CISA, 연방 패치 규정 다시 썼다…AI 위협 속도에 대응

CISA가 연방 패치 요건을 다시 설계하면서, 기존의 느린 업데이트 절차가 AI 시대의 공격 속도를 따라가지 못한다는 점을 제도적으로 인정했다.

• CISA는 AI threat era에 맞춰 federal patching requirements를 다시 썼다. CISA, federal patching, AI threat era라는 표현은 미국 정부가 패치 주기를 행정 절차가 아니라 공격 속도 대응 장치로 보고 있음을 보여주며, 취약점 공지와 실제 조치 사이의 시간을 줄이는 방향으로 정책을 전환했음을 의미한다.
• 이 변화는 AI가 공격 탐색과 악용 준비를 자동화하면서, 수동 승인과 분산 책임 구조가 방어에 불리하게 작동하기 때문으로 해석된다. 따라서 한국 정부도 공공기관의 보안 업데이트를 정기 점검 수준이 아니라 긴급 운영 통제 수준으로 전환해야 하며, 중요 서비스는 자동화된 패치 우선순위 체계를 가져야 한다.
• 정량적 핵심은 새 규정이 AI 위협 시대를 직접 언급했다는 점이다. 이는 단순한 문서 개정이 아니라, 패치 실패가 곧 국가 위험으로 이어지는 환경을 전제로 규칙을 재설계한 것이며, 공공망과 민간 중요 인프라 모두에 간접 압박을 준다.
• 정책적으로 미국은 취약점 대응을 자율 권고에서 강제 운영으로 옮기고 있다. 한국도 중앙정부, 지자체, 공공기관, 산하기관의 패치 지연 사유를 통합 관리하고, 지연 발생 시 자동 경보와 책임 추적이 가능하도록 제도를 정비해야 한다.

패치는 기술 작업이 아니라 안보 통제다. 한국 정부는 중요 시스템의 업데이트 지연을 허용하는 관행을 줄이고, 중앙집중형 패치 관리 체계를 강화해야 한다.

주요 용어: 패치 요건(보안 업데이트 의무), 연방 기관(federal agency), AI 위협 시대(AI가 공격 속도와 범위를 확대한 환경)

출처: Dark Reading