보안 기사 속 취약점, 우리한테도 위험한가요: 위협·취약점·위험 구분법

한 문단에 뒤섞여 나오는 세 단어

보안 기사를 읽다 보면 위협·취약점·위험이 거의 같은 말처럼 번갈아 나와서 헷갈리시죠. 그러다 보니 '그래서 이게 우리한테 문제인가'라는, 정작 필요한 판단에서 막히게 돼요. 이 글에서는 세 단어를 자산 위에 다시 세우고, 기사 한 줄을 우리 상황으로 옮겨 읽는 방법까지 정리해 드릴게요.

'새로운 보안 위협 발견', '심각한 위험이 있는 취약점', '위협에 노출될 위험' 같은 표현이 한 문단 안에 함께 나오기도 해요. 일상 대화라면 문제될 게 없지만, 보안 업무에서는 이 셋이 서로 다른 층위를 가리키는 개념이라 섞어 쓰면 논의가 엉켜요.

구분이 흐릿하면 대응도 흐릿해져요. 위협에 대한 대응, 취약점에 대한 대응, 위험에 대한 대응은 담당자도 방법도 비용도 달라요. 그러니까 제 말은, 세 단어를 정확히 놓는 건 용어를 외우기 위해서가 아니에요. 눈앞의 문제를 누가 어떤 방식으로 처리해야 하는지 갈라내기 위해서예요.

출발점은 자산 — 무엇을 지키는지부터

세 단어를 설명하기 전에 하나가 더 필요해요. 자산이에요. 자산은 지킬 가치가 있는 대상 전부를 말해요. 고객 정보가 담긴 데이터베이스, 서비스를 돌리는 서버, 직원의 노트북, 출입 시스템, 오래 쌓아 온 신뢰와 평판까지 모두 자산에 들어가요. 보안의 모든 논의는 '무엇을 지키는가'에서 시작하기 때문에, 자산이 정해지지 않으면 나머지 세 단어는 공중에 떠 버려요.

현장에서 자산 정리가 어려운 이유는 목록을 만드는 일 자체보다 그 목록이 계속 변하기 때문이에요. 새 서비스가 열리고, 시험용으로 잠깐 띄운 서버가 그대로 남고, 부서가 임의로 만든 공유 폴더에 중요한 파일이 쌓여요. 관리 목록에 없는 자산은 점검 대상에서도 빠지고, 사고는 대체로 그렇게 빠진 자리에서 시작돼요. 자산 식별이 보안 업무의 첫 단계로 꼽히는 이유예요.

위협은 없앨 수 없고, 취약점은 손댈 수 있다

위협은 자산에 나쁜 일을 일으킬 수 있는 잠재적 원인이에요. 침입 시도처럼 의도를 가진 것뿐 아니라 실수로 파일을 지우는 일, 정전, 화재, 장비 노후도 위협이에요. 위협의 중요한 특징은 우리가 없앨 수 없다는 점이에요. 지진을 없앨 수 없듯이, 악의를 가진 누군가가 세상에 존재한다는 사실 자체는 우리 통제 밖에 있어요.

취약점은 그 위협이 실제로 통하게 만드는 우리 쪽의 약한 지점이에요. 오래 패치되지 않은 소프트웨어, 초기 비밀번호를 그대로 둔 장비, 퇴사자 계정이 남아 있는 상태, 한 번도 복구를 시험해 보지 않은 백업 절차가 모두 취약점이에요. 위협과 달리 취약점은 대체로 우리가 손댈 수 있는 영역이라, 실무 대응의 상당 부분이 여기에 모여요. 손댈 수 있는 쪽에 힘을 쓰면 결과가 눈에 보여서 일하는 보람도 커져요.

위험은 이 둘이 만나 실제 피해로 이어질 가능성과 그 크기예요. 흔히 '위험 = 위협 × 취약점 × 영향'이라는 형태로 쓰는데, 정확한 계산식이라기보다 빠진 요소가 없는지 확인하는 사고의 틀이에요. 취약점이 있어도 그 시스템에 아무도 닿을 수 없다면 위험은 작아지고, 위협이 강해도 잃을 것이 거의 없다면 역시 위험은 작아져요.

뉴스 한 줄을 우리 상황으로 번역하기

'널리 쓰이는 서버 소프트웨어에서 심각한 취약점이 공개됐다'는 기사를 봤다고 해볼게요. 이 문장이 알려 주는 건 취약점 하나뿐이에요. 방법은 간단해요. 그게 우리에게 위험인지 아닌지는 세 가지를 더 확인해야 정해져요. 우리가 그 소프트웨어를 쓰고 있는지, 그것이 외부에서 닿을 수 있는 위치에 있는지, 그리고 그 시스템이 멈추거나 노출됐을 때 우리가 입는 피해가 어느 정도인지예요.

같은 취약점이라도 인터넷에 열린 결제 시스템에 있는 것과 외부와 끊긴 내부 시험 장비에 있는 것은 전혀 다른 위험이에요. 반대로 취약점의 심각도 등급이 낮아도 그 시스템이 회사 전체의 인증을 담당한다면 위험은 커져요. 기사에 적힌 심각도는 위험이 아니라 취약점 자체의 성질에 매긴 점수라는 점만 기억하시면 돼요. 그러면 헤드라인에 휩쓸리지 않고 우리 자산 기준으로 차분하게 판단할 수 있어요.

구분이 되면 대응이 갈린다

세 단어를 구분하면 해야 할 일도 자연스럽게 나뉘어요. 위협은 없앨 수 없으니 감시하고 예측하는 대상이에요. 어떤 수법이 늘고 있는지 살피고 로그와 알림을 보는 활동이 여기 해당해요. 취약점은 줄일 수 있으니 찾아내고 고치는 대상이에요. 정기 점검, 패치 적용, 불필요한 기능과 계정 정리가 여기 해당하고요.

위험은 판단하고 선택하는 대상이에요. 발견된 모든 취약점을 즉시 고칠 인력과 시간은 어느 조직에도 없어서, 무엇을 먼저 고치고 무엇을 당분간 감수할지 정해야 해요. 이 선택을 근거 있게 내리는 절차가 위험 평가이고, 그 결과를 기록으로 남겨 조직이 함께 책임지게 만드는 것이 관리체계예요. 결국 세 단어를 구분하는 일은 그 모든 절차의 첫 단추예요.

위험은 처리한다 — 줄이기·피하기·옮기기·받아들이기

위험을 판단하고 나면 그 위험을 어떻게 다룰지 선택지가 따라와요. 흔히 네 갈래로 정리해요. 첫째는 줄이기예요. 패치를 적용하고 권한을 회수하고 접근 경로를 좁혀서 취약점이나 영향을 작게 만드는, 가장 일반적인 대응이에요. 둘째는 피하기예요. 위험을 만드는 활동 자체를 하지 않는 선택인데, 꼭 필요하지 않은 기능이나 수집하지 않아도 되는 정보를 처음부터 두지 않으면 지킬 대상도 사라져요.

셋째는 옮기기예요. 보험이나 외부 위탁처럼 피해의 일부를 다른 주체가 감당하도록 계약으로 나누는 방식이에요. 다만 책임을 전부 넘길 수 있는 경우는 드물고, 평판처럼 옮겨지지 않는 피해도 있어요. 넷째는 받아들이기예요. 줄이는 비용이 기대 피해보다 크거나 발생 가능성이 충분히 낮다고 판단될 때, 그 위험을 인지한 채로 감수하는 선택이에요.

그냥 딱 잘라 말해서, 네 가지 중 어느 것이 정답이라는 법은 없어요. 같은 취약점이라도 자산의 가치와 조직의 여건에 따라 줄이는 쪽이 맞을 수도, 받아들이는 쪽이 맞을 수도 있어요. 중요한 건 선택을 했다는 사실과 그 근거가 기록으로 남아 있는지예요. 선택 없이 그냥 두는 것과 근거를 두고 받아들이는 것은 겉모습이 같아 보여도 전혀 다른 상태거든요.

이제 이렇게 하시면 돼요. 보안 소식을 만나면 먼저 우리 자산 목록을 떠올리고, 그다음 그게 위협인지 취약점인지 가른 뒤, 마지막으로 네 갈래 중 무엇을 고를지 정하시면 돼요. 처음엔 낯설어도 두세 번만 해 보면 기사 한 줄을 읽는 속도가 확 달라져요. 세 단어를 구분할 줄 아는 것만으로도 막연한 불안이 크게 줄어드니까, 오늘은 이 틀 하나만 챙겨 가셔도 충분해요.