NIST의 CVE 데이터 관리 축소, 보안팀의 취약점 대응체계는 어떻게 달라지나

주요 이슈 개요: NIST의 결정과 배경

2024년 2월, 미국 국립표준기술연구소(NIST)가 국가 취약점 데이터베이스(NVD)에서 취약점 식별 번호(CVE) 관련 데이터의 상세 분류 및 관리 업무를 대폭 축소한다고 공식 발표하면서 보안 업계에 큰 우려가 번지고 있다. 이번 조치는 오랜 기간 전 세계 보안 생태계의 중심 인프라 역할을 해온 CVE 체계에 직접적인 충격을 주는 결정으로 평가되고 있다.

NIST의 공식 발표에 따르면 이번 축소의 주된 이유는 예산과 인력 부족이다. 2024년 내무부 청문 내용과 NIST 예산 공개 자료를 살펴보면 최근 몇 년간 NVD 프로그램 예산이 운영 수요 수준에 미치지 못해 축소가 불가피했다는 입장이다. 하지만 업계 전문가들은 단순 예산 문제가 아닌 구조적 변화의 신호로 해석하고 있다.

CVE 데이터 축소가 현장에 미치는 영향

CVE 체계는 전 세계 보안팀이 취약점을 고유하게 식별하고 공유하는 표준 언어 역할을 해왔다. NIST의 NVD는 이러한 CVE 번호에 대한 상세 메타데이터—심각도 점수, 영향 범위, 해결 방안, 참조 링크 등—를 제공해 보안팀의 패치 우선순위 선정과 취약점 관리 시스템을 지원해왔다.

하지만 데이터 상세 분류의 축소 이후, 신규 CVE 등록 후 관련 메타데이터 제공이 수일에서 수 주까지 지연되거나 아예 제공되지 않는 경우가 급증하고 있다. 이로 인해 보안팀은 취약점 대응의 첫 관문에서부터 불확실성에 직면하고 있다. 특히 자동화된 대응 체계를 운영하는 대규모 조직에서는 데이터 연동 오류와 의사결정 지연 등 실질적 장애가 발생하고 있다.

보안팀 현장 이슈

• 패치 우선순위 선정의 혼란: CVSS 점수와 상세 분석이 부족해지며 어떤 취약점을 먼저 처리할지 판단이 어려워진다.
• 자동화 시스템 장애: 취약점 스캐너, SIEM, SOAR 등 자동화 도구들이 NIST 데이터를 바탕으로 운용돼 데이터 부재 시 효율이 급감한다.
• 위협 인텔리전스 품질 저하: CVE 기반 위협 인텔리전스 피드의 정확도와 적시성이 떨어지며, 분석 담당자의 부담이 가중된다.

다양한 이해관계자의 대응과 역할 변화

NIST의 공식화 이후, 정부기관과 오픈소스, 민간 벤더들이 즉각 대응에 나섰다. 미국 사이버보안 및 기반시설안보국(CISA), 오픈소스 보안 재단(OpenSSF), Rapid7, Tenable 등 주요 보안 벤더들은 공동 성명을 통해 취약점 데이터의 연속성과 품질 유지를 위한 협력 체계 강화 의지를 표명했다.

OpenSSF는 3월 블로그를 통해 오픈소스 커뮤니티 중심의 분산형 취약점 데이터 네트워크 구축을 추진한다고 밝혔다. CISA 역시 국가 내 다양한 기관과 연계해 핵심 취약점 데이터 관리 및 공유 체계를 강화하고 있다.

상용 보안 벤더들 또한 자체 데이터베이스 보강과 대안 데이터 소스 제공을 통해 고객들의 NIST 의존도를 낮추려는 노력을 하고 있다. 하지만 여전히 NIST의 근본적 역할을 완전히 대체할지는 미지수다.

보안팀과 조직이 마주한 과제

단기적 과제와 대응

보안팀은 우선적으로 NIST 데이터 지연에 대비해 수동 분석 역량을 보강하고, 복수 데이터 소스를 활용한 검증 체계를 갖춰야 한다. 내부 취약점 관리 프로세스 역시 현실적으로 재조정할 필요가 있다.

중장기 전략

장기적으로는 보안 자동화 아키텍처에서 NIST 의존도를 줄이고, 자체 위협 인텔리전스 역량과 업계 협력 네트워크 구축을 병행해야 한다. 특히 중소기업은 인력과 기술 역량 한계로 이런 전환에 더 큰 부담을 안을 수 있으며, 실제로도 취약점 대응 시스템의 취약성이 높아질 위험이 크다.

향후 전망과 대안

분산형 취약점 데이터 거버넌스 도입

NIST 단일 의존 구조에서 정부, 산업계, 오픈소스 커뮤니티, 학계가 참여하는 협력적 거버넌스 체계 전환이 필요하다. 주요 이해관계자의 분산 협력 거버넌스를 통해 데이터 품질과 접근성을 균형 있게 관리해야 한다.

표준과 기술 혁신

CVE 데이터 표현과 공유 프로토콜, API 표준 등을 다원화해 다양한 데이터 소스를 유기적으로 통합하는 상호운용성이 중요하다.

정책 지원 및 투자 확대

취약점 데이터 관리의 공공재적 성격 강화, 예산 지원 및 인력 양성 정책 지원이 병행되어야 한다.

결론적으로, 이번 NIST의 데이터 관리 축소는 전 세계 보안 인프라 재편의 신호탄이다. 각 주체의 긴밀한 협력과 새로운 패러다임에 기반한 체계 전환이 조속히 이뤄져야 한다.