Adverant의 약속
가장 심각한 문제부터 우선적으로 수정합니다. 수정 사항이 배포되면 제보자에게 알리고, 세부 내용의 공개 시점을 함께 협의합니다.
신고 방법
이메일 주소: security@adverant.ai. 다음 내용을 포함해 주세요:
- 발견한 내용과 위치(URL, 제품 영역 또는 구성 요소)
- 재현 단계(개념 증명 코드 또는 스크린샷 포함)
- 공격자가 이를 악용할 경우 예상되는 영향
- 연락처 및 기여자 이름 명시 희망 여부
가능하면 영어로 작성해 주시기 바랍니다. 여러 건의 짧은 제보보다는 명확하게 정리된 한 건의 보고서가 더 유용합니다. 우연히 확인하게 된 개인정보는 보고서에 직접 포함하지 마시고, 어떤 종류의 정보인지만 설명해 주세요.
적용 범위
- Adverant가 운영하는 adverant.ai 및 그 하위 도메인
- AI 스위치보드, 로그인, 오픈 레코드 검증기를 포함하여 Adverant가 EU 클라우드에서 운영하는 Adverant Nexus
- 정식 라이선스를 보유하고 실행 중인 Nexus 소프트웨어, 설치 프로그램 및 업데이트 패키지.
제외 범위: 임직원을 대상으로 한 공격(피싱, 사회공학적 기법), 물리적 공격, 서비스 거부(DoS) 공격, 이미 침해된 기기가 전제되어야 하는 취약점, 실제 영향이 입증되지 않은 자동화 스캐너 결과 보고서. 고객사가 자체 구축한 환경은 해당 고객사의 자산이므로, 관련 문제는 당사뿐만 아니라 해당 고객사에도 함께 신고해 주시기 바랍니다.
테스트 규칙
- 본인 소유의 계정과 데이터, 또는 테스트 목적으로 제공받은 계정과 데이터만 사용하십시오.
- 문제를 입증하는 데 필요한 최소한의 작업만 수행하십시오. 타인의 데이터에 접근하게 되는 즉시 테스트를 중단하고 당사에 알려주십시오.
- 데이터를 변경하거나 삭제하지 마시고, 서비스 품질을 저하시키거나 필요한 시간 이상으로 접근 권한을 유지하지 마십시오.
- 공개 일정을 상호 합의할 때까지 세부 내용을 비공개로 유지해 주십시오.
면책 보호(Safe harbour)
선의로 행동하고 본 규칙을 준수하는 경우, 당사는 귀하의 연구를 승인된 활동으로 간주합니다. 이에 대해 법적 조치를 취하거나 관계 당국에 신고하지 않으며, 제3자가 문제를 제기하더라도 당사의 허가를 받은 활동임을 명확히 밝히겠습니다. 단, 본 규칙으로 승인할 수 없는 실정법 위반 행위는 보호 대상에 포함되지 않습니다.
공개 원칙
당사는 수정 사항이 필요한 모든 사용자에게 배포된 이후에 세부 내용을 공개하는 것을 원칙으로 합니다. 공개 시점은 제보자와 협의하여 결정하며, 고객 보호에 필요한 기간 이상으로 비공개를 요청하지 않습니다. 의견이 다를 경우 그 이유를 명확히 설명드리겠습니다.
고객사 안내
의심스러운 보안 사고는 계약서에 명시된 보안 담당자 연락처나 Nexus 내 고객 지원을 통해 신고해 주셔야 귀사의 사고 대응 계획에 맞춰 처리할 수 있습니다. 당사의 데이터 보호 방식과 준수 규정에 대한 자세한 내용은 다음 페이지에서 확인하십시오: 신뢰 센터.