포트웰, 공동 취약점 공개(CVD) 정책 안내… 제품 수명 주기 전반의 사이버보안 대응 강화

산업용 PC 및 임베디드 컴퓨팅 솔루션의 글로벌 공급업체인 포트웰(Portwell)은 제품 사이버보안을 전체 제품 수명 주기에 걸친 장기적 약속으로 인식하고 있습니다.

독립 보안 연구자, 고객, 파트너 및 다양한 이해관계자가 전달하는 취약점 정보를 바탕으로, 고객의 위험을 줄이고 더욱 안전하고 신뢰할 수 있는 산업용 컴퓨팅 환경을 지원하고자 합니다.

이번 글에서는 포트웰의 공동 취약점 공개(Coordinated Vulnerability Disclosure, CVD) 정책을 통해 취약점 신고 방법, 평가 및 대응 절차, 책임 있는 연구와 정보 공개의 원칙을 소개합니다.

본 내용은 2026년 8월 28일 최종 업데이트된 영문 공개 정책 초안을 바탕으로 작성되었으며, 정책은 규제와 제품, 위협 환경의 변화에 따라 업데이트될 수 있습니다.

제품 사이버보안을 위한 협력과 책임 있는 공개

공동 취약점 공개(CVD)는 취약점을 발견한 신고자와 제품 공급업체가 협력하여 영향을 확인하고, 수정 또는 완화 조치를 마련한 뒤 적절한 시점에 정보를 공개하는 접근 방식입니다. 포트웰은 보고되거나 의심되는 취약점을 책임 있고 투명하게 처리하며, 고객의 위험 감소를 최우선으로 고려합니다.

포트웰은 2026년 IEC 62443-4-1 인증 획득을 기반으로 보안 개발 수명 주기, 제품 취약점 관리 및 공급망 협력을 제품 사이버보안 관리 체계에 지속적으로 통합하고 있습니다. 해당되는 경우 취약점 공개와 보고 활동은 EU 사이버 레질리언스 법(CRA)의 요구사항에 맞춰 수행됩니다.

이는 CRA에만 한정되지 않으며, 적용 가능한 제품 사이버보안, 개인정보 보호, 통지 및 고객 계약상의 요구사항도 함께 고려합니다. IEC 62443-4-1 인증은 개발 프로세스에 대한 인증으로, 개별 제품 인증이나 CRA 준수 자체를 의미하지는 않습니다.

정책 적용 범위

본 정책은 지원 수명 주기 내의 포트웰 표준 제품, 지원되는 펌웨어와 소프트웨어, 포트웰이 운영하는 서비스 및 공식 웹사이트에 적용됩니다. 맞춤형 제품, 단종 또는 지원 종료 제품, 제3자 구성요소에 대해서는 포트웰이 합리적으로 수정이나 조정을 수행할 수 있는 범위에서 대응합니다. 맞춤형 제품에 대한 의무는 해당 계약에 따릅니다.

이 정책은 제품 문서, 보증 조건, 서비스 계약 또는 법적 의무를 대체하지 않습니다.

취약점 신고: 포트웰 PSIRT로 전달해 주십시오

포트웰 제품 보안 사고 대응팀(Product Security Incident Response Team, PSIRT)은 제품 보안 사고와 취약점 신고의 접수, 기술적 검증, 위험 평가, 수정 조정 및 관련 공개 활동을 담당합니다. 제품 또는 서비스에서 잠재적인 취약점을 발견한 경우 psirt@portwell.com.tw로 신고해 주십시오.

효율적인 검증과 조사를 위해 다음 정보를 가능한 범위에서 포함해 주시기 바랍니다. 아래 항목은 제출을 돕기 위한 안내이며, 평가에 도움이 되는 다른 정보도 함께 전달할 수 있습니다.

• 신고자 정보: 이름, 소속 기관 및 연락 가능한 이메일 주소

• 영향받는 제품: 제품명, 모델, 하드웨어 리비전, 펌웨어 또는 소프트웨어 버전

• 기술적 설명: 취약점의 내용, 예상 동작과 실제 동작, 알려진 영향 또는 잠재적 영향

• 재현 절차: 필요한 장비와 소프트웨어, 설정, 네트워크 환경 및 수행 순서

• 검증 자료: 개념 증명(PoC), 스크린샷, 로그, 패킷 캡처, 비악성 테스트 코드 등

• 악용 조건: 공격에 필요한 전제 조건과 예상 공격 경로

• 추가 정보: 영향 범위와 수정 또는 완화 방안을 판단하는 데 도움이 되는 자료

민감한 신고 내용은 포트웰이 제공하는 공개키를 사용해 이메일 본문을 암호화하여 전달할 수 있습니다. 신고 처리에 필요한 최소한의 개인정보만 제공해 주십시오. 불필요한 고객 데이터나 인증정보, 공유 권한이 없는 정보는 보내지 않도록 주의해 주시기 바랍니다.

접수부터 공개까지: 5단계 취약점 대응 프로세스

포트웰은 CVD 원칙을 바탕으로 신고자와의 소통, 고객 보호, 제품 보안 및 규제 준수를 균형 있게 고려합니다. 처리 일정은 위험도, 재현 가능성, 영향 범위, 악용 가능성 및 사례의 복잡성에 따라 조정됩니다. 아래의 대응 기한은 법적 의무가 명시적으로 적용되는 경우를 제외하면 개별 사례에 대한 보장 기한이 아닌 운영 목표입니다.

1단계. 초기 응답

PSIRT는 외부 취약점 신고를 접수하면 내용을 기록하고 접수 확인과 소통 채널을 마련합니다. 접수 후 영업일 기준 2일 이내 응답을 목표로 하며, 가능한 경우 후속 절차를 안내합니다. 검증과 조사에 필요한 추가 정보를 요청할 수도 있습니다.

2단계. 평가 및 분류

PSIRT는 재현 가능성을 확인하고 취약점의 특성, 영향받는 제품과 버전, 악용 가능성, 노출 정도, 운영 또는 안전에 미치는 영향, 기존 보완 통제 수단을 바탕으로 위험을 분류합니다.

수용된 취약점 신고에는 고유 추적 식별자를 부여하고, 평가 결과와 수정 활동 및 공개 결정을 기록하여 제품 보안 관리와 규제 준수, 지속적인 개선에 활용할 수 있습니다.

충분한 정보가 확보된 후 24시간 이내에 신고자에게 초기 평가 결과 또는 진행 상황을 전달하는 것이 목표입니다. CRA 등 적용 가능한 규제에 따른 보고 의무가 있는 경우 지정 당국, 조정 CSIRT, ENISA 등 관련 기관에 대한 통지 필요성을 검토합니다.

예를 들어 CRA가 적용되고 실제로 악용되고 있는 취약점이 확인된 경우, 법에 따라 인지 후 늦어도 24시간 이내에 조기 경고 통지를 수행합니다.

3단계. 조사 및 규제 보고

PSIRT를 중심으로 제품 엔지니어링, 품질, 공급업체 및 필요한 관계자들이 근본 원인과 영향 범위, 악용 조건, 잠재적 영향을 조사하고 초기 수정 또는 완화 조치를 마련합니다. 실무적인 초기 조사와 정보 수집을 72시간 이내에 수행하고, 확인된 문제의 성격과 영향 요약, 가능한 대응 방안을 신고자에게 전달하는 것을 목표로 합니다.

법률에 따라 외부 통지가 필요한 경우에는 법정 기한 내에 요구되는 정보를 제공합니다. CRA가 적용되는 실제 악용 취약점의 경우, 인지 후 늦어도 72시간 이내의 관련 통지에 취약점과 악용, 수정 또는 완화 조치에 관한 가용 정보를 포함합니다.

제3자 소프트웨어, 펌웨어, 하드웨어, 오픈소스 또는 외부 공급업체가 관련된 경우에는 해당 공급업체와 유지관리자, 개발자 및 영향을 받는 이해관계자와 대응 및 공개 활동을 조정할 수 있습니다.

4단계. 수정 및 검증

포트웰의 관련 부서는 소프트웨어, 펌웨어, 설정 변경 또는 기타 적절한 수정·완화 조치를 공동으로 개발하고 테스트하며 검증합니다. 이미 악용되고 있거나 영향이 큰 취약점에 대해서는 즉시 적용 가능한 위험 감소 조치를 우선하고, 수정 또는 완화 조치가 마련되면 신고자와 영향을 받는 고객에게 알립니다.

CRA가 적용되어 최종 보고가 요구되는 경우, 수정 또는 완화 조치가 이용 가능해진 후 늦어도 14일 이내에 필요한 최종 보고서를 제출합니다. 이는 모든 취약점을 14일 이내에 수정한다는 의미가 아닙니다.

5단계. 공동 공개

포트웰은 기술 분석 결과, 고객 위험, 수정 조치의 가용성 및 법적 요구사항을 고려하여 신고자와 합리적인 공개 일정을 조정합니다.

확인된 제품 보안 취약점은 포트웰 웹사이트의 보안 권고(Security Advisory)를 통해 공개될 수 있으며, 취약점 설명, 영향받을 수 있는 제품과 버전, 위험 정보, 완화 조치, 수정 계획 또는 보안 업데이트 정보, 필요한 개정 이력을 포함할 수 있습니다.

실제 악용이 알려졌거나 즉각적인 안전·운영 위험이 있는 경우, 이미 공개된 경우 또는 법적 요구가 있는 경우에는 완전한 수정이 완료되기 전에도 필요하고 비례적인 정보나 완화 지침을 공개할 수 있습니다.

선의의 보안 연구와 세이프 하버(Safe Harbor)

포트웰은 본 정책을 준수하고 사이버보안 위험을 식별·감소시키기 위해 수행되며 신속하게 신고되는 선의의 연구를 허용된 활동으로 취급합니다. 이러한 조건을 준수하는 선의의 취약점 연구를 수행했다는 이유만으로 보안 연구자에게 법적 조치를 제기하지 않습니다.

연구에는 본인이 소유하거나 사용 권한이 있는 계정, 장치 및 데이터만 사용하고 영향을 최소화해야 합니다. 개인정보, 기밀정보, 인증정보 또는 고객 데이터를 접하게 되면 즉시 연구를 중단해 주십시오. 공동 공개 전까지 비공개 발견 내용을 기밀로 유지해 주시기 바랍니다.

이 보호 약속은 서비스 거부(DoS), 파괴적이거나 가용성에 영향을 주는 테스트, 사회공학, 피싱, 물리적 침입, 인증정보 탈취, 악성코드, 지속성 확보, 광범위한 스캐닝, 무차별 대입 또는 적용 법률을 위반하는 활동에는 적용되지 않습니다.

개인정보 보호와 기밀 유지

포트웰은 신고 정보를 접수, 검증, 위험 평가, 수정, 공급망 조정, 보안 개선 및 적용 가능한 법적 의무 준수 목적으로만 사용합니다. 취약점 처리나 법적 의무 준수를 위해 필요한 경우 또는 적절한 동의가 있는 경우를 제외하고는 신고자의 신원이나 비공개 기술 정보를 공개하지 않습니다.

본 정책은 버그 바운티 프로그램이 아니며, 보상, 공로 인정, 특정 수정 방식 또는 완료 일자를 보장하지 않습니다.

고객과 함께 강화하는 제품 사이버보안

산업용 및 임베디드 제품의 사이버 복원력은 고객, 연구자, 공급업체 및 기술 파트너와의 긴밀한 협력을 통해 강화됩니다. 포트웰은 책임 있는 취약점 관리와 투명한 소통을 바탕으로 제품 보안 정보, 위험 평가 및 실질적인 완화 지침을 지속적으로 제공하고, 고객 운영에 대한 잠재적 영향을 줄여 나가고자 합니다.

취약점 신고 또는 본 정책에 관한 문의는 포트웰 PSIRT(psirt@portwell.com.tw)로 전달해 주십시오.