 취약점 정보를 제공받고자 합니다.
이 정책은 IDP 제품의 잠재적 보안 취약점을 신고하는 방법과, 신고된 취약점을 IDP가 처리하고 공개하는 절차를 정합니다.

02 적용 범위

이 정책은 다음을 대상으로 합니다.

• IDP가 개발, 제조 및 판매하는 카드 프린터, 라미네이터, 멀티 호퍼, 키오스크 장비 및 관련 하드웨어 제품
• 위 모든 제품의 펌웨어
• IDP가 배포하는 드라이버, 유틸리티, SDK, 모바일 애플리케이션
• IDP가 운영하는 웹사이트 및 온라인 서비스

다음은 대상에 포함되지 않습니다.

• 지원 기간이 종료된 제품 및 소프트웨어
• 제3자가 제조하거나 운영하는 제품 및 서비스
• 물리적 접근, 도난, 분실에 의존하는 공격
• 사회공학적 공격 및 임직원 대상 피싱
• 보안에 실질적 영향이 없는 설정 권고 및 정보성 지적

03 신고 방법

취약점은 아래 연락처로 신고하여 주십시오. “security@idp-corp.com” 보안 취약성 신고 신고 시 다음 정보를 포함해 주시면 신속한 확인에 도움이 됩니다.

• 영향을 받는 제품명과 모델명
• 펌웨어 또는 소프트웨어 버전
• 취약점 유형과 상세 설명
• 재현 절차 (필요 시 개념증명 코드 또는 스크린샷)
• 예상되는 영향과 공격 시나리오
• 신고자 연락처 및 크레딧 표기 희망 여부
• 공개 계획이 있는 경우 예정 시점

신고는 한국어 또는 영어로 접수합니다.

04 처리 절차 및 응답 기준

IDP 신고를 접수한 후 다음 기준에 따라 대응합니다.

• 접수 확인 ― 영업일 기준 3일 이내에 접수 사실을 회신합니다.
• 초기 평가 ― 영업일 기준 10일 이내에 취약점 해당 여부와 심각도 초기 판단 결과를 회신합니다.
• 진행 상황 공유 ― 조치가 진행되는 동안 30일마다 진행 상황을 알려드립니다.
• 조치 완료 ― 수정 또는 완화 조치를 배포한 후 신고자에게 알립니다.

조치에 소요되는 기간은 취약점의 심각도, 영향을 받는 제품의 범위, 검증에 필요한 기간에 따라 달라집니다.
IDP는 심각도가 높은 취약점을 최초 신고일로부터 90일 이내에 해결하는 것을 목표로 하며, 즉시 수정이 어려운 경우 우선 완화 방안을 안내합니다. 이 기간은 목표이며 확약이 아닙니다.

05 공개 원칙

• IDP는 협력적 공개(coordinated disclosure)를 원칙으로 합니다. 수정 또는 완화 조치가 이용자에게 제공된 후에 취약점 정보를 공개합니다.
• 공개 시점은 신고자와 협의하여 정하며, 특별한 사유가 없는 한 최초 신고일로부터 90일 이내에 공개합니다.
• 공개가 이용자에게 추가적인 위험을 초래한다고 판단되는 경우, 이용자가 조치를 적용할 수 있을 때까지 공개를 연기할 수 있습니다. 이 경우 신고자에게 사유를 설명합니다.
• 공개되는 보안 권고문에는 영향을 받는 제품과 버전, 취약점 설명, 심각도, 이용자가 취해야 할 조치를 포함합니다.
• 신고자가 원하는 경우 권고문에 신고자를 명시합니다. 익명을 원하시면 그에 따릅니다.

06 신고자 준수사항

취약점을 조사하고 신고하실 때 다음을 지켜 주시기 바랍니다.

• 본인이 소유하거나 명시적으로 시험 허가를 받은 기기에서만 시험하십시오.
• 타인의 개인정보나 데이터에 접근·저장·전송·이용하지 마십시오. 접근이 발생한 경우 즉시 중단하고 신고 시 알려 주십시오.
• 서비스 중단, 데이터 훼손, 시스템 성능 저하를 유발하는 행위를 하지 마십시오.
• 취약점 조사에 필요한 최소한의 범위에서만 활동하십시오.
• IDP와 협의하기 전에 취약점 정보를 제3자에게 공개하거나 공유하지 마십시오.
• 취약점을 이용하여 금전이나 대가를 요구하지 마십시오.

07 면책

이 정책의 6항을 준수하여 선의로 취약점을 조사하고 신고한 경우, IDP는 해당 활동을 승인된 행위로 간주하며 신고자를 상대로 민사상 또는 형사상 조치를 취하지 않습니다.
제3자가 신고자를 상대로 법적 조치를 제기하는 경우, IDP는 해당 활동이 이 정책에 따라 이루어졌음을 확인해 드립니다.
이 조항은 관련 법령이 허용하는 범위 내에서 적용되며, 6항을 위반한 활동에는 적용되지 않습니다.

08 포상

IDP는 현재 취약점 신고에 대한 금전적 포상 제도를 운영하지 않습니다. 신고해 주신 분들께는 보안 권고문에 크레딧을 표기하는 방식으로 감사를 표합니다.

09 관계 당국 보고

IDP는 EU Cyber Resilience Act 등 관련 법령에 따라, 적극적으로 악용되고 있는 취약점 또는 중대한 보안 사고를 관계 당국에 보고할 의무가 있습니다. 이러한 보고가 필요한 경우 법령이 정한 기한에 따라 진행하며, 보고 내용에 신고자의 개인정보는 신고자의 동의 없이 포함하지 않습니다.

10 정책 개정

이 정책은 관련 법령의 변경과 운영 경험에 따라 개정될 수 있습니다. 개정 시 이 페이지에 개정일과 함께 게시합니다.