CISA KEV 데이터 분석, 인간 규모 보안의 한계 노출로 자동화 의무화 시점 도래

미국 사이버보안·인프라보호청(CISA)의 알려진 악용 취약점(KEV) 데이터 10억 건 분석으로 수동 패치 기반 보안 모델의 근본적 한계 드러남

• CISA의 알려진 악용 취약점(Known Exploited Vulnerabilities, KEV) 데이터 10억 건에 대한 분석 결과, 인간의 수동 패치 대응만으로는 전 세계 조직의 취약점을 적절히 관리할 수 없다는 점이 정량적으로 입증되었으며, 이는 사이버보안 체계의 자동화 전환 필수성을 강조하고 있습니다.
• CISA KEV는 실제 공격에 악용된 취약점 정보를 정부에서 집계하는 글로벌 표준으로, 조직들이 이를 기반으로 우선순위 패치를 결정하는 주요 의사결정 자료이나, 데이터의 규모와 성장 속도가 수작업 기반 관리의 능력을 초과하는 현실을 보여주고 있습니다.
• 데이터 분석은 패치 적용 시간의 평균 지연, 중요 취약점 누락 비율, 조직별 대응 역량 편차 등을 구체적으로 드러내며, 이는 규제 당국의 자동화된 취약점 관리 솔루션 의무화, 기업의 자동 패치 시스템 도입 가속화 등 정책적 전환을 촉발할 가능성이 높습니다.
• 한국의 중요 공공기관 및 기업들은 현재 대부분 수동 기반의 취약점 관리 프로세스를 운영 중이며, 보안 인력 부족으로 인해 심각한 취약점이 누락되거나 늦게 패치되는 상황이 빈번하게 발생하고 있습니다.
• 정부 정책 차원에서는 중요 공공 및 기업 부문의 자동화된 취약점 관리 솔루션 도입 의무화, 클라우드 기반 통합 패치 관리 시스템 구축, 자동 패치 불가능한 구형 시스템에 대한 강제 폐기 또는 교체 정책 추진 등이 필요합니다.

KEV 데이터 분석은 수동 보안 관리의 기술적 한계를 정량 증명한다. 단기적으로는 취약점 관리 자동화 솔루션 도입 의무화 및 인센티브 제도 도입, 중장기적으로는 자동 패치 불가능 시스템의 점진적 폐기 정책 및 클라우드 기반 통합 관리 체계 구축이 필수다.

출처: BleepingComputer