CISA, 글로벌 CVE 프로그램에 ‘품질 시대’ 프레임워크 제시

CISA, 글로벌 CVE 프로그램에 ‘품질 시대’ 프레임워크 제시

• CISA는 2026년 9월 22일 ‘Quality Era Framework’를 발표했다. CVE 프로그램을 확장 중심에서 신뢰성·신속성·데이터 품질 중심으로 전환하는 내용이다.
• 프레임워크는 프로그램 거버넌스, 생태계 참여, 데이터 인프라, CVE 기록 내용을 4대 품질 차원으로 규정했다. 어느 한 영역만으로는 개선을 달성할 수 없다고 밝혔다.
• AI 기반 탐색 도구가 개발부터 공개까지 취약점 발견을 앞당기면서 분류와 조정, CVE 부여 절차에 부담을 키웠다. CISA는 CNAs·연구자·공급업체와 후속 개선을 추진한다.
• 2026년 9월 18일까지 CVE 67,000건 이상이 공개됐고 연말 96,000건이 전망됐다. NVD 제출량은 2020~2025년 263% 늘었으며 2026년 1분기도 전년보다 3분의 1 증가했다.
• CISA는 의사결정 속도, 이해충돌 처리, 활동 중인 CNA의 수와 다양성, 시스템 가동률·API 성능을 측정 후보로 제시했다. 다만 목표치와 기한은 정하지 않았다.
• 한국은 취약점 정보의 속도보다 완전성·활용성을 평가하는 기준과 책임체계를 마련해야 한다. 국내 보안기업에는 CVE 품질검증·자동화 시장이, 국가에는 공급망 대응 협력 기반이 열린다.

정책 담당자는 국내 취약점 정보의 품질지표, CNA 참여 확대, API 안정성 기준을 우선 설계하고, AI 탐색 결과의 검증 책임과 정정 절차를 제도화해야 한다.

주요 용어: CVE(공개 소프트웨어 취약점 식별자), CNA(CVE 번호를 부여하는 권한 기관), NVD(취약점 정보를 관리·제공하는 국가 데이터베이스), API(시스템 간 데이터 연동 통로)

출처: Infosecurity Magazine