패치는 무엇부터 적용해야 하나요?

지침이 지정한 기준은 노출 여부입니다

답부터 적으면 CISA 의 랜섬웨어 지침은 인터넷 데이터를 처리하는 인터넷 노출 서버의 적시 패치를 우선하라고 적습니다. 즉 기준은 중요도나 사용 빈도가 아니라 인터넷에 노출되어 있는지, 그리고 인터넷에서 온 데이터를 처리하는지입니다. 이 두 조건이 겹치는 자산이 1순위입니다.

알려진 악용 취약점은 더 빠르게

같은 지침은 이미 악용이 알려진 취약점에 대해서는 패치를 더 서두르라고 적습니다. 다만 몇 일 안에 하라는 숫자는 이 문서에 없습니다. 그래서 실무에서는 숫자를 외부에서 가져오지 말고, 우리 조직이 지킬 수 있는 기한을 정해 문서로 적는 쪽이 정확합니다. 지키지 못할 숫자를 적으면 기준이 아니라 장식이 됩니다.

순서를 만들려면 자산 목록이 먼저입니다

우선순위는 목록 위에서만 작동합니다. 어떤 서버와 기기가 있는지, 각각 인터넷에 노출되어 있는지, 인터넷에서 온 데이터를 처리하는지를 표로 적어야 순서가 나옵니다. 목록이 없으면 패치는 눈에 띄는 것부터 하게 되고, 그 순서는 지침의 기준과 다릅니다.

노출 여부를 판단하는 방법

장비 안에서 보는 것보다 경로를 거꾸로 따라가는 편이 빠릅니다. 공유기나 방화벽의 포트 전달 규칙 목록, 클라우드의 보안 그룹 규칙에서 외부로 열린 항목을 찾습니다. 규칙 목록에 없으면 외부에서 직접 닿는 경로는 없습니다. 같은 지침이 원격 데스크톱을 웹에 노출하지 말라고 적는 것도 이 목록에서 확인합니다.

사례: 자산 9개의 순서를 만들기

상황은 소규모 조직의 자산 9개입니다. 입력값은 확인일 2026년 10월 19일, 웹 서버 1대는 외부 노출이며 외부 데이터 처리, 메일 게이트웨이 1대는 외부 노출이며 외부 데이터 처리, 원격 접속을 받는 파일 서버 1대는 외부 노출, 업무용 PC 5대는 외부에서 직접 닿지 않으나 브라우저와 메일로 외부 데이터를 처리, 분리된 계측 PC 1대는 둘 다 아님입니다. 계산은 두 조건의 조합으로 묶는 것입니다. 두 조건을 모두 충족하는 2대가 1순위, 외부 노출만 해당하는 1대가 2순위, 외부 데이터 처리만 해당하는 5대가 3순위, 둘 다 아닌 1대가 4순위입니다. 최종 결과는 1순위 2대, 2순위 1대, 3순위 5대, 4순위 1대이고 합계 9대입니다. 결과를 바꾸는 예외는 파일 서버의 원격 접속 노출을 제거한 경우로, 그때 그 서버는 2순위에서 3순위 아래로 내려갑니다. 다음 행동은 자산 9개를 두 조건의 열로 적은 표를 만드는 것입니다.

적용 뒤에 기록을 남기는 이유

패치는 반복 작업이라 기억으로 관리하면 빠진 자산이 생깁니다. 무엇을 언제 어느 버전으로 올렸는지 남겨야 다음 회차에서 차이를 알 수 있습니다. 같은 지침은 중요 시스템 로그를 최소 1년 보관하라고 적고 비활성·미승인 계정을 분기별로 검토하라고 적습니다. 패치 기록을 분기 점검에 붙이면 목록과 기록이 함께 갱신됩니다.

숫자 기한을 이 글에 적지 않은 이유

30일 이내, 72시간 이내 같은 패치 기한은 조직의 정책이나 다른 규격에서 올 수 있지만 이 지침에는 없습니다. 출처 없이 숫자를 적으면 근거가 없는 기준이 됩니다. 이 글은 공식 문구가 지정한 우선순위 기준과, 그 기준으로 순서를 만드는 절차만 적었습니다. 기한 숫자는 조직이 정해 문서로 남기는 값입니다.

노출 여부로 나눈 적용 순서