고칠 게 3천 개인데 뭐부터 하나

응급실에 가보면 이상한 일이 벌어집니다. 나보다 늦게 온 사람이 먼저 들어갑니다. 접수대에 항의하고 싶어지죠. 그런데 응급실은 온 순서로 부르지 않습니다. 들어오는 사람마다 짧게 상태를 보고 등급을 매긴 뒤, 위험한 순서로 부릅니다. 이걸 트리아지라고 합니다. 프랑스어로 ’골라낸다’는 뜻입니다.

트리아지가 없으면 어떻게 될까요. 발목을 삔 사람이 먼저 왔다는 이유로 심근경색 환자보다 앞에 섭니다. 모두를 공평하게 대한 것 같지만, 사실은 가장 위험한 사람을 놓친 겁니다.

보안 점검 결과를 처음 받아본 사람이 겪는 일이 딱 이겁니다.

목록은 길고 손은 두 개다

추정 클라우드 계정 하나를 제대로 훑으면 고쳐야 할 항목이 수백에서 수천 줄로 나옵니다. 열어보면 다 고쳐야 할 것 같습니다. 그런데 이번 분기에 실제로 손댈 수 있는 건 그중 일부입니다. 사람도 시간도 정해져 있으니까요.

이때 대부분 위에서부터 순서대로 처리합니다. 접수 순서대로 부르는 응급실입니다.

심각하다는 말과 위험하다는 말은 다르다

사실 취약점에는 보통 심각도 점수가 붙습니다. CVSS라는 공개 기준으로 0에서 10까지 매깁니다. 뚫렸을 때 얼마나 큰일이 나는가를 재는 점수입니다.

여기에 함정이 하나 있습니다. 심각도는 얼마나 아픈가만 말할 뿐, 그 일이 실제로 벌어질 것 같은가는 말해주지 않습니다. 트리아지로 치면 증상의 무게만 보고 지금 진행 중인지는 안 보는 셈입니다.

사실 EPSS는 그 빠진 축을 채우는 지표입니다. FIRST가 운영하는 공개 지표로, 어떤 취약점이 가까운 시일 안에 실제로 악용될 확률을 0에서 1 사이 숫자로 내놓습니다. 관측된 공격 데이터를 근거로 계산하고, 상황이 바뀌면 점수도 갱신됩니다.

두 지표는 경쟁 관계가 아닙니다. 서로 다른 것을 잽니다.

2편에서 본 5×5 척도를 기억하신다면 자리가 바로 보입니다. EPSS는 세로축(발생 가능성), CVSS 쪽은 가로축(영향도) 입니다. 두 축이 만나는 칸이 진짜 순번입니다.

그래서 이런 일이 생깁니다. 점수가 무시무시하게 높은데 현실에서 아무도 안 건드리는 취약점이 있고, 점수는 중간인데 공격 도구가 이미 돌아다니는 취약점이 있습니다. 목록을 심각도만으로 정렬하면 뒤쪽이 아래로 밀립니다.

RMF가 하는 일

사실 SecurityHero RMF는 Prowler로 자산·IAM·네트워크를 점검한 뒤 EPSS로 악용 가능성을 평가합니다. 취약점 관리 영역에서 하는 일이 바로 이 정렬입니다 — 실제 악용 가능성이 높은 것을 앞으로 올립니다.

사실 그리고 이 순번은 문서로 남습니다. NIS2 제21조는 리스크 관리 조치를 문서로 남기고 감사에서 입증하도록 하고, RMF는 CIR 2024/2690과 ENISA 기술이행지침(2025.6)을 참고해 점검 결과를 대응 근거로 정리합니다.

추정 감사 자리에서 곤란해지는 순간은 “왜 아직 안 고쳤습니까”라는 질문 앞이라고 봅니다. 이때 필요한 건 변명이 아니라 판단의 근거입니다. 응급실 기록지에 “이 환자는 3등급으로 분류해 뒤로 뒀다”고 적혀 있는 것과, 아무 기록 없이 그냥 늦게 본 것은 완전히 다른 이야기입니다.

짚고 넘어갈 것

• 이 글은 법률 자문이 아닙니다. 우리 회사가 NIS2 적용 대상인지, 어느 정도까지 조치해야 감독기관이 충분하다고 볼지는 여기서 답할 수 없습니다. 법률 전문가가 판단할 일입니다.
• 어느 점수부터 먼저 고쳐야 하는지는 정답이 없습니다. 기준선은 각 조직의 자산 성격과 감당 가능한 작업량에 따라 달라집니다. 이 글은 축이 두 개라는 것까지만 말합니다.
• RMF 리포트는 인증서가 아닙니다. 제출과 검토에 쓰는 근거자료입니다. 인증서 발급, 사고 신고(NIS2 제23조 등), 법적 대리는 포함하지 않습니다.

시리즈 목차

1. EU에 물건 팔려면 왜 보안 서류를 내야 하나
2. 리스크 평가라는 말이 어렵게 들리는 이유
3. 고칠 게 3천 개인데 뭐부터 하나 ← 지금 글
4. 아무것도 설치하지 않고 어떻게 점검하나
5. “데이터가 국경을 넘지 않습니다”가 무슨 뜻인가
6. 서류 하나로 여러 나라를 상대하기