미국 CISA, 위험 기반 취약점 패치 의무화하는 BOD 26-04 발표
2026년 6월 10일, 미국 사이버안보·기간시설안보청(CISA)은 연방 시스템 전반의 위험 기반 취약점 조치 체계를 수립하기 위해 CISA BOD 26-04 지침을 발령했습니다. 이번 지침은 각 기관이 일률적인 패치 일정에서 벗어나 가장 심각한 운영 위협을 가하는 보안 결함에 자원을 집중하도록 전환합니다. 서드파티 및 클라우드 환경에서 운영되는 기업의 경우, 계약업체와 클라우드 서비스 제공업체가 인프라 모니터링을 연방 위험 지표에 맞추도록 요구함으로써 규정 준수 관리 방식을 변화시킵니다.
취약점 위험을 결정하는 4가지 변수
이 지침에 따르면 소프트웨어 결함의 수정 시급성은 4가지 운영 기준을 바탕으로 산출됩니다. 이 변수들은 자산 노출도, 악용된 알려진 취약점(KEV) 카탈로그 등록 여부, 익스플로잇 자동화 수준, 기술적 영향으로 구성됩니다. 자산 노출도는 기관 소유의 하드웨어나 소프트웨어가 공공 네트워크를 통해 인증되지 않은 주체에게 접근 가능한지 여부를 결정합니다. 익스플로잇 자동화는 공격자가 결함을 악용하는 데 필요한 모든 단계를 자동화할 수 있는지를 확인합니다. 기술적 영향은 제한적인 소프트웨어 접근이나 서비스 거부(DoS) 공격과 같은 부분적 제어와, 공격자가 소프트웨어 동작을 완전히 제어하거나 로그인 자격 증명을 안정적으로 탈취할 수 있는 전체 제어를 구분합니다.
연방 기관 및 클라우드 제공업체를 위한 BOD 26-04 요구사항
BOD 26-04 요구사항에 따라 연방 민간 행정부(FCEB) 기관은 취약점 관리 정책을 즉시 검토하고 업데이트해야 합니다. 미 연방 법전 44 U.S.C. § 3554(a)(1)(B)(ii)에 따라 기관은 지속적인 조치 프로세스를 수립하고 수행을 위한 명확한 역할을 부여해야 합니다. 서드파티 환경에 있는 연방 정보 시스템의 경우, 연방 위험 및 인증 관리 프로그램(FedRAMP) 인증 제품을 유지하는 기관은 FedRAMP 프로그램 관리 사무국을 통해 지속적인 모니터링을 보장해야 합니다. 인증되지 않은 클라우드 서비스 제공업체를 이용할 때 기관은 공급업체와 직접 협력하여 지원 인프라가 지침의 모든 가이드라인을 충족하는지 확인하고 기술적 이탈 사항을 완전히 문서화해야 합니다.
BOD 26-04 대 BOD 22-01 및 이전 지침 비교
BOD 26-04와 BOD 22-01을 비교하면, 새 지침은 2021년 11월 3일 자 BOD 22-01과 2019년 4월 29일 자 BOD 19-02를 모두 공식적으로 폐지합니다. CISA는 이러한 별도의 가이드라인을 OMB Circular A-130 및 2014년 연방 정보 보안 현대화 법안(FISMA)에 맞추어 단일 정책으로 통합했습니다. 기존 표준이 인터넷 연결이 가능한 모든 시스템에 일률적인 조치 일정을 적용했던 반면, 새로운 체계는 저위험 결함에 대한 조치를 유예하고 고위험 취약점에 자원을 집중시킵니다. 또한 첨단 인공지능 혁신 및 안보 진흥에 관한 행정명령에 제시된 국가적 우선순위를 발전시킵니다.
CISA BOD 26-04 규정 준수 타임라인 및 집행
규정 준수 타임라인은 의무적 정책 개정에 대해 2026년 6월 10일 즉시 효력을 발휘했으며, 치명적인 위협이 발생할 때마다 긴급 패치 기간이 설정됩니다. 2026년 10월 26일 월요일, CISA는 악용된 알려진 취약점(KEV) 카탈로그에 두 개의 치명적인 PHP2Shell 취약점인 CVE-2026-109618 및 CVE-2026-109619를 추가하여 이 집행 메커니즘을 시연했습니다. 보안 연구원들이 공급업체의 패치 배포 4일 전부터 광범위한 악용 시도를 포착함에 따라, CISA는 기관들이 2026년 10월 29일 목요일까지 패치되지 않은 시스템을 조치하도록 요구하는 CISA 3일 패치 명령을 발령했습니다.
이행 지원 자원 및 기술 가이드라인
CISA는 기관 보안 담당자가 운영 워크플로를 업데이트할 수 있도록 지원하기 위해 본 지침과 함께 CISA BOD 26-04 이행 가이드를 게시했습니다. 취약점 평가를 단순화하기 위해 CISA는 Vulnrichment Program과 같은 서비스를 통해 모든 공통 취약점 식별자(CVE)에 대해 KEV 상태, 익스플로잇 자동화 및 기술적 영향에 대한 평가를 제공합니다. 연방 기관은 공공 네트워크 인터페이스 전반의 자산 노출도를 평가할 때 CISA의 인터넷 노출 감소 가이드를 적용하도록 지시받습니다.
클라우드 공급업체 및 연방 계약업체에 미치는 영향
상업용 클라우드 서비스 제공업체와 연방 기술 계약업체의 경우, 이 지침은 취약점 조치가 조달 계약에 반영되고 모니터링되는 방식을 바꿉니다. 이 지침은 조달 계약에 명시되지 않는 한 민간 계약업체에 직접 적용되지는 않지만, 연방 기관은 계약 담당관과 함께 진행 중인 모든 계약을 검토하여 필요한 수정 사항을 반영해야 합니다. 연방 기관에 클라우드 인프라를 제공하는 업체는 이제 명확한 자산 목록 기록을 유지하고, 협력적 지속 모니터링을 지원하며, 고위험 결함이 발견될 때 신속한 긴급 명령을 충족하도록 패치 워크플로를 조정해야 합니다.
자주 묻는 질문
CISA 구속력 있는 운영 지침 26-04란 무엇입니까?
CISA 구속력 있는 운영 지침 26-04(CISA Binding Operational Directive 26-04)는 미 연방 법전 44 U.S.C. § 3552(b)(1)에 따라 2026년 6월 10일에 발령된 의무 지침으로, 연방 민간 행정부 기관을 위한 위험 기반 취약점 조치 표준을 수립합니다.
CISA BOD 26-04의 4가지 위험 변수는 무엇입니까?
4가지 위험 변수는 자산 노출도, 악용된 알려진 취약점(KEV) 카탈로그 상태, 익스플로잇 자동화 수준, 기술적 영향입니다.
BOD 26-04는 FedRAMP 및 민간 기업 조직에 어떠한 영향을 미칩니까?
FedRAMP 인증 환경에서 시스템을 운영하는 기관은 규정 준수를 유지하기 위해 FedRAMP 프로그램 관리 사무국과 조율해야 하며, 민간 계약업체는 조달 계약 조건을 지침의 요구사항에 맞추기 위해 기관 계약 담당관과 협력해야 합니다.
MOZGII의 시각
우리라면 이렇게 만듭니다
연방 규정 준수를 위한 위험 기반 패치 엔진을 구축한다면, 저희라면 소프트웨어 자산 목록, 공공 네트워크 노출 스캔, Vulnrichment 같은 취약점 피드라는 3가지 핵심 데이터 소스부터 시작할 것입니다. 저희라면 이 피드들을 자산 노출, 익스플로잇 자동화, 시스템 통제 수준을 평가하는 점수 모델에 연결할 것입니다. 보안 분석가는 익스플로잇 상태가 불확실하거나 기관이 기술적 예외를 요청하는 예외적 상황을 검토할 것입니다. 자동화된 가드레일은 패치 주기를 강제하고 긴급 티켓을 인프라 팀에 직접 발송할 것입니다.
제3자 클라우드 자산 목록이 불완전하거나 오래되면 시스템은 무너지기 마련입니다. 식별되지 않은 서버가 인터넷에 연결되면 점수 모델이 노출도를 잘못 계산하여 위험한 결함을 놓치게 됩니다. 저희라면 CISA 카탈로그 등록 시점부터 노출된 시스템에 대한 패치 배포 완료까지 걸리는 평균 시간을 유일하게 주시할 지표로 삼을 것입니다.
다음으로 저희라면 적용된 보안 패치가 대상 결함을 성공적으로 해결하는지 검증하는 자동화된 확인 절차를 구축할 것입니다. 또한 공급업체의 클라우드 환경이 지침 가이드라인에서 벗어날 때마다 계약 담당자에게 통보하는 계약 모니터링 도구도 추가할 것입니다.
출처
이 기사의 사실은 다음 출처에서 가져왔습니다.