서면 허가 없이 남의 시스템을 테스트하지 않기. 「선의」나 「사후 신고」도 면책이 되지 않음을 알기

비용

돈은 들지 않습니다. 업체의 SRC(업체가 직접 운영하는 보안 응급 대응 센터로, 외부에서 신고된 취약점을 접수합니다)나 「크라우드 테스트(众测)」에 참여하기 전에, 허용 범위, 대상 목록, 테스트 가능한 시간대를 명시한 문서를 먼저 받으십시오. 취약점이 실제로 있다는 것을 확인하면 거기서 멈추십시오. 어려운 점은 「잠깐 한번 해 보자」는 충동을 버리는 것입니다.

얻는 것

일반 기업과 개인의 시스템은 국가사무, 국방건설, 첨단과학기술 분야 이외의 컴퓨터 정보 시스템입니다. 이런 시스템에 침입하거나 다른 기술 수단으로 저장, 처리, 전송되는 데이터를 얻으면, 사안이 심각하면 3년 이하 유기징역 또는 「구역(拘役)」에 처하며 벌금을 병과하거나 단독으로 부과합니다. 특히 심각하면 3~7년 징역과 벌금을 병과합니다. 「사안이 심각함」의 기준은 여러 가지입니다. 결제, 증권 거래, 선물 거래 같은 온라인 금융 서비스의 신원 인증 정보(계정과 비밀번호 등)를 10쌍 이상 얻는 경우, 그 밖의 신원 인증 정보를 500쌍 이상 얻는 경우, 컴퓨터 정보 시스템을 20대 이상 불법 통제하는 경우, 위법 소득이 5000위안 이상이거나 경제적 손실이 1만 위안 이상인 경우입니다. 위 수치의 5배 이상이면 「사안이 특히 심각함」입니다. 공식 사례: 「검례(检例) 제36호」는 「계정과 비밀번호를 허가 범위를 넘어 사용해 컴퓨터 정보 시스템에 로그인하는 것은 컴퓨터 정보 시스템 침입 행위에 해당한다」는 원칙을 정했습니다. 즉 계정과 비밀번호를 원래 가지고 있더라도, 허가 범위 밖에서 쓰는 행위 자체가 침입이라는 뜻입니다. 이 사건에서 세 사람은 업무 중 알게 된 계정, 비밀번호, 토큰으로 회사 내부 시스템에 원격 로그인해, 업무 범위에 속하지 않는 데이터를 내려받아 인터넷에 팔았습니다. 위법 소득은 37000위안이었습니다. 세 사람은 각각 징역 4년, 3년 9개월, 4년을 받았고, 벌금은 각 4만 위안이었습니다. (전국)

참고

검례 제36호는 실제로 데이터를 팔아 이익을 얻은 사건입니다. 이를 인용한 것은 「허가 범위를 넘은 로그인도 침입이다」라는 한 문장 때문이며, 선의의 테스트가 똑같이 무겁게 처벌된다는 뜻은 아닙니다. 본인의 의도나 사후 신고 여부는 죄명을 상쇄하지 못하고, 형량이나 기소 여부에만 영향을 줄 수 있습니다. 업체가 먼저 감사 인사를 하고 나중에 신고하는 일은 서로 모순되지 않으며, 감사 인사가 허가를 뜻하지도 않습니다. 2016년 한 화이트해커가 「세기가연(世纪佳缘)」 웹사이트의 취약점을 제3자 취약점 플랫폼에 제출했는데, 이후 세기가연이 신고하여 그가 체포되었습니다. 세기가연은 기자에게 데이터가 누군가에게 빼앗겨서 신고했다고 말했고, 당시에는 데이터를 가져간 사람이 취약점을 제출한 사람인지 몰랐다고 했습니다. 이 사건은 언론 보도만 있고 판결도 공식 발표도 없어서 최종 처리에 대한 공식 입장은 없습니다. 최고인민법원과 최고인민검찰원 공식 사이트에서도 선의의 테스트 사례를 원문 그대로 대조할 수 있는 것은 찾지 못했으므로, 이 항목은 법 조문과 처벌 기준으로만 등급을 매겼습니다. 테스트를 하려면 업체가 공개한 SRC를 이용하거나, 범위, 대상, 시간 창을 서면으로 적은 위탁 평가를 받으십시오. 취약점의 존재를 증명하는 데는 최소한의 증거만 쓰고, 데이터를 대량으로 가져가지 마십시오. 범죄에 이르지 않은 경우에도 치안 처벌을 받고 종사 금지가 있으며, 벌금 액수와 기간은 제11절 제8항(남의 컴퓨터에서 자기 프로그램 돌리기)과 같습니다. 취약점을 찾은 뒤 어떻게 처리할지는 제11절 제10항(취약점을 규정에 따라 보고하기)을 보십시오.

근거 수준

A : 메타분석, 대규모 코호트, 무작위 시험의 구체적 수치가 있음. 법률·정책은 조문이나 공식 문서를 확인함.

출처

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

중국어 원서를 번역했습니다. 원서 제 11 절 제 9 항. 이 절은 주로 중국 본토의 법 규정을 다룹니다. 일반적인 정보이며 법률 자문이 아닙니다. 내용이 오래되었을 수 있고 제도는 지역마다 다릅니다. 실제로 민원·진료·소송을 할 때는 담당 기관, 의사, 변호사의 안내를 따르세요. 면책 고지