Theori 팀 인터뷰🎤_건강한 버그바운티 문화를 조성하는 팀(PatchDay 팀)

서비스의 보안 취약점을 사전에 발굴하고, 찾아낸 사람에게 포상금을 지급하는 제도를 아시나요? 티오리엔 국내 버그바운티의 긍정적인 인식과 문화를 주도하는 팀이 있습니다.

티오리 팀 인터뷰🎤 세 번째 주자는, 기업과 해커를 연결하는 버그바운티 플랫폼, 패치데이 팀의 saika입니다.

안녕하세요 saika! 자기소개 부탁드려요 👋

안녕하세요, 패치데이 팀 리드 서민교입니다. 팀의 방향성을 정하고 기획, 백앤드 개발, 세일즈, 버그바운티 도입 및 보고서 커뮤니케이션 지원 등 플랫폼 기획 및 개발과 버그바운티 운영 전반의 업무를 하고 있어요. 닉네임 saika는 게임에서 봤던 단어로, 뜻과 상관없이 형태가 마음에 들어 사용하는 중입니다.

노트북이 화려해요, 참여했던 대회 스티커인가요?

맞아요! 참여했던 해킹 대회와 소속 팀의 스티커, 그리고 문구가 공감되는 이쁜 스티커들이에요 (웃음)

LeaveCat은 준오님, 진오님, 우원님 등 현재 티오리 멤버들과 학생 때 함께한 해킹 팀이고, Hacking is NOT a Crime은 문구가 공감되어 붙였어요. 지금은 조금 나아졌지만, 예전엔 ‘해킹은 범죄’라는 인식이 많았어요. 버그바운티처럼 윤리적인 목적으로 해킹을 하는 화이트햇 해커도 있다는 걸 많이 알리고 싶어서 붙이고 다녀요.

그러면 해킹 팀으로 활동하다 티오리를 알게 되었나요?

네, 티오리는 해킹을 하며 알게 됐어요. 대표님께서 보안 컨설팅을 넘어 다양한 보안 프로덕트 개발에 대한 비전을 공유해 주셨고, 그 비전에 공감하여 합류했어요.

저는 해킹 대회뿐 아니라 버그바운티도 열심히 했는데요, 예전엔 지금처럼 플랫폼이 많지 않아서 답답하거나 불편한 점이 많았어요. 마침 티오리에서 버그바운티 플랫폼을 준비하자는 이야기가 나왔고, 해킹을 잘 하고 문화를 잘 아는 사람들과 함께 만들면 활발하고 건강한 버그바운티 문화를 만들 수 있을 것 같아 리드를 담당하게 되었어요.

패치데이 팀은 무슨 일을 하나요?

패치데이 팀은 버그바운티 제도가 국내 사이버보안 및 화이트햇 해커 생태계의 긍정적인 변화에 기여하며 기업의 보안을 지속적으로 안전하게 지키는 방법이라고 믿어요.

이러한 버그바운티 문화를 확대하고, 화이트햇 해커와 기업 담당자 모두 원활히, 편하게 이용할 수 있도록 플랫폼을 개발/운영하고 있습니다.

대표적으로, 도입 지원 컨설팅을 통해 기업의 버그바운티가 최대의 효과가 날 수 있도록 운영 가이드를 제공하고, 보고서 유효성, 위험도 및 포상금 안내 등 티오리의 보안 전문가가 사전 검토하여, 기업 담당자가 최소한의 리소스로 버그바운티를 운영할 수 있도록 도움을 드려요.

이 외에도 MVH 등급, 버그헌터 크루 등 화이트햇 해커를 위한 제도를 기획하고 다양한 분야의 프로그램을 합리적인 포상금 조건으로 유치하는 일을 하고 있습니다.

saika도 버그헌터 활동을 한 적 있나요?

그럼요, 학생 때 버그바운티 프로그램을 열심히 참여하며 모바일 결제 솔루션 버그바운티 대회에서 최우수상을 수상하기도 했어요. 지금도 시간 내어 틈틈이 참여하려 해요. 실제로 사용하고 있는 소프트웨어의 취약점을 찾으면 제작자가 놓친 부분을 찾는 것 같아서 보물찾기하는 느낌이 들고 재미있거든요. 예전엔 당연히 해커의 입장에서만 생각했는데, 포상금이 일관되지 않거나 진행 상황이 공유되지 않고 지급 기간이 너무 늦는 등의 Pain Point를 많이 느꼈어요. 지금은 고객사와 함께 업무하며 양쪽의 고충을 알게 됐어요 (웃음)

버그바운티에 참여한 경험이 패치데이 운영에 많은 영향을 줬을 것 같아요

해커의 입장으로 버그바운티를 직접 참여해 봤기에 버그바운티 운영자와 참여자 모두가 어떻게 하면 만족할 수 있을까 많이 고민했어요. 그리고 패치데이만의 버그바운티 프로세스를 세웠습니다. 해커는 제보한 보고서의 진행 사항을 투명하게 확인하고, 합리적인 포상금을 받을 수 있어요. 기업 담당자는 Action Item을 명확히 파악해 버그바운티를 처음 운영해도 수월히 사용할 수 있어요. 이외에도 반복되는 커뮤니케이션은 최소화할 수 있도록 기획해, 모두가 편하고 만족스러운 버그바운티를 경험할 수 있도록 지향하고 있습니다.

패치데이에 제보된 취약점으로 보안 사고를 막았던 사례도 있나요?

프로그램에 따라 크고 작은 취약점이 제보돼요. 패치데이로 제보된 취약점 중 개인정보 유출을 방지했던 적도 있고, 부정 결제, 자금 탈취 등의 사건을 방지한 적도 있어요. 모 기업은 모의해킹을 철저히 하고 버그바운티를 진행했음에도 타인의 계정을 탈취할 수 있는, 위험도 높은 취약점이 발견되어 버그바운티의 효용을 입증했어요.

낮은 위험도로 추정되어도 여러 취약점을 연계하면 상황에 따라 큰 사고로 이어져요. 기업의 보안 수준을 향상하기 위해선 일회성의 취약점 점검, ISMS 인증 등만 받는 것이 아니라, 잠재적 위협을 지속적으로 점검하여 방지해야 해요. 다양한 화이트햇 해커의 관점에서 지속적으로 분석할 수 있는 버그바운티로 DevSecOps를 구축하는 게 중요합니다.

패치데이 팀만의 일하는 방식이 있나요?

팀원 모두 패치데이에 애정이 많아요. 각자 담당한 업무만 하는 게 아니라, 연간/분기 별 목표도 모두가 의견을 내어 설정하며 팀의 목표를 달성하기 위해서 어떤 경로가 좋은지 다양한 제안을 주고받아요. 사내 메신저 PatchDay Suggestion 채널에서 개발, 기획하며 생각나는 개선점, 아이디어 등을 자유롭게 적고, 주기적으로 리뷰하며 반영하기도 해요.

패치데이 팀과 함께 일하려면 어떤 역량이 필요하나요? 버그바운티 경험이 꼭 있어야 하나요?

버그바운티의 장단점, 개선점 등을 직접 느낄 수 있기 때문에 직접 경험해 본 분도 좋아요. 하지만 버그바운티를 해보지 않으셨더라도 정보보안, 해킹에 관심이 많거나 배우고 기여하고자 하는 분이면 좋습니다.

패치데이는 B2B 플랫폼이면서 B2C이기도 해요. 어렵고 고려할 부분이 많지만 그만큼 재밌는 챌린지도 많고, 기술, 기획, 운영, 디자인 등 여러 관점에서 해결하기 위해 다양한 시도를 해볼 수 있어요. 다양한 포지션에서 가설을 세우고 검증하며 새로운 문화를 형성하는 것에 관심 있는 분이라면 저희 패치데이 팀과 재밌게 일할 수 있을 거예요.

마지막 질문이에요, 패치데이의 목표는 무엇인가요?

국내 최고의 버그바운티 플랫폼이 되는 것이에요. 작년까지도 버그바운티를 모르는 분들이 많았어요. 버그바운티 문화를 많은 사람에게, 기업에게 알리면 자연스레 화이트햇 해커도 함께 기여해 주실 것이라 생각해요.

사이버 세상의 모두가 마음 놓고 안전하게 활동할 수 있도록 버그바운티를 통해 화이트햇 해커와 기업 모두 Win-Win 하는 국내 보안 문화를 만드는 것이 패치데이의 목표예요.

어릴 적 경험을 바탕으로 더 나은 버그바운티 문화를 위해 노력하는 saika! 패치데이 팀의 열정으로 점점 변화하는 세상이 되길 기대합니다.

🔗 패치데이 팀의 열정이 담긴 버그바운티 플랫폼, 패치데이 보러가기

saika의 인터뷰를 재밌게 보셨다면 다른 게시글도 확인해 보세요!
👉 (click!) [🎤 Theori People] ChainLight 팀 juno, mika, qwaz
👉 (click!) [🎤 Theori People] 드림핵 콘텐츠 팀 bincat

We’re hiring! 🔗 theori.io