[해외보안뉴스] 단순 점수를 넘어 조직 맞춤형 위험 평가로 전환해야 하는 취약점 관리
· 2026-10-18 00:00
· 조회 10
· 원문 ↗
기존의 취약점 관리는 CVSS(Common Vulnerability Scoring System) 점수나 보안 벤더가 제시하는 이론적인 위험도 수치에 과도하게 의존하는 경향이 있었습니다. 그러나 이러한 단순 점수 중심의 방식은 실제 위협 상황을 제대로 반영하지 못하며, 보안 팀에게 심각한 경보 피로(Alert Fatigue)와 불필요한 패치 업무 부담을 초래합니다. 최근 사이버 보안 분야에서는 단순 점수 집계에서 벗어나, 실제 공격에 악용되고 있는 위협 데이터와 조직의 고유한 IT 환경을 결합한 맞춤형 위험 평가 방식으로의 전환이 강조되고 있습니다.
이러한 패러다임의 변화는 수천 개의 자산과 수많은 취약점을 다루는 모든 기업 및 기관의 보안 운영에 직접적인 영향을 미칩니다. 예컨대 CVSS 점수가 9.0 이상으로 높더라도 해당 시스템이 외부 인터넷과 격리되어 있다면 실제 위험도는 낮을 수 있습니다. 반대로 CVSS 점수가 중간 수준이더라도 실제 위협 주체가 현제 적극적으로 악용(Exploit)하고 있는 취약점이라면 즉각적인 조치가 필요합니다. 맥락을 고려하지 않는 일률적인 패치 우선순위 선정은 제한된 보안 자원을 낭비하게 만듭니다.
효율적인 취약점 관리를 위해 조직은 CISA의 KEV(Known Exploited Vulnerabilities) 목록이나 EPSS(Exploit Prediction Scoring System)와 같은 위협 인텔리전스를 적극 도입해야 합니다. 실시간 악용 가능성 데이터와 함께 자산의 중요도, 네트워크 노출 여부, 기존 보안 제어 수단(방화벽, 접근 제어 등)을 종합적으로 평가하는 '맥락 중심의 취약점 관리' 프로세스를 수립하고 패치 우선순위를 정하는 것이 바람직합니다.
CVSS 점수만 보고 패치를 진행하다 보면, 정작 아키텍처상 격리된 내부 모듈 대응에 공수를 허비하여 개발팀의 '알람 피로'만 쌓이기 쉽습니다.
실제 익스플로잇 가능성(EPSS 등)과 우리 코드베이스 내에서의 '도달 가능성(Reachability)'을 정밀하게 분석하여 CI/CD 파이프라인의 패치 우선순위를 정해야 합니다.
보안 아키텍처의 핵심은 단순 스캐너의 수치가 아닌, 우리 서비스의 런타임 컨텍스트에 맞춘 실질적인 리스크 관리입니다.
레드팀 입장에서 단순 CVSS 점수는 실제 침투 대상을 선정하는 기준이 아닙니다. 점수가 낮더라도 PoC(개념 증명) 코드의 존재 여부와 네트워크 경계 접점 유무에 따라, 격리된 내부망의 CVSS 9.8 점수보다 훨씬 강력한 공격 통로가 될 수 있습니다. 결국 취약점 조치는 이론적 점수가 아닌 실제 공격 표면(Attack Surface)과 익스플로잇 가능성을 기준으로 우선순위를 정해야 합니다.
단순히 CVSS 점수만 쫓는 취약점 관리는 보안 자원의 낭비와 조직 내 패치 피로도만을 야기합니다. 이제는 자산의 비즈니스 중요도와 실제 공격 가능성(Exploitability)을 결합한 '맥락 중심의 리스크 평가'로 취약점 관리 정책을 전환해야 합니다. 이론적 위험이 아닌 실질적 위협에 자원을 집중할 수 있도록 관련 가버넌스를 즉시 재정비하겠습니다.