어떻게 해야할지 고민입니다

Question

오랫만에 와서 대뜸 쓰는글이 질문이라 민망하지만 일단 각설하고,지금까지 솔루션업체만 전전하다가 오랫만에 SI로 돌아와서 이번달에 입사를 해서 처음으로 웹 유지보수 프로젝트를 맡게되었는데요.기술스택이 Java에 전정프를 기반인데 문제는 해당 프로젝트의 일부 의존성이 maven repository에서 확인결과 보안취약점이 50여개가 발견되어있는 상태입니다. 항목이 너무 많아 내용을 상세하게 보지는 않았지만 gpt로 정리해본결과 인증우회, 서비스거부, 원격코드실행, 정보노출의 문제가 있을수 있다고 답을 해주었습니다. 문제는 해당 의존성이 취약점에 대한 패치버전도 없는상태이고 대체할수 있는 라이브러리도 아직 찾지 못한상태입니다. 최악의 경우 해당 의존성을 걷어내고 다시 구현해야하나 싶은데 그렇게되면 예상일정을 산정하기가 어려워지게되고요.윗선에서는 과업지시서에 보안에 대한 내용이 없고 이용자수도 많지않으니 고민하지않아도 된다고 하지만, 유지보수의 책임을 맡게 된 이상 해당 취약점으로 인해 문제가 발생하게 될 경우 불똥이 튀지않을까 염려됩니다.이 문제를 어떻게 해결해야할지 조언을 여쭈어봅니다(+ 원청업체가 위 문제를 알고있는지는 아직 확인되지 않은상태입니다.)

Iswn · Answer

규모를 모르겠는데 왠만한 규모라면 정기적으로 보안검사를 실시할겁니다.자체 점검팀을 갖고 있거나 주/통-망 (주-요_통$신|기*반) 이라면 국정0 점검이 나옵니다.보안에 책임을 개인에게 전가하지 않을겁니다.사업별로 보안 준주 절차나 사업계획서에 관련 내용이 있으니 거기에 준수하시면 되요.오히려 작업 절차(유지보수사업라면 분배 철차가 있을겁니다)없이혼자 알아서 하려다 10번 잘하고 1번삑사리 내면 규정 안지키고 지멋대로 하다가 사고내는 사람이 되버립니다.

novax · Answer

윗분말대로기술스택이 Java에 전정프를 기반인데 문제는 해당 프로젝트의 일부 의존성이 maven repository에서 확인결과 보안취약점이 50여개가 발견되어있는 상태입니다.문제라고 생각하시는 이슈가 실제 문제가 아닐 수도 있습니다.

어떻게 해야할지 고민입니다

2개의 답변

Q&A 목록