패치 기한 30일 같은 숫자는 어디서 나온 건가요?

이 지침에는 숫자 기한이 없습니다

답부터 적으면 CISA 의 랜섬웨어 지침에서 패치에 관한 숫자 기한은 확인되지 않습니다. 이 문서가 적는 것은 우선순위입니다. 인터넷 데이터를 처리하는 인터넷 노출 서버의 적시 패치를 우선하라고 하고, 이미 악용이 알려진 취약점은 더 서두르라고 적습니다. 며칠 안에 하라는 값은 없습니다.

없다는 사실을 적는 것이 왜 중요한가

숫자가 없는데 어디선가 본 숫자를 가져다 쓰면 근거 없는 기준이 됩니다. 그 기준은 내부 논쟁에서 버티지 못하고, 감사나 보고 상황에서 출처를 물으면 답할 수 없습니다. 그래서 이 글은 비어 있는 자리를 채우지 않고 비어 있다고 적습니다.

그럼 기한을 어떻게 정하는가

조직이 정해 문서로 남기는 것이 정확한 방식입니다. 기준이 될 값은 외부 문서가 아니라 우리 환경의 조건입니다. 패치 적용에 걸리는 실제 시간, 업무 중단을 허용할 수 있는 창, 담당 인원, 자산 수가 그 조건입니다. 이 값들로 정한 기한은 지킬 수 있는 숫자가 되고, 지켜졌는지 측정할 수 있습니다.

우선순위가 기한보다 먼저입니다

기한을 정해도 순서가 없으면 효과가 흩어집니다. 지침이 제시한 것은 순서이고, 순서가 있으면 같은 인력으로 더 중요한 자산을 먼저 처리합니다. 자산을 인터넷 노출 여부와 외부 데이터 처리 여부 두 열로 적고, 두 조건이 겹치는 자산을 1순위로 둡니다. 기한은 그 순위별로 다르게 둘 수 있습니다.

사례: 순위별 기한을 조직이 정한 경우

상황은 자산 9개를 네 순위로 나눈 조직입니다. 입력값은 확인일 2026년 10월 19일, 1순위 2대, 2순위 1대, 3순위 5대, 4순위 1대, 담당 1명, 월 1회 정기 점검 창이 있습니다. 계산은 처리 역량을 순위에 배분하는 것입니다. 담당 1명이 정기 창에서 처리할 수 있는 양을 기준으로, 1순위 2대는 정기 창을 기다리지 않고 공개 즉시 처리하도록 정하고, 2순위 1대는 다음 정기 창, 3순위 5대는 그다음 창, 4순위 1대는 반기 단위로 둡니다. 최종 결과는 네 개의 기한 규칙이고 전부 조직이 정한 값이며 출처가 외부 문서가 아니라 내부 문서입니다. 결과를 바꾸는 예외는 알려진 악용 취약점이 3순위 자산에 나온 경우로, 그때는 지침의 문구에 따라 순위와 무관하게 앞으로 당깁니다. 다음 행동은 네 기한 규칙을 한 문서에 적고 결정 날짜를 함께 남기는 것입니다.

정한 기한을 측정 가능하게 적는 방법

기한은 숫자만 적으면 지켜졌는지 알 수 없습니다. 무엇을 기준으로 세는지 함께 적어야 합니다. 공개일부터인지, 내부에서 인지한 날부터인지, 테스트 완료부터인지가 달라지면 같은 숫자가 다른 뜻이 됩니다. 신고 기한이 알게 된 때부터 세는 것처럼, 패치 기한도 기산점을 문서에 적습니다.

이 글에서 제시하지 않은 수치

업계 평균 패치 소요일, 미적용 취약점으로 발생한 사고 비율, 적정 기한의 권고값은 공개된 출처를 확인하지 못해 제시하지 않습니다. 확인된 것은 이 지침이 우선순위를 적고 숫자 기한을 적지 않는다는 사실, 그리고 알려진 악용 취약점은 더 서두르라고 적는다는 사실입니다.

확인된 것과 확인되지 않은 것