CISA, 연방기관 보안 업데이트 지침 개편…AI 악용 속도 반영한 위험 기반 패치로 전환

미국 사이버안보·인프라보안국(CISA)이 연방 민간기관의 취약점 보안 업데이트 우선순위를 위험 기준으로 재정렬하는 새 구속력 있는 운영지침을 내놨다. CISA 공식 보도자료에 따르면 이번 지침은 공개 노출 여부, 알려진 악용 취약점(KEV) 등재 여부, 공격 자동화 가능성, 침해 이후 기술적 영향 등 네 가지 기준을 중심으로 패치 우선순위를 정하도록 요구한다.

CISA는 2026년 6월 10일 ‘BOD 26-04: 위험 기반 보안 업데이트 우선순위 지정’을 발표했다. 구속력 있는 운영지침은 미국 연방 행정부 산하 민간기관이 따라야 하는 사이버보안 지시다. 이번 지침은 인터넷 노출 시스템 보안 보완을 다룬 기존 BOD 19-02와 알려진 악용 취약점 대응을 다룬 BOD 22-01을 통합·정리하고, 위험도가 높은 취약점에 보안 인력과 시간을 먼저 배분하도록 설계됐다.

새 지침의 핵심은 모든 취약점을 같은 속도로 처리하는 방식에서 벗어나는 데 있다. CISA는 공격자가 AI 소프트웨어 서비스를 활용해 취약점을 찾고 악용하는 시간이 더 짧아질 수 있다고 설명했다. 이에 따라 기관들은 취약 자산이 외부에 공개돼 있는지, 해당 CVE가 KEV 카탈로그에 포함됐는지, 공격 절차를 자동화할 수 있는지, 공격 성공 시 부분 제어인지 전체 제어인지 등을 함께 따져야 한다.

지침은 단계별 이행 일정도 제시했다. 즉시 적용되는 1단계에서는 기관들이 취약점 관리 정책을 검토·갱신하고 KEV 카탈로그 업데이트를 지속 감시해야 한다. 60일 이내에는 CVE 데이터베이스와 KEV 카탈로그를 바탕으로 취약점 관리 절차를 조정해야 하며, 180일 이내에는 지침의 위험 기준에 따른 보완 일정을 실제 운영에 적용해야 한다. CISA는 기관의 공개 노출 IP와 도메인 범위 확인, 자동 보고, CDM 대시보드 활용도 함께 요구했다.

이번 지침은 패치만으로 침해가 해소되지 않을 수 있다는 점도 강조했다. CISA는 보안 업데이트를 적용하기 전에 이미 공격자가 시스템을 장악했는지 확인하는 절차가 필요하다고 밝혔다. 이는 단순히 패치를 배포하는 업무를 넘어, 취약점 대응 과정에 침해 흔적 확인과 위험 기반 의사결정을 결합하겠다는 의미다.

민간 기업에 직접 적용되는 의무는 아니지만, CISA는 주요 인프라 운영자와 민간 조직도 유사한 위험 기반 취약점 관리 정책을 채택할 것을 권고했다. 소프트웨어 공급망과 공개 인터넷 자산이 넓어진 상황에서, 이번 지침은 보안 업데이트의 속도뿐 아니라 ‘어떤 취약점을 먼저 고칠 것인가’가 조직 보안 역량의 핵심 지표가 되고 있음을 보여준다.

출처: CISA 보도자료 https://www.cisa.gov/news-events/news/cisa-issues-new-directive-improving-how-federal-agencies-prioritize-mitigation-cyber-vulnerabilities
출처: CISA BOD 26-04 https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
출처: 백악관 행정명령 https://www.whitehouse.gov/presidential-actions/2026/06/promoting-advanced-artificial-intelligence-innovation-and-security/