새로운 FedRAMP 취약점 수정 일정은 여전히 상류 단계의 수정 조치를 기다리지 않는다

주요 내용

• FedRAMP의 2026년 규정에 따르면, 권장되는 시정 기간은 공급자가 취약점을 평가한 시점부터 계산하여 12시간에서 192일까지입니다.
• 신규 신청자는 2026년 12월 7일부터 FedRAMP의 2026년 취약점 규정을 준수해야 하며, 기존 제공업체는 늦어도 2027년 3월 7일까지 해당 규정을 도입해야 합니다.
• 평가 후 192일 이내에 완전히 완화되거나 해결되지 않는 취약점은 ‘수용된 취약점’으로 분류되어야 합니다.
• 오픈 소스 유지보수 담당자가 수정 프로그램 배포를 중단하더라도 FedRAMP 시정 조치의 기간은 중단되지 않습니다.
• 공급자가 여전히 해당 취약점을 완전히 완화하거나 수정할 의도가 있음에도 불구하고 지정된 기한을 넘긴 경우, 해당 취약점은 기한 초과로 간주되며, 매월 작성되는 보고서마다 이에 대한 설명과 함께 이를 표시해야 합니다.

FedRAMP는 오픈 소스 패키지에 포함된 취약점을 포함하여 서비스 내 취약점을 완화하거나 시정하기 위한 기한을 정합니다. 이 기한은 수정 프로그램이 있는지 여부와 관계없이 계속 적용됩니다.

수정 조치가 없더라도 취약점을 완화할 수는 있지만, 해당 취약점은 시정될 때까지 월간 보고서에 계속 남아 있게 됩니다. FedRAMP의 새로운 규정에 따르면, 평가 후 192일 이내에 완전히 완화(위험을 무시할 수 있는 수준으로 낮춤)되거나 시정되지 않은 취약점은 ‘수용된 취약점’으로 분류되어야 합니다. 그런 다음 보고서에서 해당 취약점이 왜 수용되었는지 그 이유를 설명해야 합니다.

이 새로운 규정인 ‘2026년 통합 규정(Consolid ated Rules for 2026)’은 FedRAMP의 기존 문서를 대체합니다. 기존 서비스 제공업체들은 늦어도 2027년 3월 7일까지 이 취약점 관련 규정을 준수해야 합니다.

2026년 규정 시행 전후의 FedRAMP 취약점 시정 일정

FedRAMP는 2026년 6월 24일부로 기존 문서를 ‘참고용’으로 지정했습니다. 취약점 관련 규정의 경우, 이를 대체하는 것은 ‘2026년 통합 규정’에 포함된 두 가지 규정 세트인 ‘취약점 탐지 및 대응(VDR) ’과 ‘취약점 평가 및 보고(VER)’입니다. 이 2026년 규정을 아직 채택하지 않은 서비스 제공업체는 전환 기간 동안 기존 절차를 계속 따릅니다. 2026년 규정에서는 기존 문서에 ‘승인(authorization)’으로 표기된 부분을 ‘인증(certification)’으로 표기하고 있습니다.

기존의 ‘행동 계획 및 주요 단계(POA&M)’ 페이지에 따르면, FedRAMP는 ‘매우 심각(Critical)’ 또는 ‘높음(High)’ 등급의 취약점은 발견 후 30일 이내에, ‘중간(Moderate)’ 등급은 90일 이내에, ‘낮음(Low)’ 등급은 180일 이내에 시정할 것을 요구합니다. 기존 ‘지속적 모니터링 플레이북’은 해당 등급을 결정할 때 공통 취약점 점수 체계(CVSS) 의 기본 점수를 사용합니다.

2026년 규정에 따라, 각 인증 서비스는 보증 수준이 가장 낮은 A등급부터 가장 높은 D등급까지 등급이 매겨집니다. 시정 조치의 기간은 평가 시점부터 시작됩니다. A 등급의 경우 취약점이 발견된 후 14일 이내에, D 등급의 경우 2일 이내에 평가가 이루어져야 합니다. 이 기간의 길이는 등급과 공급자가 취약점에 부여한 N 등급(취약점이 악용될 경우 기관에 미칠 피해 정도를 나타내는 척도로, N0(기관에 영향을 미칠 가능성이 극히 낮음)부터 N5(하나 이상의 기관에 치명적인 영향을 미침)까지)에 따라 달라집니다.

기간은 또한 해당 취약점이 악용될 가능성이 있는지(즉, 공격자가 이를 이용해 피해를 입힐 가능성이 있는지)와 인터넷을 통해 접근 가능한지(즉, 인터넷에서 전송된 페이로드가 이를 유발할 수 있는지)에 따라 달라집니다. 이 두 가지 조건을 모두 충족하는 취약점에는 가장 짧은 기간이 부여됩니다. VDR은 N2부터 N5 등급에 대해서만 기간을 설정하며, N0 및 N1 등급은 공급자의 일상적인 운영에 맡깁니다.

2026년 규정에서 제시된 시정 조치 기간에는 ‘SHOULD’라는 표기가 붙어 있습니다. FedRAMP는 ‘SHOULD’를 서비스 제공자가 타당한 사유가 있을 경우 이를 따르지 않을 수 있으나, 그 결정에 대해 보안 문서에 설명해야 하는 규칙으로 정의합니다. 그럼에도 불구하고, 2026년 6월 16일자 FedRAMP 공지 NTC-0014는 해당 기간을 ‘최대 기간’으로 규정하며, 서비스 제공자는 이를 훨씬 더 빠르게 완화하거나 시정해야 한다고 명시하고 있습니다.

채용 일정과 그 배경이 된 지침

FedRAMP의 ‘Rev5 마감일’ 페이지에 따르면, 규정 적용은 서비스 제공업체별로 단계적으로 이루어집니다. 신규 신청자는 2026년 12월 7일부터 두 가지 규정 세트를 모두 적용해야 합니다. 해당 날짜까지 규정을 적용하지 않은 기존 서비스 제공업체는 모든 기관에 통지하는 내용을 포함한 시정 조치 계획을 수립해야 하며, 2027년 3월 7일까지도 규정을 적용하지 않을 경우 FedRAMP는 해당 서비스의 인증을 취소할 것입니다.

12월 7일은 2026년 6월 10일에 발표된 사이버보안 및 인프라 보안국(CISA)의 구속력 있는 운영 지침(BOD) 26-04와 일치합니다. 이 지침은 연방 민간 기관에 구속력을 가지며, 해당 기관들은 12월 7일까지 시정 조치 일정을 이행하기 시작해야 합니다. 또한 이 지침은 FedRAMP의 규정 및 계약을 통해 서비스 제공업체들에게도 적용됩니다. 시정 조치 일정은 3일에서 60일까지입니다. NTC-0014에 따르면, VDR 및 VER를 준수하는 서비스 제공업체는 이 지침의 요건을 충족하는 것으로 간주됩니다.

해결책이 없는 조사 결과에 대해 문서들은 무엇을 말하고 있는가

해결책이 없는 발견 사항은 문서 세트마다 다르게 처리됩니다. 기존 문서에서는 이를 ‘벤더 의존성(VD)’이라고 부르며, 이는 공급자가 아직 제공되지 않은 패치를 얻기 위해 상용 기성 제품(COTS)을 공급하는 업체와 같은 벤더에 의존해야 하는 경우에 적용됩니다. VD는 편차 요청(기관이 오탐지, 위험 조정 및 운영 요건에 대해 승인하는 기존 요청 유형)이 아니므로 승인이 필요하지 않습니다.

VD는 미해결 항목으로 남아 있으며, 담당자는 최소 한 달에 한 번씩 공급업체와 현황을 확인합니다. 공급업체에서 패치를 제공하지 않더라도, 고위험 VD(기존 고위험 등급에 해당하는 항목)는 30일 이내에 보완 통제를 통해 위험 수준을 ‘중간’으로 완화해야 합니다.

운영상 요구사항은 시정할 수 없는 문제점을 다루며, 이는 대개 시스템이 의도한 대로 작동하지 않거나 공급업체가 수정 사항을 제공하지 않겠다고 밝힌 경우입니다. FedRAMP는 고위험 문제점에 대해서는 이를 승인하지 않지만, 공급업체는 여전히 해당 문제점을 완화할 수 있습니다.

기존 POA&M 페이지에서는 “공급업체(vendor)”라는 용어를 사용하지만, 자원봉사 유지보수자가 이에 포함되는지 여부는 명시하지 않습니다. VDR 및 VER 규칙 세트에서는 “공급업체 의존성(vendor dependency)”이라는 용어를 전혀 사용하지 않습니다. VDR에 따르면, 취약점을 완전히 완화하거나 수정할 수 없는 공급업체는 해당 취약점을 신속하고, 점진적이며, 지속적으로 부분적으로 완화해야 합니다.

VDR-TFR-PVR에 따르면, 서비스 제공업체는 해당 기간 내에 취약점을 부분적으로 완화하거나, 완전히 완화하거나, 또는 시정 조치를 취하여 더 낮은 N 등급을 달성함으로써 기한을 준수하게 됩니다. NTC-0014는 BOD 26-04의 목적상, 서비스 제공업체가 취약점을 더 이상 자동화할 수 없거나 인터넷을 통해 접근할 수 없게 될 때까지 완화할 수 있으며, 이 시점부터는 지침상 완전한 시정 조치를 요구하지 않는다고 덧붙입니다.

VER는 취약점이 평가일로부터 192일 이내에 완전히 완화되거나 수정되지 않았거나, 향후에도 그렇게 되지 않을 경우 ‘승인된 취약점’ 라벨을 부여합니다. 이후 각 보고서에는 해당 취약점이 승인된 이유에 대한 제공자의 설명, 취약점의 접근 가능성 및 악용 가능성, 그리고 현재의 N 등급이 기재됩니다.

업스트림 출시 일정이 시계와 맞물리는 지점

FedRAMP 취약점 수정 일정에 비추어 볼 때, 패치 공백(patch gap)이란 수정 프로그램이 제공되지 않는 발견 사항의 기간을 의미합니다. 기존 POA&M 페이지, 플레이북(Playbook), 2026년 취약점 규칙 및 FedRAMP의 정의에는 오픈 소스 유지 관리자나 프로젝트의 릴리스 여부에 대한 언급이 없습니다. VDR은 취약점을 발견하기 위한 기법 중 하나로 공급망 모니터링을 명시하고 있으므로, 패키지가 빌드에 어떤 요소를 포함하는지는 공급자가 모니터링해야 할 사항의 일부입니다. 앞서 언급한 처리 방법 외에도, 해당 문서들은 유지보수자가 발견된 취약점을 수정하지 않을 경우 공급자가 어떻게 대응해야 하는지에 대해서는 명시하고 있지 않습니다.

귀사의 서비스가 C등급 인증을 보유하고 있으며, 유지보수자가 더 이상 수정 패치를 배포하지 않는 오픈소스 패키지에서 0일차에 취약점을 발견했다고 가정해 봅시다. C등급 제공업체는 발견 후 5일 이내에 평가를 수행해야 하므로, 평가가 5일차에 완료되어 해당 취약점에 N3 등급이 부여되었다고 가정해 봅시다.

유지보수 담당자가 수정 패치를 출시하든 안 하든, 이러한 수치에는 아무런 변화가 없습니다. 어떤 행이 적용될지는 공급자의 평가에 달려 있으며, FedRAMP에는 이에 대한 경고가 포함되어 있습니다. 악용 가능성 규칙에 대한 FedRAMP의 주석에 따르면, 신중한 검토 없이 취약점을 ‘악용될 가능성이 낮음’으로 정기적으로 평가하는 공급자는 해당 취약점이 실제로 악용될 경우 불리한 영향을 받을 가능성이 더 높다고 명시되어 있습니다. 또한, 무모하거나 고의적인 과소 평가는 공급업체의 인증에 불리하게 작용할 것이라고 덧붙입니다. 공급업체는 반증할 증거가 없는 한, 악용이 자동화될 수 있다고 가정해야 합니다.

CISA의 지침에 따르면, 사실 관계의 변화에 따라 일정이 조정될 수 있습니다. 지침의 주석 중 하나에 따르면, 시스템을 인터넷에서 분리하면 해당 시스템이 지침 표의 다른 행으로 이동한다고 명시되어 있습니다. 다만, 악용된 것으로 알려진 취약점의 경우 기한은 그대로 유지됩니다. VDR-TFR-KEV에 따르면, 공급업체는 해당 취약점이 완전히 완화되었더라도 CISA 카탈로그에 명시된 기한까지 이를 시정해야 하며, NTC-0014는 이를 이행하지 않을 수 있는 근거를 타당한 기술적 사유로만 제한하고 있습니다.

아직 릴리스를 계속하고 있는 유지보수자는 기간이 만료되기 전에 제공업체가 적용할 수 있는 내용을 제공할 수 있습니다. 반면, 릴리스를 중단한 유지보수자는 적용할 내용이 없는 상태로 기간이 계속 진행되도록 방치하게 되며, 이러한 공백은 서비스가 패키지를 가져오는 모든 언어 생태계에서 나타날 수 있습니다.

기한이 지나면 어떻게 되나요?

기존 플레이북에는 기관이 선택할 수 있는 트리거 예시가 나열되어 있습니다. 30일 이상 시정되지 않은 ‘고영향’ 취약점 또는 POA&M 항목이 5개 이상인 경우, 최소한 ‘상세 발견 사항 검토’를 실시해야 하며, 이는 결함을 평가하고 그 원인과 시정 조치를 보고하도록 요청하는 절차입니다. 60일이 지난 취약점이나 POA&M 항목이 5개 이상일 경우, 최소 조치로 기관의 시정 조치 계획을 수립해야 하며, 여기에는 근본 원인 분석과 공식적인 시정 계획이 포함되어야 합니다. 이후 기관은 운영 승인(ATO)의 정지 또는 취소로 조치를 격상할 수 있으며, 이 경우 FedRAMP에 보고해야 합니다.

Playbook이 대행사와 함께 진행하는 월간 협업 회의에서 POA&M 논의는 기한이 지난 항목, 공급업체 의존성, 변경 요청에 중점을 두어야 하며, 그렇지 않으면 미해결로 남아 있는 문제가 다시 제기되는 경향이 있습니다.

VDR 및 VER 페이지에는 ‘SHOULD’ 수준의 기한을 지키지 않았을 경우의 제재 사항이 명시되어 있지 않습니다. 제공업체는 모든 ‘SHOULD’ 요구 사항에서 요구하는 바와 같이 여전히 해당 사항에서 벗어난 이유를 정당화해야 하며, VER에서는 여기에 보고 의무가 추가됩니다. FedRAMP의 정의에 따르면, 제공업체가 취약점을 완전히 완화하거나 시정할 의도가 있음에도 권장되거나 요구되는 기한 내에 이를 이행하지 않았거나 이행하지 않을 경우, 해당 취약점은 기한 초과로 간주됩니다. ‘승인된(accepted)’ 취약점 라벨은 서비스 제공자가 완전히 완화하거나 시정할 의도가 없는 취약점은 물론, 192일 한도를 초과한 모든 취약점을 포함합니다. VER는 각 보고서에서 취약점이 기한을 초과했는지 또는 기한을 초과할 가능성이 있는지 명시하고, 해당 경우 그 사유를 설명할 것을 요구합니다.

유지보수자가 활동을 중단한 후 패키지 패치하기

TuxCare의 SecureChain은 지원 대상인 오픈소스 패키지를 강화되고 격리된 환경에서 소스 코드부터 재컴파일하며, 소스 코드를 검사하여 알려진 악성코드 및 의심스러운 코드 패턴을 탐지합니다. 검사에서 불합격된 항목은 사용자의 환경에 유입되지 않습니다. 유지보수 담당자가 여전히 수정 사항을 배포하더라도, SecureChain은 서비스 수준 계약(SLA)에 따라 패키지에 패치를 적용하며, 가능한 경우 업스트림 수정 사항을 사용하고, 업스트림 수정 사항이 부족한 경우에는 TuxCare 엔지니어들이 개발한 패치를 적용합니다.

업스트림에서 릴리스를 중단하더라도 TuxCare는 해당 패키지에 대한 패치 제공을 계속하며, 이후 해당 패키지는 자동으로 Endless Lifecycle Support(ELS)로 전환됩니다. 이 경우, 사용자가 해당 패키지를 사용하는 동안 TuxCare 엔지니어들이 사용자가 이미 실행 중인 버전에도 수정 사항을 역포트해 드립니다.

또한 SecureChain은 출처 정보, 소프트웨어 부품 목록(SBOM), 취약점 악용 가능성 교환(VEX) 데이터를 제공하여, 빌드에 포함된 패키지의 내용을 파악하는 데 도움을 줍니다. SecureChain과 ELS는 함께 자바스크립트, 파이썬, 자바, Go, PHP를 지원합니다.

FedRAMP 기간이 계속 진행되는 동안 패키지 관리자가 수정본 배포를 중단한 후 누가 해당 패키지를 패치하는지, 또는 해당 패키지가 빌드에 어떤 영향을 미쳤는지 파악할 수 없다면, SecureChain이 이 두 가지 문제에 어떻게 접근하는지 확인해 보십시오.

자주 묻는 질문

FedRAMP에 따라 보안 조치 이행에 대한 책임은 누구에게 있습니까?

2026년 통합 규정에 따라 클라우드 서비스 제공업체는 다음과 같은 책임을 집니다. 취약점 탐지 및 대응 규정에 따르면, 제공업체는 탐지된 모든 취약점을 추적, 완화 및 시정해야 합니다. 기존 지속적 모니터링 플레이북(버전 1.0, 2025년 11월 17일, 현재는 참고용)에서도 제공업체에 주된 책임을 부여하고 있으며, 기관의 승인 담당자는 제공업체가 제출하는 월별 실행 계획 및 주요 일정을 검토합니다.

FedRAMP 마감 기한을 결정하는 등급은 누가 부여하나요?

현재 참고용으로만 사용되는 기존 ‘지속적 모니터링 플레이북’에서, 원래의 위험 등급은 국가 취약점 데이터베이스(National Vulnerability Database) 버전 3의 공통 취약점 평가 시스템(CVSS) 기본 점수입니다. 2026년 취약점 평가 및 보고 규칙에 따르면, 제공업체는 취약점이 기관에 미칠 잠재적 영향을 N0부터 N5까지의 N 등급으로 추정해야 합니다.

FedRAMP 시정 조치의 기한은 언제부터 시작되나요?

현재 참고용으로만 제공되는 기존 ‘행동 계획 및 주요 단계’ 페이지에서는 위험 수준에 따라 발견 시점부터 30일, 90일 또는 180일을 계산합니다. 반면, 2026년 ‘취약점 탐지 및 대응’ 규칙에서는 평가 시점부터 일수를 계산하며, ‘취약점 평가 및 보고’ 규칙에 따르면 인증 등급에 따라 탐지 후 14일, 7일, 5일 또는 2일 이내에 평가를 수행해야 합니다.

수정 방법이 없는 문제점에 대해서는 어떤 FedRAMP 조항이 적용됩니까?

‘공급업체 의존성’과 ‘운영상 요구사항’은 ‘조치 계획 및 주요 단계’ 페이지에 등장하는 기존 용어입니다. 전자는 공급업체의 수정 조치가 필요한 취약점을, 후자는 수정할 수 없는 취약점을 의미합니다. 2026년 ‘취약점 탐지 및 대응’ 규칙에서는 부분적인 완화 조치를 권장하며, ‘취약점 평가 및 보고’ 규칙에서는 평가 후 192일 이내에 완전한 완화 또는 수정이 이루어지지 않을 경우 ‘승인된 취약점’ 라벨을 부여하도록 규정하고 있습니다.

FedRAMP의 2026년 규정에 따라 ‘시정 조치 완료’로 간주되는 것은 무엇인가?

2026년 통합 규칙의 정의에 따르면, ‘시정된 취약점’이란 중화되거나 제거되어 더 이상 탐지되지 않는 취약점을 의미합니다. ‘완전히 완화된 취약점’은 여전히 탐지되지만, 그 위험성은 무시할 수 있을 정도로 미미합니다. 취약점 탐지 및 대응 규칙에 따르면, ‘완화’와 ‘시정’은 서로 바꿔 쓸 수 없는 개념입니다.

FedRAMP는 지정된 기한을 지키지 못한 취약점을 무엇이라고 부르나요?

공급자가 해당 취약점을 완전히 완화하거나 수정할 계획이 있음에도 불구하고 기한을 놓쳤거나 놓칠 예정인 경우, 해당 취약점은 ‘기한 초과’로 분류됩니다. 반면, 공급자가 이를 완화하거나 수정할 계획이 없는 경우에는 ‘수용된 취약점’으로 분류됩니다. 2026년 취약점 평가 및 보고 규정에 따라, 각 보고서에는 기한이 초과되었거나 초과될 가능성이 있는 취약점을 명시하고 그 사유를 설명해야 합니다.

요약

기사 이름

수정 프로그램이 제공되지 않을 경우의 FedRAMP 취약점 수정 일정

설명

FedRAMP의 2026년 취약점 규정은 2026년 12월 7일부터 적용됩니다. 업스트림에서 수정 사항이 제공되지 않는 오픈소스 패키지에 대해 시정 기한이 어떻게 적용되는지 확인해 보세요.

작성자

아르템 카라세프

게시자 이름

TuxCare

게시자 로고