사고 이전의 행동을 보상하는 정책
조달청이 보안 취약점을 공개하는 AI 기업에 공공조달 가점을 주기로 했다. 취약점 공개를 리스크가 아니라 신뢰의 지표로 바꾼 첫 신호이자, CVD·VDP의 연성 제도화가 시작된 분기점으로 읽는다.
이번 조달청의 결정은 아직 법·제도 차원의 완결된 제도화는 아니지만, 보안 취약점 공개 정책을 국가가 ‘정책적으로 승인’하고 공공조달이라는 가장 강력한 수단과 결합했다는 점에서 역사적 의미가 크다고 본다. 그동안 취약점 공개는 기업에게 리스크로만 인식돼 왔지만, 이번 조치는 이를 신뢰와 경쟁력의 지표로 전환했다는 첫 신호라고 보기 때문이다.
특히 공공조달은 규제보다 훨씬 강력한 정책 레버리지다. 법으로 강제하지 않더라도, 조달 기준이 바뀌면 시장의 행동이 먼저 바뀐다. 그런 점에서 이번 가점 부여는 CVD·VDP의 사실상 ‘연성 제도화(soft institutionalization)’의 시작으로 볼 수 있다. 제도화까지는 시간이 더 걸리겠지만, 보안 정책이 처벌 중심에서 사전 예방과 투명성 중심으로 방향을 튼 분기점이라는 점은 분명하다.
지금까지 우리나라 보안 정책의 역사는 대부분 사고 이후의 규제로 쓰여 왔다. 이번 조달청의 선택은 드물게 사고 이전의 행동을 보상하는 정책이라는 점에서 주목할 만하다. 이 작은 변화가 쌓일수록, 취약점을 숨기는 문화에서 취약점을 관리하는 문화로의 전환은 더 이상 거스를 수 없는 흐름이 될 것이다. 제도는 아직이지만, 방향은 분명하다고 본다. 꼭 그렇게 될 것이라고 기대한다.
원문 보기
이번 조달청의 결정은 아직 법·제도 차원의 완결된 제도화는 아니지만, 보안 취약점 공개 정책을 국가가 ‘정책적으로 승인’하고 공공조달이라는 가장 강력한 수단과 결합했다는 점에서 역사적 의미가 크다고 본다. 그동안 취약점 공개는 기업에게 리스크로만 인식돼 왔지만, 이번 조치는 이를 신뢰와 경쟁력의 지표로 전환했다는 첫 신호라고 보기 때문이다.
특히 공공조달은 규제보다 훨씬 강력한 정책 레버리지다. 법으로 강제하지 않더라도, 조달 기준이 바뀌면 시장의 행동이 먼저 바뀐다. 그런 점에서 이번 가점 부여는 CVD·VDP의 사실상 ‘연성 제도화(soft institutionalization)’의 시작으로 볼 수 있다. 제도화까지는 시간이 더 걸리겠지만, 보안 정책이 처벌 중심에서 사전 예방과 투명성 중심으로 방향을 튼 분기점이라는 점은 분명하다.
지금까지 우리나라 보안 정책의 역사는 대부분 사고 이후의 규제로 쓰여 왔다. 이번 조달청의 선택은 드물게 사고 이전의 행동을 보상하는 정책이라는 점에서 주목할만하다. 이 작은 변화가 쌓일수록, 취약점을 숨기는 문화에서 취약점을 관리하는 문화로의 전환은 더 이상 거스를 수 없는 흐름이 될 것이다. 제도는 아직이지만, 방향은 분명하다고 본다. 꼭 그렇게 될 것이라고 기대한다.
Source
이 글은 페이스북 게시물을 옮겨 재편집한 것이다. 위 「원문 보기」에 수집 당시의 전문이 그대로 있다.
페이스북 원문 게시물post id 25891766813768428