NIST, 취약점 평가 기준 대폭 축소… 글로벌 보안 생태계 대전환 신호

미국 표준기술연구소, 증가하는 취약점 량에 대응해 우선순위 외 결함 등급 폐지 추진

• 미국 국립표준기술연구소(NIST)는 매년 급증하는 사이버 보안 취약점의 양적 폭증에 대응하기 위해 우선순위가 낮은 결함에 대한 공식 등급 부여를 중단하는 정책 전환을 추진 중이며, 이는 글로벌 보안 업체들의 취약점 관리 전략과 정부 감시 체계에 근본적 변화를 초래할 것입니다.
• 종전 NIST의 CVE(공통 취약점 목록) 시스템은 국제적으로 보안 패치 우선순위와 정책 수립의 핵심 근거가 되어 왔으나, 지수적 증가하는 취약점 발견에 대응하기 위해 선택과 집중의 논리로 전환함에 따라 중소 기업과 개도국의 보안 의사결정 난이도가 상당히 높아질 가능성이 있습니다.
• 이번 정책 변화는 한국을 포함한 주요국이 국내 취약점 데이터베이스를 자체 구축하고 국가 맞춤형 보안 표준을 정립해야 한다는 긴급 신호로 해석되며, 글로벌 표준에만 의존하던 국내 정부 및 기업 보안 거버넌스의 자주성 강화가 불가피한 상황입니다.
• 특히 중요 기반시설 운영기관과 대형 정보통신 기업들은 NIST 등급 폐지 이후의 불명확한 우선순위 환경에서 자체적인 리스크 평가 역량을 대폭 강화해야 하며, 이는 보안 투자 기준과 인력 배치 구조의 근본적 재편성을 요구합니다.
• 선진국의 사이버 보안 정책이 글로벌 표준화에서 국가별 자율화로 전환되는 추세 속에서 한국 정부는 국내 보안 산업의 국제 경쟁력 강화와 국방 및 금융 분야의 자체 보안 기준 수립을 동시에 추진해야 할 결정적 시점에 진입했습니다.

NIST의 선택적 등급 부여 정책은 글로벌 보안 생태계의 ‘자율화’ 신호로, 한국은 국내 CVE 관리 체계 독립 구축과 함께 중소 기업 보안 지원 정책을 신속히 마련하여 정책 공백 상태로부터 산업을 보호해야 합니다.

주요 용어: NIST(미국 표준기술연구소로 글로벌 IT 보안 표준을 주도하는 기관), CVE(공통 취약점 목록으로 세계적으로 인정받는 보안 결함 데이터베이스), 취약점 등급(보안 결함의 심각도를 1~10점으로 평가하는 국제 표준 시스템)

출처: BleepingComputer