CVSS 점수와 EPSS 확률은 같은 위험을 뜻하나

CVSS v4.0은 취약점의 기술적 심각도를 점수로 표현하고, EPSS는 CVE가 다음 30일 동안 실제로 악용될 확률을 추정합니다. 점수와 확률은 서로 다른 질문에 답하므로 숫자를 직접 비교해 위험이 더 크다고 말할 수 없습니다.

실제 자산의 노출 여부, 외부 접근성, 업무 중요도와 완화 통제를 함께 검토해야 조직의 우선순위를 정할 수 있습니다. 아래 수치와 상황은 직접 만든 교육용 예시이며 실제 CVE나 집중 180제 수록 문항이 아닙니다.

CVSS는 심각도, EPSS는 가까운 시기의 악용 가능성을 묻습니다

보안 공지에서 CVSS 9.0 같은 높은 점수와 EPSS 0.02 같은 낮은 값을 함께 볼 수 있습니다. 서로 모순된 평가가 아니라 측정 대상이 다릅니다. FIRST의 CVSS v4.0에서 Base 점수는 취약점의 고유한 특성을 중심으로 기술적 심각도를 나타냅니다. Threat 그룹은 시간이 지나면서 달라지는 위협 정보를, Environmental 그룹은 사용 조직의 환경 정보를 반영해 평가를 세분화할 수 있습니다. 따라서 모든 조직에 동일하게 적용되는 Base 점수 하나만으로 우리 시스템의 피해나 패치 순위를 확정할 수는 없습니다.

EPSS는 공개된 CVE가 향후 30일 안에 실제로 악용될 가능성을 추정하는 확률 모델입니다. EPSS 0.02는 그 모델이 평가하는 모집단과 기간에서 약 2%의 악용 확률을 뜻합니다. 0.02는 심각도 2점이나 피해가 2%라는 의미가 아닙니다. 낮은 확률도 안전을 보증하지 않으며, EPSS는 특정 조직의 취약 자산 수나 침해 시 손실액을 직접 계산하지 않습니다. 모델 점수의 의미와 자산별 위험 판단을 분리해야 합니다.

숫자가 엇갈릴 때는 먼저 순위를 보류합니다

표의 A는 CVSS Base가 더 높지만 EPSS는 낮습니다. B는 Base 점수가 더 낮아도 EPSS가 높습니다. 여기서 ‘A가 무조건 더 위험하다’거나 ‘B를 먼저 고치면 된다’고 결론 내릴 수 없습니다. 먼저 해당 제품과 버전이 실제 자산에 설치되어 있는지, 취약한 기능이 활성화됐는지 확인합니다. 외부에서 닿을 수 있는지, 인증이 필요한지, 이미 완화 통제가 있는지, 침해 시 서비스 중단이나 정보 노출이 얼마나 큰지도 기록합니다. 자산이 존재하지 않거나 취약한 기능을 쓰지 않는다면 CVE 관련 우선순위는 달라질 수 있습니다.

예를 들어 서비스 A가 인터넷에서 접근 가능하고 고객 인증 정보를 처리한다면, 낮은 EPSS만 보고 뒤로 미루기보다 노출 범위와 피해 영향을 평가해야 합니다. 반대로 서비스 B가 현재 외부 연결이 없고 별도 통제로 보호된다면 높은 EPSS 숫자만 보고 즉시 같은 조치를 적용한다고 단정하지 말고, 외부 경계 변화와 통제 유효성을 확인합니다. 이 판단은 임의의 점수 합산이 아닙니다. CVSS와 EPSS의 정의를 유지한 채 자산 맥락을 붙여 담당자가 설명 가능한 순서를 정하는 과정입니다.

취약점 두 건을 비교할 때 쓰는 네 단계

1. CVSS가 Base인지, Threat 또는 Environmental 정보를 포함한 점수인지 이름과 버전을 확인합니다.
2. EPSS 값은 확률이며 기준 기간이 다음 30일임을 적습니다.
3. 자산 목록에서 공급자·제품·버전·노출·취약 기능 사용 여부를 확인합니다.
4. 업무 영향, 완화 통제와 운영 제약을 함께 기록하고, 불확실한 사실은 추가 조사 항목으로 남깁니다.

두 지표는 서로 바꿔 쓸 수 없습니다. CVSS는 ‘취약점이 기술적으로 얼마나 심각한가’를 구조화해 말하고, EPSS는 ‘짧은 기간 안에 악용될 가능성은 얼마인가’를 모델이 추정합니다. 이 둘에 자산의 노출·영향을 더해도 자동으로 정답 순위가 나오는 것은 아니지만, 왜 특정 자산부터 확인하는지 근거를 설명할 수 있습니다. 수치가 엇갈리면 한쪽이 틀렸다고 치부하기보다 정의와 입력 맥락부터 확인하세요.

확률을 심각도나 안전 판정으로 바꾸지 않습니다

흔한 실수는 EPSS 1%를 ‘위험도 1점’으로 읽거나, 30일 악용 확률이 낮으니 취약하지 않다고 결론 내리는 것입니다. 또 CVSS 9점이라는 이유만으로 모든 조직에서 최우선 패치 대상으로 선언할 수도 없습니다. EPSS는 모델과 모집단에 기반한 확률이고, CVSS는 심각도 점수입니다. 둘 다 자산 보유 여부와 조직별 사업 피해를 단독으로 알려주지 않습니다. 숫자의 종류, 버전, 평가 기간, 자산 적용 여부를 먼저 확인하는 습관이 단순 암기보다 안전합니다.

마지막으로 세 질문을 직접 답해 봅니다

회상 연습: CVSS v4.0 Base 8.8, EPSS 0.03인 가상의 CVE를 발견했습니다. ① 8.8은 무엇을 나타내나요? ② 0.03은 무엇을 나타내나요? ③ 조직에서 우선순위를 정하기 전에 어떤 정보를 추가로 확인하나요? 답은 각각 기술적 심각도 점수, 다음 30일 악용 확률 추정, 실제 취약 자산·노출·업무 영향·통제 정보입니다. 이 문항과 사례는 학습을 위해 새로 만든 것으로 실제 시험 출제나 판매 카드 수록을 뜻하지 않습니다. 정보보안기사 집중 180제의 구성은 별도 안내에서 확인할 수 있습니다.