미국 국립표준기술연구소(NIST)가 국가 취약점 데이터베이스(NVD) 운영 방식을 대폭 바꾸며, 전 세계 보안업계에 큰 변화를 예고했다. 이제부터는 모든 취약점(CVE)을 동일하게 분석하지 않고, 실제 위험이 큰 일부 취약점만 선별해 집중적으로 다루겠다고 밝혔다.
이번 변화는 단순한 정책 조정이 아니라, 취약점 관리 방식 자체가 바뀌는 신호로 받아들여지고 있다. 그동안 보안 담당자들은 NVD를 기준으로 취약점 위험도를 판단해 왔지만, 앞으로는 이 방식이 더 이상 통하지 않을 가능성이 커졌다.
취약점 폭증…NIST “더 이상 감당 어렵다”
NIST는 이번 개편 배경으로 취약점 폭증을 직접 언급했다. 2020년부터 2025년 사이 CVE 제출 건수는 263% 증가했고, 2026년 들어서도 증가세는 계속되고 있다.
실제로 2025년 한 해 동안 NIST가 분석한 취약점은 약 4만 2천 건에 달했다. 이는 이전보다 크게 늘어난 수치였지만, 전체 증가 속도를 따라잡기에는 부족했다.
보안업계에서도 비슷한 분석이 나왔다. 일부 분석에서는 2025년 취약점 중 상당수가 아직도 점수조차 부여되지 않은 상태로 남아 있는 것으로 나타났다. 취약점 수는 계속 늘어나는데 이를 평가할 인력과 시간은 한계에 도달했다는 의미다.
이런 상황에서 NIST는 결국 “모든 취약점을 다 분석하는 방식은 현실적으로 불가능하다”고 판단한 것으로 보인다.
‘중요 취약점만 본다’…우선순위 기준 공개
이번 개편의 핵심은 ‘선별 처리’다. NIST는 앞으로 아래 조건을 만족하는 취약점만 우선적으로 분석하기로 했다.
첫째, 미국 사이버보안 및 인프라 보안국(CISA)의 KEV 목록에 포함된 취약점이다. 이미 실제 공격에 사용된 취약점이기 때문에 가장 우선적으로 다뤄진다.
둘째, 미국 연방정부에서 사용하는 소프트웨어 관련 취약점이다. 국가 운영에 영향을 줄 수 있는 만큼 중요도가 높다.
셋째, 행정명령 14028호에서 정의한 ‘중요 소프트웨어’ 관련 취약점이다. 높은 권한으로 동작하거나, 네트워크와 데이터 접근을 통제하는 핵심 시스템이 여기에 포함된다.
이 기준에 해당하지 않는 취약점은 NVD에 등록은 되지만, 자동으로 상세 분석이 제공되지 않는다. 이런 취약점은 ‘Not Scheduled’ 상태로 분류된다.
이번 변화로 가장 큰 영향을 받는 것은 NVD의 역할이다. 지금까지 NVD는 전 세계 보안팀이 참고하는 사실상 표준 데이터였다.
하지만 앞으로는 일부 취약점만 분석되기 때문에, 모든 취약점을 동일 기준으로 비교하기 어려워졌다. 특히 CVSS 점수나 영향 범위 정보가 없는 취약점이 늘어날 가능성이 크다.
보안업계에서는 “이제 NVD 하나만 보고 보안을 판단하는 시대는 끝났다”는 평가가 나오고 있다.
일부 전문가는 “그동안은 모든 취약점을 다 보려다 보니 오히려 중요한 위험을 놓치는 경우도 많았다”며, 이번 변화가 현실적인 방향이라고 평가했다.
보안 전략 변화 불가피…위협 중심 대응 필요
이번 조치는 기업 보안 전략에도 직접적인 영향을 준다. 이제는 단순히 취약점 개수나 점수에 의존하기보다, 실제 공격 여부와 자산 노출 여부를 함께 고려해야 한다.
특히 CISA의 KEV 목록이나 위협 인텔리전스 정보의 중요성이 더 커질 것으로 보인다. 공격자들이 실제로 사용하는 취약점이 무엇인지 파악하는 것이 핵심이 됐다.
또한 자동화와 인공지능 기반 취약점 분석 필요성도 더욱 강조되고 있다. 취약점이 너무 빠르게 증가하면서 사람이 직접 하나씩 분석하는 방식은 이미 한계를 드러냈다.
“위험 기반 보안으로 전환”…산업 구조 변화 신호
보안 전문가들은 이번 변화를 ‘위험 기반 보안 체계로의 전환’으로 보고 있다. 모든 취약점을 동일하게 보는 방식에서, 실제 위험이 큰 취약점에 집중하는 방식으로 바뀌고 있다는 것이다.
한 업계 관계자는 “이제는 취약점 숫자가 아니라, 실제 공격 가능성과 영향도를 중심으로 판단해야 한다”며 “보안 운영 방식 자체를 다시 설계해야 할 시점”이라고 말했다.
또 다른 전문가는 “우리가 우선순위를 정하지 않으면 공격자가 대신 정해준다”고 지적했다. 이는 이번 변화의 핵심을 잘 보여주는 말이다.
이번 NIST의 결정은 단순한 정책 변화가 아니다. 취약점 관리 방식, 보안 운영 전략, 그리고 보안 산업 구조 전반에 영향을 주는 큰 전환점이다.
앞으로 보안 담당자들은 ‘모든 취약점 관리’가 아닌 ‘실제 위험 대응’ 중심으로 접근 방식을 바꿔야 한다. NVD의 역할은 줄어들었지만, 그만큼 더 빠르고 정확한 판단이 요구되는 시대가 시작됐다.
댓글
0