보안취약점 진단은 국내 정보보호 초창기부터 이어져 온 오래된 주제지만 여전히 현재 진행형인 과제다. 위협의 수준이 달라진 만큼 '무엇을 보호해야 하는가'라는 질문부터 다시 던져야 할 시점이다.
전통적으로 정보기술(IT) 부서는 서버와 네트워크 장비, PC 같은 물리적 장비를 재무 관점의 자산으로 관리해 왔다. 자산관리 대장에는 장비 모델명과 구매일, 유지보수 계약, 설치 위치가 기록된다. 장비의 생애주기를 추적하기에는 충분하지만 보안 관점에서 정작 중요한 정보는 빠져 있다. 그 장비에서 어떤 소프트웨어가 어떤 버전으로 구동되는지, 관리 콘솔이 외부에 노출돼 있는지, 관리자 계정의 인증 설정은 어떤 상태인지가 대장 어디에도 없다.
공격자가 노리는 것도 장비라는 이름이 아니라 그 안에서 동작하는 소프트웨어(SW)와 설정, 외부에 노출된 인터페이스다. 버라이존의 2026 데이터 침해 조사 보고서(DBIR)에 따르면 취약점 악용은 침해사고의 초기 접근 경로 기준 31%를 차지해 계정정보 악용을 앞질렀고, 주요 표적은 방화벽과 가상사설망(VPN), 원격접속 장비, 파일전송 솔루션처럼 외부와 연결된 시스템이었다. 반면 조직의 대응은 이를 따라가지 못한다. 같은 보고서는 실제 악용이 확인된 취약점의 완전 조치율이 전년보다 오히려 낮아지고 조치에 걸리는 기간은 더 길어졌다고 분석했다. 자산 목록이 장비 단위에 머물러 있는 한 진단은 실제 공격면과 어긋날 수밖에 없다.
다단계 공격 분석에서는 본격적인 악성코드가 실행되기 전 최초 진입과 후속 단계 전달을 담당하는 구간을 관행적으로 '스테이지 제로(Stage 0)'라고 부르기도 한다. 필자는 이 표현을 방어자의 관점으로 빌려 쓰고자 한다. 모든 진단과 조치에 앞서는 영점, 즉 보호해야 할 대상을 정의하고 가시화하는 단계가 방어자의 스테이지 제로다. 이 영점이 어긋나면 이후의 진단과 조치가 모두 함께 어긋난다. 공격자가 조직이 인지하지 못한 채 방치한 자산을 찾아 교두보로 삼는다면, 방어자는 그 자산을 먼저 파악하고 있어야 한다. 우리에게 영향이 있는가, 어느 자산이 취약한가, 지금 조치가 필요한가라는 보안책임자의 세 가지 질문은 모두 자산 정보 없이는 답할 수 없다.
여기서 말하는 보안자산은 국제 표준의 자산 개념을 취약점 관리 실무에 맞게 구체화한 것이다. 미국 국립표준기술연구소(NIST)의 SP 800-160 계열 문서는 자산을 이해관계자에게 가치가 있는 항목으로 정의해 데이터와 SW, 기능, 서비스 같은 무형 요소까지 포괄하며, 국내 ISMS-P 인증기준도 분류기준을 세워 모든 정보자산을 식별하고 목록을 최신으로 유지하며 자산별 책임자를 지정할 것을 요구한다. SW 버전과 설정, 관리 인터페이스, 계정과 인증서는 물론 클라우드 엔드포인트와 인공지능(AI) 모델, 섀도 IT까지 보호 대상을 담거나 처리하는 모든 요소가 보안자산에 포함된다.
보안자산이 진단 가능한 상태가 되려면 자산의 역할과 관리자가 명확한 식별 가능성, 책임 부서가 지정된 책임 명확성, 제품과 버전 정보를 진단 도구로 점검할 수 있는 점검 가능성, 변경이 즉시 반영되는 최신성, 자산 정보가 진단·대응 체계와 연계되는 통합성을 갖춰야 한다. 공개되는 취약점이 해마다 수만 건에 이르는 상황에서 연 1회 점검으로 체크리스트를 통과하는 것은 특정 시점의 상태를 확인한 것일 뿐이며, 실효성은 자산 가시화를 상시 유지하고 실제 악용 여부와 업무 중요도를 결합해 위험도가 높은 것부터 조치하는 일상의 운용에서 만들어진다.
결국 취약점 관리의 성패는 진단 도구가 아니라 보안자산의 정의에서 갈린다. 보이지 않는 자산은 보호할 수 없다. 100% 완성된 보안체계는 어디에도 없지만, 100% 보안을 목표로 삼아 우리의 스테이지 제로를 먼저 완성하고 그 위에서 보안 수준을 한 단계씩 끌어올리는 것, 그것이 갈수록 고도화되는 위협에 맞서는 조직의 첫걸음이다.
이경하 엘에스웨어 제품전략본부장전무 scott@lsware.co.kr
