A.8.8
기술적 취약점 관리
기술적 통제확인사항 6증적 5사례 6
통제 목적
조직이 사용하는 정보시스템의 기술적 취약점을 적시에 파악하고, 위험 수준에 따라 평가하여 조치함으로써 취약점이 악용되는 것을 예방하기 위한 통제입니다. 자산 현황 파악, 취약점 정보 수집, 노출도 평가, 패치/완화조치 적용까지 이어지는 순환 체계를 갖추어 알려진 결함이 방치되지 않도록 요구합니다. 조직이 직접 조치할 수 없는 취약점에 대해서는 임시 완화조치와 위험 수용 판단이 함께 이루어져야 합니다.
주요 확인사항
- 취약점 관리 대상이 되는 정보자산(하드웨어/소프트웨어/버전 정보 포함)의 목록을 최신으로 유지하고 있는가?
- 제조사 권고, 보안 공지(CVE 등), 위협 인텔리전스 등 취약점 정보를 정기적으로 수집하는 창구와 담당자가 지정되어 있는가?
- 식별된 취약점을 심각도/노출도/자산 중요도에 따라 평가하고, 위험 수준별 조치 기한을 정하여 관리하는가?
- 정기 취약점 점검(스캐닝/모의해킹 등)을 수행하고, 발견된 취약점의 조치 이행 여부를 추적하고 검증하는가?
- 즉시 패치가 어려운 취약점에 대해 임시 완화조치(접근 제한, 설정 변경 등)를 적용하고 잔여위험을 수용하고 기록하는가?
- 패치 적용 전 시험 및 변경관리 절차를 거쳐 운영 안정성에 미치는 영향을 검토하는가?
이행 지침
- 취약점 관리 대상 자산의 인벤토리를 구성정보(OS/미들웨어/애플리케이션/버전/책임자)와 함께 유지하고, 신규 도입 자산이 누락되지 않도록 프로세스에 반영합니다.
- 취약점 정보 수집 채널(제조사 공지, CVE/보안권고, CERT/위협 인텔리전스)을 정의하고, 수집 주기와 확인 책임을 명확히 합니다.
- CVSS 등 심각도와 실제 악용 정황, 노출 경로, 자산 중요도 및 기존 보호조치를 함께 평가하여 우선순위와 조치 기한을 정합니다. 점수만으로 실제 위험을 판단하지 않습니다.
- 패치는 가능한 범위에서 검증하고 변경관리(A.8.32)를 거쳐 적용하며 복구 방안을 준비합니다. 긴급 취약점은 긴급 변경 권한, 최소 검증, 모니터링 및 사후 검토 절차로 처리합니다.
- 즉시 조치가 불가능한 경우 접근통제 강화, 서비스 비활성화, 가상 패치 등 완화조치를 적용하고 잔여위험을 위험관리 체계에 등록합니다.
- 정기 점검과 패치관리를 연계하고 조치 결과를 재확인합니다. 스캔/침투 시험은 승인된 범위, 시간, 중단 기준과 운영 보호조치를 정하여 수행하고, 미조치 항목과 기한 준수를 추적합니다.
증적자료
- 취약점 관리 대상 자산 목록 및 구성정보 현황
- 취약점 정보 수집 채널/주기 및 수집 내역
- 취약점 점검(스캐닝/모의해킹) 결과 보고서 및 조치계획서
- 취약점 조치(패치/완화) 이행 기록 및 재점검 결과
- 즉시 조치 불가 취약점의 완화조치 및 잔여위험 수용 승인 기록
부적합 사례
- 자산 인벤토리가 최신화되지 않아 일부 시스템이 취약점 관리 대상에서 누락된 경우
- 취약점 정보를 수집하는 담당/채널이 없어 공개된 지 오래된 취약점이 인지되지 않은 경우
- 취약점 심각도 평가 없이 조치 우선순위와 기한이 정해지지 않아 고위험 취약점이 장기간 방치된 경우
- 점검에서 발견된 취약점의 조치 이행 여부를 추적/검증하지 않아 미조치 상태가 반복되는 경우
- 즉시 패치가 어려운 취약점에 대해 완화조치나 잔여위험 수용 판단 없이 방치한 경우
- 정상 또는 긴급 변경 절차에 필요한 검증과 승인을 거치지 않고 패치를 적용하여 장애를 유발한 경우