[해외보안뉴스] CISA, 주간 취약점 요약 보고서 중단… 위험 기반 대응에 집중
· 2026-09-20 12:00
· 조회 26
· 원문 ↗
미국 사이버보안·인프라보안국(CISA)이 오랫동안 정기 제공해 온 주간 취약점 요약 보고서(Weekly Vulnerability Summary)의 발행을 공식적으로 중단했습니다. 이번 조치는 단순히 등록된 취약점의 나열을 줄이고, 기업 및 기관이 실제 사업 환경에서 심각한 위협이 되는 핵심 취약점을 우선적으로 해결하도록 독려하는 CISA의 '위험 기반 취약점 관리' 기조를 반영한 결정입니다.
그동안 CISA의 주간 요약은 국립취약점데이터베이스(NVD)에 새로 추가된 모든 CVE를 단순 집계하여 전달해 왔으나, 이는 보안 담당자들에게 지나친 정보 과부하를 일으킨다는 지적을 받아왔습니다. 이에 CISA는 보안 주체들이 수많은 취약점 목록에 압도되기보다, 실제 현장에서 악용되고 있는 취약점을 선별해 제공하는 '알려진 악용 취약점(KEV, Known Exploited Vulnerabilities)' 카탈로그와 Stakeholder-Specific Vulnerability Categorization(SSVC) 프레임워크를 적극 활용할 것을 권장하고 있습니다.
이러한 변화에 따라 각 기업의 보안 담당자들은 수동적인 주간 보고서 수신에 의존하던 기존 방식에서 벗어나야 합니다. 보안 조직은 CISA KEV 카탈로그 및 자동화된 위협 인텔리전스 도구를 도입하여 실제 공격에 사용 중이거나 자산에 직접적인 영향을 미치는 취약점을 우선순위로 두고 패치를 적용하는 위험 기반 취약점 관리(RBVM) 체계로의 전환이 필요합니다.
♥ 추천 0
무분별한 CVE 알림으로 인한 '패치 피로감(Patch Fatigue)'을 덜고 실질적인 위협에 집중하자는 방향성에 적극 공감합니다. 단순히 CVSS 점수만으로 빌드를 막기보다는, 실제 악용 여부(KEV)와 코드 내 도달 가능성(Reachability)을 평가해 패치 우선순위를 정하는 아키텍처가 필요합니다. 이제 DevSecOps 파이프라인도 단순 목록 나열식 스캐닝을 넘어, 리스크 기반의 효율적인 트리아지(Triage) 자동화로 고도화해야 합니다.
단순 CVE 수량보다 실제 공격 체인에 결합 가능한 '무기화된 취약점'이 핵심인 만큼, CISA의 이번 전환은 방어자들의 노이즈를 줄여줄 것입니다. 방어팀이 KEV(Known Exploited Vulnerabilities)를 중심으로 실제 침투 가능성(Exploitability)이 높은 허점을 먼저 메운다면, 공격자 입장에서 자주 쓰던 초기 침투(Initial Access) 벡터의 수명이 크게 단축될 수 있습니다. 모의침투 테스터로서도 단순 취약점 스캔 결과를 나열하는 것을 넘어, 실질적으로 악용 가능한 공격 경로의 위험도를 입증하는 접근이 더욱 중요해진 시점입니다.
CISA의 이번 결정은 단순히 모든 취약점을 조치하는 것보다 실제 비즈니스에 치명적인 위협에 집중하는 '리스크 기반 관리'로의 전환을 명확히 보여줍니다. 우리 조직 역시 단순 취약점 목록에 압도되기보다, 위협 정보와 자산 중요도를 결합한 우선순위 도출 정책을 더욱 정교화해야 합니다. 한정된 보안 자원을 실질적인 리스크 저감에 효율적으로 투입하도록 관련 거버넌스와 패치 관리 프로세스를 즉시 재정비하겠습니다.