안녕하세요, 파인더갭입니다. 오늘은 파인더갭 버그바운티 서비스를 이용한 [고위드] 기업의 인터뷰에 대해 알아보겠습니다.
출처ㅣ고위드 홈페이지
💚 [한마디 요약] 일정이나 참가자분들에게 접속 정보를 전달해 주는 등의 운영적인 측면을 맡아주셨기 때문에 바쁜 스타트업 개발자한테는 크게 와닿는 장점이었던 것 같습니다.
Q. 간단한 자기 소개와 하고 계신 업무 소개 부탁드립니다.
A. 안녕하세요. 고위드에서 DevSecOps로 일하고 있는 박홍성입니다.
저희 고위드 서비스는 데이터로 금융을 바꾼다는 비전을 가지고 일하고 있는 B2B 핀테크 스타트업입니다.
Q. 버그바운티 도입 전에는 버그바운티에 대해 얼마나 알고 계셨나요?
A. 구글이나 애플 같은 크고 좀 유명한 기업들이 버그바운티를 진행하고 있다는 것은 알고 있었습니다. 다만 그만큼 규모가 크고 금융적으로 규모가 뒷받침되는 기업들만 버그바운티를 할 수 있다고 생각을 했기 때문에 저희가 하게 되리라고는 생각하지 못했던 것 같습니다.
Q. 버그바운티를 도입하시게 된 이유와 어떤 문제를 해결하고자 하셨는지?
A. 다른 스타트업이 모두 비슷하겠지만 보안 분야에서 전문 인력을 확보하거나 외부 컨설팅 업체를 이용하는 게 쉽지가 않은 상황입니다. 취약점 점검에 대한 그런 성과가 보장되지 않은 상태에서 회사의 큰 비용을 제안하는 게 보안 담당자로서 좀 쉽지 않은 일이기 때문입니다. (버그바운티를 통해) 적은 비용으로 취약점 점검에 대한 성과를 한 번 확인을 해 볼 수 있었고, 그 필요성에 대해서 전사적으로 공유를 할 수 있었던 시간이었던 것 같습니다.
Q. 실제로 버그바운티를 도입해 보시고 얻게 된 성과나 가치가 있으실까요?
A. 저희 내부적으로 인지하지 못했던 보안 취약점들을 외부의 전문 화이트 해커분들에게 점검을 받고 조치 방안에 대해서도 바로 전달을 받을 수 있었기 때문에 지체 없이 바로 조치를 할 수 있었게 얻을 수 있었던 점입니다. 버그바운티는 참가자 수도 많고, 그리고 중간에 플랫폼을 거쳐서 운영이 되기 때문에 취약점 점검에 대한 결과물이 어느 정도 보장이 된다는 점이 좋았습니다. 그리고 버그바운티 플랫폼에서 일정이나 참가자분들에게 접속 정보를 전달해 주는 등의 그런 운영 측면을 맡아 주셨기 때문에 담당자로서 부담을 좀 덜 느낄 수가 있었고 바쁜 스타트 개발자한테는 크게 와닿는 장점이었던 것 같습니다.
Q. 특히 파인더갭 버그바운티 플랫폼을 사용하시면서 좋았던 점이 있나요?
A. 리포트가 실시간으로 업데이트되는 것을 바로바로 확인을 할 수가 있었고, 결과물도 PDF 나 엑셀로 가시성 좋게 다운을 받아서 한눈에 볼 수 있게 제공되는 점이 좋았습니다. 기존의 운영 환경에 영향을 줄 수도 있다는 점이 좀 우려가 되었었는데 파인더갭 플랫폼에서 VPN 환경도 제공을 해주셨기 때문에 별도의 환경에서 좀 안전하고 매끄럽게 버그바운티를 진행할 수 있었습니다.
Q. 취약점의 내용이나 설명에는 만족하셨나요?
A. 네, 각 취약점마다 조치 방안들이 상세하게 적혀 있었고, 또 필요하면은 이미지도 첨부가 되어 있었기 때문에 특별히 어려움 없이 쉽게 조치를 할 수 있었던 것 같습니다.
Q. 불특정 다수의 윤리적 해커의 공격이 우려되는 점은 없으셨나요?
A. 네, 저희가 고객들의 데이터를 다룬 기업이다 보니까 혹시나 민감한 데이터가 이번 이벤트를 통해서 노출이 되거나 하는 점이 좀 우려가 되었었는데, 그 점을 방지하기 위해서 아예 별도의 환경을 마련하고 테스트를 위한 데이터들을 따로 생성해서 진행했기 때문에 완전히 분리된 환경이었기 때문에 전혀 걱정 없이 진행을 할 수가 있었습니다.
Q. 빠르게 버그바운티 도입을 결정하실 수 있었던 이유가 무엇인가요?
A. 파인더갭 자체에서도 다양한 취약점 점검 사례들이 있어서 금방 신뢰를 하고 결정 내릴 수가 있었던 것 같습니다.
Q. 별도 버그바운티 환경 구축에 소요된 시간은 어느 정도였나요?
A. 저희는 클라우드 환경을 이용 중이었기 때문에 별도의 환경을 구축하기 위한 인프라 같은 경우는 그냥 하루 정도면은 구축을 완료를 했었고 그 이후에 이제 데이터 생성, 그리고 계정 생성 정도의 작업들을 추가로 진행을 해서 일주일 이내 정도 안에 환경을 다 구축을 해서 준비를 마무리를 했던 것 같습니다.
이상으로 파인더갭의 버그바운티 서비스를 이용한 [고위드] 기업의 인터뷰 영상이었습니다.
