KEV 조치 완료율 38%와 '0일 대 38일'의 비대칭
게시 날짜
작성자
Team Riskmap
KEV 조치 완료율 38%와 '0일 대 38일'의 비대칭
앞선 두 편에서 우리는 두 개의 공백을 확인했습니다. 존재조차 모르는 자산(68~74%), 그리고 알고 있지만 통제가 걸려 있지 않은 자산(28%)입니다.
세 번째 공백은 시간입니다. 취약점을 발견했고, 대상 자산도 특정했고, 티켓도 발행했습니다. 그렇다면 그 취약점은 언제 사라질까요?
이번 글에서는 실제 악용이 확인된 취약점, 즉 CISA KEV(Known Exploited Vulnerabilities) 목록을 기준으로 조치가 얼마나 완료되는지를 살펴보겠습니다.
리서치가 말하는 숫자
통계 | 출처 | 비고 |
38% — 관측 기간 내 완전히 조치된 전체 KEV의 비율 | Verizon, 2025 Data Breach Investigations Report | 실제 악용이 확인된 취약점 기준 |
54% / 32일 — 엣지 장비 KEV의 조치 완료율과 조치 완료까지의 중앙값 | 동일 리포트 | 전체 KEV 중앙값은 38일 |
0일 — 엣지 장비 KEV의 공개 시점부터 대량 악용까지의 중앙값 | 동일 리포트 | 전체 KEV는 5일 |
22% — 취약점 악용으로 시작된 침해 중 엣지 장비 취약점이 사용된 비율 | 동일 리포트 | 전년 3%에서 8배 증가 |
3일 / 2주 — 미국 연방기관에 적용되는 위험 등급별 조치 기한 | CISA, BOD 26-04 (2026. 6. 10.) | 기존 BOD 22-01의 일괄 기한을 대체 |
0일 대 38일
이 데이터에서 가장 중요한 것은 두 숫자의 간격입니다.
엣지 장비 취약점은 공개된 그날 이미 대량 악용이 시작됩니다(중앙값 0일). 반면 조직이 그 취약점을 완전히 제거하는 데는 중앙값 32일이 걸립니다. 전체 KEV로 넓히면 악용까지 5일, 조치 완료까지 38일입니다.
즉 공격자와 방어자는 같은 정보를 같은 날 받지만, 그 정보를 행동으로 옮기는 속도가 한 달 이상 차이 납니다. 그리고 관측 기간이 끝날 때까지 전체 KEV의 62%는 조치가 완결되지 않은 채로 남아 있었습니다.
이 취약점들은 '아직 발견되지 않은 위협'이 아닙니다. 공개돼 있고, 목록화돼 있고, 악용 사실까지 확인된 것들입니다. 정보가 부족해서 생긴 격차가 아니라는 뜻입니다.
왜 조치가 완결되지 않을까
스캔 결과는 취약점 목록을 주지만, 조치를 끝내려면 그 목록이 세 가지 정보와 연결돼야 합니다.
어느 자산인가 — 스캐너가 IP나 호스트명으로만 식별한 대상이, 자산 목록의 어떤 항목인지 확정돼야 합니다.
누가 고치는가 — 자산에 소유 부서와 담당자가 붙어 있어야 티켓이 사람에게 도달합니다.
끝났는가 — 조치 완료는 티켓 종료가 아니라 재검증으로 확인돼야 합니다.
이 연결이 없으면 조치율은 '처리한 티켓 수'로 대체됩니다. 티켓은 닫히지만 취약점은 남고, 보고서상의 진척과 실제 노출 상태가 서로 다른 이야기를 하게 됩니다.
여기서 앞선 두 편의 공백이 그대로 이어집니다. 자산 목록에 없는 장비는 애초에 스캔 대상이 아니고, 스캔 대상이더라도 담당자가 비어 있으면 티켓은 어디에도 도착하지 않습니다.
규제 기준도 '자산 맥락'으로 이동했다
2026년 6월, CISA는 BOD 22-01의 일괄 기한 방식을 BOD 26-04로 대체했습니다. 새 기준은 네 가지 요소로 조치 기한을 계산합니다.
인터넷에 노출돼 있는가
실제로 악용되고 있는가
악용이 자동화 가능한가
시스템에 대해 어느 수준의 권한을 넘겨주는가
이 중 '인터넷 노출 여부'와 '어떤 시스템인가'는 취약점 정보가 아니라 자산 정보입니다. CVE 데이터베이스에는 없고, 조직의 자산 인벤토리에만 있습니다.
가장 위험한 조합 — 인터넷에 노출된 시스템에서 자동화 가능한 방식으로 악용되며 부분 이상의 권한을 넘기는 취약점 — 에는 3일이 부여됩니다. 3일 안에 대상 자산을 특정하고 담당자에게 전달하려면, 그 계산이 사고 시점이 아니라 평상시에 이미 준비돼 있어야 합니다.
이 숫자가 CAASM 도입 논의에서 갖는 의미
조치 시간을 줄이는 일은 스캔 주기를 앞당기는 것과 다릅니다. 발견은 이미 충분히 빠릅니다. 느린 것은 발견 이후입니다.
취약점과 자산의 결합 — 스캐너·EDR·클라우드가 서로 다르게 부르는 대상을 하나의 자산으로 통합해, 중복 티켓과 유령 티켓을 없앱니다.
자산 맥락 기반 우선순위 — 노출 여부, 시스템 중요도, 권한 수준 같은 자산 속성을 결합해 새 규제 기준과 같은 축으로 순위를 매깁니다.
소유자·기한이 붙은 폐루프 — 조치 요청이 담당자에게 도달하고, 완료가 재검증으로 닫힙니다.
분모가 있는 조치율 — 전체 자산을 분모로 둔 조치율만이 "62%가 남아 있다"는 사실을 드러냅니다.
마치며
38%라는 숫자는 보안팀이 일하지 않았다는 뜻이 아닙니다. 오히려 대부분의 조직이 발견에는 성공하고 있다는 것을 전제로 합니다.
문제는 발견 이후의 경로입니다. 취약점이 자산에 연결되고, 자산이 사람에게 연결되고, 조치가 검증으로 닫히는 경로가 없으면 목록은 계속 길어지기만 합니다.
공격자가 공개 당일에 움직이는 환경에서, 조치 속도는 도구의 성능이 아니라 자산 정보의 정확도에서 결정됩니다.
참고 자료
Verizon, "2025 Data Breach Investigations Report" (2025. 4.) https://www.verizon.com/business/resources/reports/dbir/
GreyNoise, "Verizon DBIR 2025: Edge KEVs Are Increasingly Left Unpatched — and More Often Exploited" https://www.greynoise.io/blog/verizon-dbir-2025-edge-kevs-increasingly-left-unpatched-exploited
CISA, "BOD 26-04: Prioritizing Security Updates Based on Risk" (2026. 6. 10.) https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
Riskmap Insights, 「보안 도구는 도입했는데, 자산의 28%에는 걸려 있지 않다」 (2026. 8. 15.)