CVSS

한 입에 정리하면

1. 01취약점 위험도를 일관된 기준으로 비교해요
2. 02공격 조건과 피해 영향을 함께 평가해요
3. 03점수만으로 실제 대응 우선순위가 결정되진 않아요

왜 나온 말일까요?

보안 담당자는 발견된 취약점이 얼마나 쉽게 악용될 수 있는지와 악용됐을 때 어떤 피해가 생기는지를 함께 판단해야 해요. CVSS는 이런 판단에 공통 언어를 제공해 취약점 간 위험도를 비교하는 데 도움을 줘요. 다만 실제 대응 우선순위는 공격이 관측됐는지, 자산이 외부에 노출됐는지, 보완 조치가 가능한지 같은 운영 환경도 함께 고려해야 하죠.

예를 들어

원격에서 인증 없이 시스템 기능을 실행할 수 있고 기밀성·무결성·가용성에 큰 영향을 주는 취약점은 높은 심각도로 평가될 수 있어요.

뉴스에서는 이렇게 쓰였어요

이번 결함의 위험도는 CVSS 10.0점으로 평가됐어요. 로그인하지 않은 외부 공격자가 서버에서 임의 명령어를 실행할 수 있는 원격 코드 실행과 연결된 취약점이에요.