CVSS 점수만으로 우선순위를 정하면 안 되는 이유

세 가지 점수는 서로 다른 질문에 답합니다

취약점 우선순위를 논할 때 CVSS, EPSS, 벤더 리스크 스코어가 뒤섞여 쓰입니다. 셋은 경쟁 관계가 아니라 다른 질문에 답하는 도구입니다.

CVSS의 구조적 한계

CVSS는 취약점 자체의 속성을 점수화합니다. 공격 벡터, 필요 권한, 영향 범위 같은 것들입니다. 여기에는 두 가지가 빠져 있습니다.

첫째, 악용되고 있는지를 모릅니다. CVSS 9.8이지만 실제 공격에 한 번도 쓰이지 않은 취약점이 있고, CVSS 6점대인데 랜섬웨어 그룹이 상시 사용하는 취약점이 있습니다.

둘째, 우리 환경을 모릅니다. 같은 CVE라도 인터넷에 노출된 결제 서버에 있는 것과 격리망 개발 서버에 있는 것은 위험도가 다릅니다.

그 결과 CVSS 7.0 이상을 전부 처리하라는 정책은 처리 불가능한 양을 만들고, 정작 급한 것이 뒤로 밀립니다.

EPSS가 채우는 부분

EPSS(Exploit Prediction Scoring System)는 향후 30일 내 악용 확률을 예측합니다. 실제 악용 데이터를 학습하므로 CVSS보다 "지금 위험한가"에 가깝습니다.

다만 EPSS도 조직 맥락은 모릅니다. 전 세계 평균 확률일 뿐, 우리가 그 기술 스택을 쓰는지, 해당 자산이 외부에 열려 있는지는 반영되지 않습니다.

실무에서 조합하는 순서

현실적인 접근은 단계적으로 좁혀 가는 것입니다.

1. 악용 신호로 1차 필터 — Exploit이나 PoC가 공개됐는지, 실제 공격에 쓰이고 있는지. 여기서 대상이 크게 줄어듭니다.
2. 조직 노출로 2차 필터 — 해당 자산이 인터넷에 노출돼 있는지, 어떤 업무를 담당하는지. 자산 인벤토리 품질이 여기서 결정적입니다.
3. 업무 영향으로 정렬 — 같은 조건이면 핵심 서비스부터.
4. CVSS는 마지막 참고 — 같은 등급 안에서 순서를 정할 때 씁니다.

CVSS를 버리라는 뜻이 아닙니다. 출발점이 아니라 마지막 정렬 기준으로 쓰자는 것입니다.

자산 정보가 없으면 어떤 점수도 소용없다

위 2단계가 핵심인데, 여기가 대부분 무너집니다. 자산 목록이 최신이 아니면 "이 CVE가 우리 어디에 있는가"를 답할 수 없고, 그러면 아무리 좋은 위협 인텔리전스를 가져와도 우선순위로 연결되지 않습니다.

우선순위 체계를 만들 때 스코어링 모델보다 자산 인벤토리를 먼저 정리해야 하는 이유입니다.

정리

• CVSS는 심각도, EPSS는 악용 확률, 벤더 스코어는 우리 환경의 위험입니다
• 세 가지를 순서대로 조합해 대상을 좁혀 갑니다
• 어떤 조합을 쓰든 자산 인벤토리 품질이 상한선을 결정합니다