보안 취약점 공개 정책

소개

GGWP, Inc.의 사명은 안전하고 포용적인 게임 커뮤니티를 조성하는 것입니다。 저희는 콘텐츠 모더레이션 알고리즘의 보안, 고객 데이터, 플레이어의 개인정보 보호를 매우 중요하게 생각합니다。

저희는 보안 커뮤니티가 더 안전한 인터넷을 만드는 데 핵심적인 역할을 한다는 것을 잘 알고 있습니다。 보안 문제를 파악하고 해결할 수 있도록 도움을 주시는 보안 연구원, 화이트 해커, 게임 커뮤니티의 기여에 감사드립니다。 저희 플랫폼, API 또는 SDK에서 보안 취약점을 발견하셨다면 가능한 한 빨리 알려주시기 바랍니다。

세이프 하버（법적 보호）

본 정책을 준수하는 경우, 저희는 보안 연구와 취약점 공개를 미국 컴퓨터 사기 및 남용 방지법（CFAA）, 디지털 밀레니엄 저작권법（DMCA） 및 기타 관련 해킹 방지법에 따라 ‘허가된’ 행위로 간주합니다。

선의로 활동하는 과정에서 본 정책을 우발적으로 위반한 경우, 저희는 귀하를 상대로 법적 조치를 취하거나 이를 지원하지 않을 것을 약속합니다。

단, 다음 행위에는 세이프 하버 보호가 적용되지 않습니다。

• 금전 요구 또는 갈취：취약점 공개를 보류하거나 취약점을 수정하는 대가로 금전을 요구하는 행위。
• 사기：금전적 이득을 위해 취약점을 이용하여 저희 시스템, 직원 또는 고객을 속이는 행위。
• 데이터 유출：개념 증명에 반드시 필요한 범위를 넘어서는 데이터에 의도적으로 접근하거나 이를 다운로드 또는 전송하는 행위。
• 악의적 행위：저희 서비스의 무결성이나 가용성을 훼손하려는 모든 행위（예：데이터 파괴, 악성코드의 지속적 유지）。

적용 범위

테스트 대상 자산

GGWP, Inc.가 소유하고 운영하는 다음 자산을 중심으로 테스트해 주시기 바랍니다。

• 웹 애플리케이션：dashboard.ggwp.com
• API 엔드포인트：api.ggwp.com
• 클라이언트 SDK：Unity 및 Unreal용 GGWP, Inc. 공식 SDK

제한된 자산（허가 필요）

• Moderation 모델 및 AI：사전 서면 동의 없이 저희 머신러닝 모델을 대상으로 모델 역추론, 학습 데이터 추출 또는 적대적 공격을 테스트하는 행위는 엄격히 금지됩니다。

테스트 대상에서 제외되는 자산

• 고객의 게임：저희 서비스를 이용하는 게임 스튜디오의 비디오 게임, 서버 또는 인프라를 테스트하거나 해킹하거나 운영을 방해하는 행위는 엄격히 금지됩니다。 테스트는 게임 클라이언트 자체가 아닌 저희 API 인터페이스를 대상으로 수행해야 합니다。
• GGWP, Inc. 이외의 제공업체가 호스팅하는 타사 서비스（예：HubSpot, 애플리케이션 계층 침해 없이 서비스의 기반이 되는 AWS 인프라를 대상으로 하는 테스트）。

테스트 지침 및 준수 사항

세이프 하버의 보호를 받으려면 다음 사항을 준수해야 합니다。

• 피해 방지：저희 서비스의 성능을 저하시키거나（예：DoS/DDoS） 고객에게 제공되는 모더레이션 기능을 방해하지 마세요。
• 개인정보 보호 우선：본인 소유가 아닌 계정의 데이터에 접근하거나 이를 다운로드 또는 수정하지 마세요。 타인의 개인 식별 정보（PII）, 채팅 로그 또는 음성 녹음을 발견하면 즉시 중단하고 해당 취약점을 신고해 주세요。
• 피벗 금지：발견한 취약점을 이용해 내부 시스템이나 다른 고객 환경으로 접근을 확장하지 마세요。
• 기밀 유지：저희가 문제를 해결할 합리적인 시간을 확보하기 전에는 취약점을 대중이나 제3자에게 공개하지 마세요（자세한 내용은 아래 ‘공개 정책’ 참조）。

제외 사항（인정되지 않는 취약점）

다음 문제는 중대한 보안 영향을 입증하지 않는 한 일반적으로 대상에서 제외됩니다。

• 저희 직원 또는 고객을 대상으로 하는 사회공학적 공격（피싱, 보이스 피싱）。
• 저희 사무실에 대한 물리적 보안 공격。
• UI/UX 버그 또는 맞춤법 오류。
• 요청 속도 제한의 부재（서비스 가용성에 심각한 위협을 초래하는 경우 제외）。
• HTTP 보안 헤더 누락（구체적인 영향이 입증된 경우 제외）。
• 단순히 ‘잘못된’ 분류 결과를 유발하는 AI 대상 적대적 입력（코드 실행이나 데이터 유출로 이어지지 않는 한, 이는 보안 취약점이 아닌 품질 문제입니다）。

취약점 신고 방법

신고에는 다음 내용을 포함해 주세요。

• 설명：취약점의 위치와 특성。
• 재현 단계：명확한 단계별 안내 또는 개념 증명（PoC） 스크립트。
• 영향：취약점이 악용될 수 있는 방식과 위험에 노출되는 데이터 및 시스템。

신고자에 대한 약속

취약점을 제보해 주시면 저희는 다음을 약속합니다。

• 접수 확인：영업일 기준 3일 이내에 신고 접수 사실을 알려드립니다。
• 검토：영업일 기준 10일 이내에 신고를 분류하고 취약점의 유효성을 확인합니다。
• 소통：진행 상황을 지속적으로 알려드립니다。

목표 수정 일정

저희는 심각도에 따라 문제를 해결하기 위해 노력합니다。 상업적으로 합리적인 노력을 전제로, 수정 목표를 다음과 같이 정하고 있습니다。

공개 정책

저희는 상호 조율된 취약점 공개 방식을 지지합니다。 다음 중 하나의 조건이 충족된 후에만 발견 내용을 공개할 수 있습니다。

• 저희가 취약점이 수정되었음을 귀하에게 통지한 경우 또는
• 최초 신고 후 90일이 지났으며, 수정의 복잡성으로 인해 저희가 기한 연장을 요청하지 않은 경우。

표준 공개 절차의 예외

• 조기 공개：취약점이 실제 환경에서 활발히 악용되고 있는 경우（‘제로데이’）, 커뮤니티에 알리기 위해 공개 일정을 앞당기는 데 동의할 수 있습니다。
• 공개 연기：취약점이 복잡한 생태계에 영향을 미치는 경우（예：공급업체의 업스트림 수정이 필요한 타사 종속성）, 공개 전에 더 넓은 생태계에 패치가 적용되도록 90일을 초과하는 기한 연장을 요청할 수 있습니다。

보상 및 기여 인정

게임 생태계의 안전을 지키는 데 도움을 주시는 보안 연구원 여러분께 깊이 감사드립니다。 다만, 프로그램에 대해 정확히 이해하실 수 있도록 그 성격을 명확히 안내드립니다。

금전적 보상 없음

현재 이 프로그램은 취약점 공개 프로그램（VDP）이며, 유료 버그 바운티 프로그램이 아닙니다。 현재 취약점 제보에 대한 금전적 보상이나 현금 포상금은 제공하지 않습니다。 보상을 기대하고 신고하거나, 취약점의 세부 정보를 제공하는 조건으로 보상을 요구하지 마시기 바랍니다。

감사의 뜻

현금 포상금을 제공해 드릴 수는 없지만, 저희는 여러분의 기여를 소중히 여기며 유효하고 영향력이 큰 신고에 대해 다음과 같은 방식으로 감사를 표하고자 합니다。

• 명예의 전당：동의해 주시면 보안 명예의 전당에 귀하의 이름과 프로필 링크를 게시합니다。