보안 뉴스의 'CVE 번호'와 '심각도 점수', 점수가 높다고 우리에게 가장 급한 건 아닌 이유

'심각도 9점대 취약점 발견' 기사를 보고 불안해지셨나요

보안 뉴스를 보다 보면 'CVE-로 시작하는 번호'와 '심각도 몇 점'이라는 표현이 자주 나오죠. 숫자가 10에 가까울수록 제목도 무섭게 달려서, 읽고 나면 '우리 회사도, 내 휴대폰도 큰일인가?' 싶어져요. 이 글은 그 번호와 점수가 각각 무엇을 말해 주는지 가르고, 우리에게 얼마나 급한지를 스스로 판단하는 순서까지 정리해 드릴게요.

먼저 한 가지만 짚고 갈게요. 번호와 점수는 둘 다 '취약점'에 대한 정보예요. 취약점은 소프트웨어나 설정에 있는 약한 틈을 말하는데, 그 틈이 우리에게 실제 위험이 되느냐는 또 다른 이야기예요. 위협·취약점·위험을 가르는 이야기는 따로 다룬 적이 있으니, 여기서는 공지 한 장을 손에 쥐었을 때의 읽는 법에 집중할게요.

참고로 이 글은 특정 취약점을 어떻게 악용하는지, 어떤 도구로 확인하는지를 다루지 않아요. 개별 취약점의 패치 여부나 최신 현황도 적지 않아요. 그런 정보는 시시각각 바뀌어서, 제조사 공지와 공공 보안 공지를 직접 보는 편이 정확하거든요.

번호는 '이름표', 점수는 '취약점의 성질'이에요

CVE 번호부터 볼게요. 전 세계에서 발견된 공개 취약점에 하나씩 붙이는 공통 이름표예요. 연도와 일련번호로 이루어져 있어서, 서로 다른 회사와 기관이 같은 취약점을 이야기할 때 헷갈리지 않게 해 줘요. 병원에서 환자마다 등록번호를 붙이는 것과 비슷해요. 등록번호가 있다고 중병이라는 뜻이 아니듯, CVE 번호가 붙었다는 사실만으로는 얼마나 위험한지 알 수 없어요.

이게 왜 중요하냐면요, 번호가 붙은 취약점은 오히려 관리가 되고 있는 쪽일 때가 많거든요. 누군가 발견해서 알렸고, 이름이 붙었고, 대개는 제조사가 고침판이나 임시 대응 방법을 함께 안내해요. 번호가 없는 것이 안전하다는 뜻도 아니에요. 아직 알려지지 않았거나, 이름표를 붙이는 절차 밖에 있을 수도 있으니까요.

심각도 점수는 성격이 달라요. 널리 쓰이는 공통 채점 방식은 0부터 10까지의 점수로, 그 취약점이 가진 성질을 재요. 대략 이런 질문들에 답한 결과가 점수로 모여요. 네트워크 너머에서도 건드릴 수 있는지, 까다로운 조건이 필요한지, 미리 계정이나 권한이 있어야 하는지, 사용자가 무언가를 눌러야 하는지, 그리고 뚫렸을 때 비밀이 새는지·내용이 바뀌는지·서비스가 멈추는지까지요. 보안의 세 가지 목적인 기밀성·무결성·가용성이 여기서 다시 나와요.

그러니까 기사에 적힌 기본 점수는 '조건이 다 맞는 곳에서라면 이만큼 나쁠 수 있다'는 취약점 자체의 성적표예요. 우리 회사가 그 제품을 쓰는지, 어디에 두었는지는 이 점수에 들어 있지 않아요. 같은 취약점이 어떤 곳에서는 당장 막아야 할 일이 되고, 어떤 곳에서는 해당 사항이 없는 이유가 여기 있어요.

• CVE 번호 — 공개 취약점의 공통 이름표 · 알려 주는 것: 어떤 취약점을 가리키는지 · 알려 주지 않는 것: 얼마나 위험한지
• 심각도 점수 — 취약점 자체의 성질을 0~10으로 잰 값 · 알려 주는 것: 조건이 맞으면 얼마나 나쁠 수 있는지 · 알려 주지 않는 것: 우리 환경에 해당하는지
• 우리 우선순위 — 우리 환경에 대입한 판단 · 알려 주는 것: 무엇부터 손댈지 · 누가 정하나: 공지를 읽는 우리 자신

우리에게 얼마나 급한지는 네 가지를 더 물어야 정해져요

점수를 확인했다면, 이제 우리 쪽 사정을 대입할 차례예요. 여기서 많이들 헷갈리세요. 점수 순서대로 줄을 세우면 될 것 같지만, 실제 우선순위는 아래 네 가지 질문을 거치면서 꽤 달라져요.

첫째, 우리가 그 제품과 그 버전을 쓰고 있나요. 공지에는 영향받는 제품과 버전 범위가 적혀 있어요. 해당하지 않으면 점수가 아무리 높아도 우리에게는 읽고 넘어가도 되는 소식이에요. 둘째, 그 장비나 서비스가 밖에서 닿는 자리에 있나요. 인터넷에 열려 있는 것과 내부에서만 쓰는 것은 같은 취약점이라도 무게가 달라요.

셋째, 실제로 악용되고 있다는 소식이 있나요. 공지나 공공 보안 안내에 '악용 사례가 확인되었다'는 문구가 붙어 있다면, 점수가 조금 낮더라도 먼저 챙기는 편이 좋아요. 이론상의 틈과 지금 누군가 쓰고 있는 틈은 급한 정도가 다르니까요. 넷째, 그 장비가 무엇을 지키고 있나요. 고객 정보나 결제처럼 중요한 자산 곁에 있는지, 이미 다른 방어가 한 겹 더 있는지에 따라 순서가 또 움직여요.

막상 이 네 질문을 거쳐 보면, 뉴스에서 크게 다룬 취약점보다 조용히 공지된 다른 취약점이 우리에게 더 급한 경우도 생겨요. 반대로 무서운 제목의 기사가 우리와 무관하다는 것을 확인하는 데 몇 분이면 충분할 때도 많고요. 점수는 출발점일 뿐, 순서는 우리가 정한다는 감각을 가져가시면 돼요.

• 그 제품·버전을 쓰고 있나 — 해당 없으면 읽고 넘어가도 되는 소식
• 밖에서 닿는 자리인가 — 인터넷에 열려 있으면 무게가 커짐
• 실제 악용 소식이 있나 — 확인됐다는 안내가 있으면 점수보다 먼저
• 무엇을 지키는 장비인가 — 중요한 자산 곁일수록, 다른 방어가 없을수록 앞으로

개인과 담당자, 공지를 읽는 순서가 달라요

같은 기사를 읽어도 서 있는 자리에 따라 할 일이 달라요. 개인이라면 부담을 훨씬 덜어도 괜찮아요. 휴대폰·컴퓨터·공유기처럼 내가 쓰는 기기의 자동 업데이트가 켜져 있는지 확인하고, 업데이트 알림이 오면 미루지 않는 것이 대부분의 취약점 소식에 대한 답이에요. 기사 속 번호를 하나하나 찾아볼 필요는 없어요.

다만 업데이트 알림은 공식 경로로만 받으세요. '긴급 보안 패치'라며 문자나 메일로 설치 파일을 내미는 경우는 피싱일 수 있어요. 기기의 설정 화면이나 제조사 앱 안의 업데이트 메뉴가 믿을 수 있는 창구예요.

회사의 보안·IT 담당자라면 순서가 조금 길어져요. 공지를 받으면 먼저 우리 자산 목록과 대조해서 해당 제품과 버전이 있는지 확인해요. 있다면 그 자리가 밖에서 닿는지, 악용 소식이 있는지를 보고 순서를 정하고, 제조사가 안내한 고침판이나 임시 대응 방법을 따라요. 곧바로 고칠 수 없다면 왜 미루는지, 그동안 어떤 보완을 두는지를 기록으로 남겨 두는 것까지가 한 묶음이에요.

1차 자료는 두 곳을 기본으로 삼으면 돼요. 쓰고 있는 제품의 제조사 보안 공지, 그리고 한국인터넷진흥원이 운영하는 보호나라의 보안 공지예요. 뉴스 기사는 소식을 빨리 알려 주는 역할로 두고, 영향받는 버전과 대응 방법은 이 원문에서 확인하는 편이 정확해요. 실제 침해가 의심되는 상황이라면 118 상담 창구가 가장 빠른 길이에요.

정리: 무서운 제목 앞에서 세 층으로 나눠 읽기

이제 이렇게 읽으시면 돼요. 번호를 보면 '어떤 취약점을 가리키는지 알려 주는 이름표구나', 점수를 보면 '조건이 맞으면 이만큼 나쁠 수 있다는 성적표구나' 하고 받아들이세요. 그다음 우리가 쓰는지, 밖에서 닿는지, 악용 소식이 있는지, 무엇을 지키는지를 차례로 물어서 우리만의 순서를 정하면 끝이에요.

솔직히 말하면 처음에는 번호와 점수만으로도 머리가 복잡해 보여요. 그런데 층을 나눠 두면 같은 기사를 읽어도 불안 대신 확인할 목록이 남아요. 개인은 업데이트 습관 하나로, 담당자는 자산 목록과의 대조 하나로 대부분의 소식을 차분하게 소화할 수 있어요. 시간을 정말 먼저 손댈 곳에 쓸 수 있다는 것, 그게 이 읽는 법이 주는 가장 큰 이점이에요.