2019년 도입 이래 현재까지 700만 달러 지급 완료
올해 새로운 자체 평가 VISS 도입…업계 통용 기준 CVSS 점수와 병행
줌이 2019년 버그바운티 프로그램을 시작한 이래 버그 리포트에 대한 보상으로 총 700만 달러(한화 약 91억 7000만원)가 넘는 금액을 상금(바운티)으로 지불했다고 21일 밝혔다.
특히 줌은 2023 회계연도 버그 리포트에 대한 보상으로 390만 달러(한화 약 51억 1000만원) 이상을 투자했다. 또한 줌은 올해 처음으로 프로그램에 자체 점수 시스템인 VISS(Vulnerability Impact Scoring System)을 도입한다.
줌은 자체적으로도 인프라를 매일 테스트를 진행하고 있지만 특정 사용 사례와 환경에서만 감지되는 엣지-케이스 취약점을 식별하기 위해 버그바운티 프로그램을 통해 윤리적 해커 커뮤니티와 협력하고 있다.
2022년에는 해커원 플랫폼에 보안 연구가들을 추가로 초청하고 H1-702와 같은 업계 주요 행사를 통해 보안 커뮤니티와 협력을 도모했다. 줌은 외부 보안 전문가들과 협력함으로써 주의가 필요한 항목 및 문제점의 근원을 파악하고, 부서간 조율 과정을 개선했다.
또힌 문제가 발생하기 전에 잠재적인 위협을 사전에 찾아내는 등 보안 취약점 파악에서 더 나아가 줌 플랫폼 전반에 걸친 개선을 이끌어냈다. 그 결과 지난 2년새 접수된 버그 리포트에 대한 버그 수정 시간 역시 대폭 감소한 것으로 확인됐다.
올해 줌은 회계연도 2024년도를 맞아 자체적인 점수 시스템 VISS을 도입했다. VISS 점수 시스템은 줌 인프라, 기술, 고객 정보 보호 등에 영향을 줄 수 있는 각 취약점이 미치는 영향을 13가지 측면에서 다각도로 분석한다.
줌은 VISS 점수 시스템을 도입함으로써 기존의 이론적인 악용 가능성을 파악하는 데에서 더 나아가 취약점의 영향력을 면밀하게 측정한다는 계획이다. 업계에서 통용되는 기준인 기존의 CVSS 점수 역시 유지된다. 이 밖에도 줌은 올해 버그바운티 프로그램에 참여하고 있는 연구가들을 대상으로 평가를 진행하여 팀을 재구성하고 프로그램을 수정한 바 있다.
헬로티 이창현 기자 |
