주요 내용
- MTTP, MTTR, MTTD와 같은 속도 지표는 실제 위험이 얼마나 오랫동안 지속되는지를 보여줍니다.
- 커버리지 지표는 아직 아무도 측정하지 않는 자산을 드러냅니다.
- 지표는 항상 두 개씩 함께 살펴보세요. 숫자 하나만 보면 과대평가되거나 오해의 소지가 있기 때문입니다.
- 실제 의사결정과 연계된 지표 5~8개가, 아무런 연계가 없는 지표 30개보다 낫다.
귀하의 취약점 스캔 도구 에 따르면 전체 인프라에 걸쳐 4,000개의 미해결 취약점이 있다고 합니다. 관리자가 한 가지 질문을 던집니다. “상황이 나아지고 있나요, 아니면 악화되고 있나요?” 대부분의 팀은 이 질문에 명확하게 답하지 못합니다. 수집한 데이터와 실제로 정당화할 수 있는 의사결정 사이의 격차야말로 취약점 관리 지표가 해소하고자 하는 바로 그 문제입니다. 몇 가지 핵심 KPI만으로도 패치 적용 속도, 놓치고 있는 부분, 그리고 위험이 은밀하게 쌓이고 있는 곳을 파악할 수 있습니다.
이 가이드에서는 어떤 지표를 추적할 가치가 있는지, 자신을 속이지 않고 지표를 해석하는 방법, 그리고 이를 실행으로 옮기는 방법을 단계별로 안내합니다.
취약점 관리 지표란 무엇인가요?
취약점 관리 지표란, 시간이 지남에 따라 프로그램이 보안 취약점을 얼마나 효과적으로 탐지하고, 우선순위를 정하며, 수정하는지를 측정하는 수치입니다. 단순히 취약점의 총 개수를 의미하는 것은 아닙니다. 취약점 개수는 누구나 스캐너를 통해 확인할 수 있습니다. 이러한 지표는 팀의 대응 방식, 즉 취약점을 얼마나 빨리 탐지하고, 얼마나 빨리 수정하며, 실제 환경 중 어느 정도를 점검하고 있는지를 측정합니다.
이 문제가 해마다 더욱 중요해지는 이유는 처리량 때문입니다. CVE 프로그램 은 2025년에 48,000건이 조금 넘는 CVE 기록을 집계했는데, 이는 2024년의 40,000건이 조금 넘는 수치에서 증가한 것입니다. 공개된 기록에 대한 독립적인 분석에 따르면 2026년 상반기에만 35,000건 이상이 집계되었으며, 이 추세라면 올해도 기존 기록을 큰 차이로 경신할 전망입니다. 어떤 팀도 모든 취약점을 패치할 수는 없습니다. 지표는 무엇을 우선적으로 처리할지, 그리고 그 결정이 타당한 이유를 판단하는 기준이 됩니다.
대부분의 프로그램은 세 가지 범주를 추적합니다. 속도 지표는 취약점을 얼마나 빨리 탐지하고 수정 과정을 얼마나 신속하게 진행하는지를 나타내며, 여기에는 MTTD, MTTR, MTTP가 포함됩니다. 커버리지 지표는 공격 표면 중 실제로 스캔되는 비율이 얼마나 되는지와, 기한 내에 수정 조치가 완료되는 건수가 얼마나 되는지를 나타냅니다. 위험 상태 지표는 심각도, 악용 가능성, 경과 기간에 따라 미해결 취약점의 현황을 설명합니다.
주의할 점. 발견된 취약점 총수는 경영진이 가장 많이 요구하는 지표이지만, 엔지니어들이 가장 신뢰해서는 안 되는 지표입니다. 스캔을 강화하면 이 수치는 올라가고, 검사를 중단하면 내려갑니다. 이 지표만으로는 안전성이 아닌 활동량만을 측정할 뿐입니다.
취약점 지표를 추적하는 것이 어떻게 더 나은 보안 의사결정을 이끌어내는지
지표는 보안 프로그램이 단순히 최선을 다하는 단계에서, 어떤 부분이 느린지 정확히 파악하는 단계로 나아가게 합니다. 직감에서 증거로 전환하는 것이 바로 핵심입니다.
가시성이 가장 우선입니다. 추적하지 않는 수치는 개선할 수 없기 때문입니다. 그 다음으로 조치가 따릅니다. 인터넷에 노출된 호스트에서 MTTP가 증가하면 정확히 어디에 집중해야 할지 알 수 있기 때문입니다. 결과는 마지막에 나타납니다. 분기별로 중요한 버그가 이제 몇 주가 아닌 며칠 만에 해결된다는 사실을 보여줄 수 있게 될 때입니다.
지표는 꾸준히 추적될 때, 막연한 느낌이 아닌 추세선을 바탕으로 프로그램이 개선되고 있는지 여부에 대해 타당한 답을 제시합니다. 또한 가장 목소리를 높여 티켓을 제기한 사람이 아니라 실제 위험도에 따라 업무의 우선순위를 정합니다. 또한 취약점에 대한 패치가 필요한 경우 취약점 패치 작업이 이 특정 자산 그룹에서 뒤처지고 있을 때 조기 경고를 제공합니다. 또한, 느린 문제 해결에는 구체적으로 산정할 수 있는 금전적 비용이 따르기 때문에 예산 논의도 더 수월하게 만들어 줍니다.
보안 취약점 대응 역량을 외주화하거나 강화하고 싶으시다면, 당사가 선정한 최고의 취약점 관리 서비스 제공업체 목록을 확인해 보시기 바랍니다.
추적해야 할 주요 취약점 관리 지표
30가지 지표가 필요한 것은 아닙니다. 의사결정과 직접적으로 연결되는 5~8가지 지표만 있으면 됩니다. 다음은 핵심 지표들입니다.
| 미터법 | 측정하는 것 | 왜 중요한가 |
| MTTP | 패치 제공일로부터 실제 운영 환경에 적용되기까지의 평균 일수 | 알려진 취약점을 얼마나 빨리 해결하는지 보여줍니다 |
| MTTR | 탐지 후 완전한 해결까지 걸리는 평균 일수 | 패치 단계뿐만 아니라 전체 응답을 캡처합니다. |
| MTTD | 취약점이 탐지 가능해진 시점부터 발견되기까지의 평균 일수 | 스캔 빈도와 적용 범위의 미비점을 드러낸다 |
| 스캔 범위 | 실제로 스캔된 자산의 비율 | 스캔되지 않은 자산은 측정되지 않은 위험이다 |
| 정화 작업 SLA 준수 | 기한 내에 수정된 취약점의 비율 | 정책을 감사할 수 있는 형태로 전환합니다 |
MTTP(평균 패치 시간)
MTTP에 대한 업계 표준 정의는 없으므로, 보고하기 전에 해당 용어의 정의를 명확히 정해 두시기 바랍니다. 이 가이드에서 MTTP는 패치가 공개된 시점부터 해당 패치가 운영 환경에서 적용되기까지 걸리는 평균 시간을 의미합니다. 다른 팀들은 공개 시점이나 탐지 시점을 기준으로 시간을 계산하기도 합니다. 이 중 어느 방식을 사용하든 상관없습니다. 다만 여러 방식을 혼용해서는 안 됩니다.
시작점을 주의 깊게 살펴보세요. 잘못된 사건을 기준으로 측정하면 수치가 과대평가되고 실제 노출 정도가 제대로 드러나지 않기 때문입니다. 어떤 정의를 선택하든, 다른 사람들이 비교하게 될 모든 보고서에서 일관되게 적용해야 합니다.
주의: 보고된 MTTP는 겉보기에는 완벽해 보일 수 있지만, 해당 보고서가 설명하는 시스템들은 여전히 취약한 상태일 수 있습니다. 도구에서 패키지 설치를 최종 단계로 간주하는 경우, 커널이나 공유 라이브러리에 대한 수정 사항이 설치되어 있더라도 다음 재부팅이나 서비스 재시작 전까지는 비활성화된 상태로 남아 있을 수 있습니다. '설치됨'과 '보호됨'이 항상 동시에 발생하는 것은 아니며, 설치를 최종 단계로 간주하는 대시보드에서는 이러한 간극을 파악하기 어려울 수 있습니다.
또한 이곳은 스캐너의 오탐지 이 쌓이게 되는 곳이기도 한데, 디스크상의 버전 확인만으로는 실제로 어떤 것이 로드되었는지 알 수 없기 때문입니다.
MTTR(평균 해결 시간)
MTTR은 MTTP보다 더 포괄적인 개념입니다. 이는 문제 탐지부터 해결에 이르는 전체 수명 주기를 아우르며, 여기에는 문제 분류 및 우선순위 지정, 테스트, 배포를 포함한 전체 수명 주기를 다룹니다. 문제 해결은 패치 적용을 의미할 수도 있지만, 구성 변경이나 영향을 받은 구성 요소를 완전히 제거하는 것을 의미할 수도 있습니다.
조직의 대응 속도를 있는 그대로 파악하려면 MTTR을 사용하고, 패치 적용 단계 자체를 분리해 분석하려면 MTTP를 사용하십시오. MTTR이 높은 반면 MTTP가 낮다면, 병목 현상은 배포 단계가 아니라 선별 및 승인 단계에서 발생하고 있는 것입니다.
MTTD(평균 탐지 시간)
MTTD는 환경에서 취약점이 탐지 가능해진 시점부터 조직이 이를 식별하기까지 걸리는 평균 시간을 측정합니다. 이는 종종 속도 문제라는 외피를 쓴 탐지 범위 문제인 경우가 많습니다. 일주일에 한 번만 스캔을 수행하더라도, 그 주기만으로도 최대 7일간의 지연이 발생할 수 있으며, 이는 누군가가 실수를 저지르기 전에도 발견된 취약점당 평균 약 절반 정도의 지연 기간을 의미합니다.
해결책은 대개 패치 속도를 높이는 것보다 스캔 빈도를 높이고 자산 탐지 능력을 개선하는 데 있습니다. 아직 탐지하지 못한 문제는 해결할 수 없습니다.
스캔 범위
스캔 적용률은 예정된 일정에 따라 스캔이 수행된 확인된 자산의 비율을 의미합니다. 이 지표는 아무도 폐기하지 않은 ‘그림자 서버’와 태그가 지정되지 않은 새 노드를 파악하는 데 활용됩니다.
커버리지가 100% 미만이라는 것은 해당 스캔 결과를 바탕으로 도출한 지표가 환경의 일부만을 반영한다는 의미입니다. 자산의 80%를 스캔하면 MTTP는 그 80%만을 반영합니다. 나머지 5분의 1은 사각지대로, 이곳에는 악용 가능한 취약점이 발견되지 않은 채 숨어 있을 수 있습니다.
정화 작업 SLA 준수
SLA 준수율은 지정된 기한 내에 해결된 취약점의 비율을 의미합니다. 기한은 조직마다 다르지만, 일반적으로 중대(Critical) 등급 취약점은 7일 이내, 고위험(High) 등급 취약점은 30일 이내에 해결하는 것이 일반적입니다. 이를 통해 패치 정책을 단순한 문서가 아닌 감사 가능한 체계로 전환할 수 있습니다.
보안 분야 외의 이해관계자들은 이 내용을 계약서처럼 읽히기 때문에 즉시 이해하는 경향이 있습니다. 이 항목이 적용되면 자원을 요청할 수 있는 구체적이고 타당한 근거가 생깁니다. SLA 미달이 발생할 때, 서비스를 중단하기 어려운 시스템 주변에서 발생하는지 주의 깊게 살펴보세요. 바로 그런 경우일 때 재부팅 없이 패치 적용 이 가장 큰 효과를 발휘하는 경우가 많기 때문입니다.
패치 적용이 뒤처지면 어떤 일이 일어날까요?
패치 적용이 늦어지는 것은 단순한 보안 관리상의 문제가 아닙니다. 이는 악용될 수 있는 취약점을 더 오랫동안 노출시켜 두고, 이를 차단해야 하는 시간적 여유는 점점 줄어들게 만듭니다. VulnCheck의 2026년 상반기 데이터에 따르면 에 따르면, CVE 공개부터 KEV(Known Exploitation Verified) 상태까지 걸리는 시간의 중앙값은 2025년의 120일에서 80일로 단축되었습니다. 같은 기간 동안 KEV 대 CVE 비율이 약 1.4%로 떨어졌기 때문에, 알려진 악용 사례는 공개 건수에 비례하여 증가하지 않고 있습니다. 실제로 악용되는 취약점들은 단순히 그 상태에 더 빨리 도달하고 있을 뿐입니다.
흔히 볼 수 있는 상황을 생각해 봅시다. 어떤 프로그램이 SLA 준수율이 94%라고 보고하지만, 데이터베이스 계층이나 재부팅이 필요한 어플라이언스 군과 같이 패치 적용이 어려운 특정 자산 클래스가 나머지 6%의 대부분을 은연중에 차지하고 있는 경우입니다. 전체 대시보드는 정상적으로 보입니다. 문제는 위험이 특정 부분에 집중되어 있다는 점인데, 평균 수치만으로는 이를 절대 파악할 수 없습니다.
문제가 발생하면 그 결과는 지연 시간에 비해 지나치게 심각해지는 경우가 많습니다. 잘못된 시스템에 패치를 적용하지 못하면 데이터 유출, 규제 당국의 과징금, 혹은 해당 패치를 적용하는 데 들었을 노력과는 비교도 안 될 정도로 방대한 수주간의 사고 대응 작업이 필요할 수 있습니다.
이 문제에는 더 어려운 변형이 있는데, 바로 지원 종료 를 지난 시스템으로, 공급업체의 패치가 아예 존재하지 않는 경우입니다. 지원이 종료된 버전을 실행 중인 레거시 리눅스 시스템이 있다면, 바로 그 부분이 '무한 수명 주기 지원' 가 바로 메우기 위해 설계된 부분으로, 공급업체의 지원 기간이 종료된 후에도 CVE 패치를 지속적으로 제공합니다. TuxCare의 CVE 트래커 는 지원 종료된 운영 체제, 런타임, 라이브러리 및 프레임워크 전반에 걸쳐 알려진 CVE를 매핑하고, 심각도, 제품, 구성 요소 및 수정 상태로 필터링할 수 있으며, 수정 상태가 변경될 때 알림을 제공하므로 유용한 출발점입니다.
MTTP를 단축하는 방법으로서의 라이브 패칭
특히 커널 패치와 관련하여, MTTP가 급증하는 가장 큰 이유 중 하나는 재부팅이 필요하기 때문입니다. 커널 패치 작업은 전통적인 방식으로는 가동 중단 시간을 계획하고, 변경 승인을 받고, 해당 호스트에서 워크로드를 관리하는 모든 팀과 조율해야 합니다. 따라서 패치는 미뤄지게 됩니다. 때로는 몇 주 동안이나 말이죠.
실시간 커널 패치 은 재시작 없이 실행 중인 커널에 보안 패치를 적용함으로써 이러한 의존성을 해소합니다. 치명적인 커널 CVE에 대한 노출은 다음 유지보수 시간까지 대기열에 머물러 있을 필요 없이 몇 시간 내에 해결될 수 있으며, 패치가 적용되는 즉시 적용되므로 MTTP를 증가시키는 ‘설치되었으나 비활성 상태’의 간극이 사라집니다.
TuxCare의 KernelCare 는 RHEL, AlmaLinux, Rocky Linux, Ubuntu, Debian, Oracle Linux, CloudLinux, Amazon Linux를 포함하여 70개 이상의 배포판 버전에 대해 설치 즉시 라이브 패치를 제공합니다. 재부팅 일정이 실질적인 병목 현상이 되는 24/7 워크로드를 운영하는 팀에게 있어, 이는 MTTP에 적용 가능한 가장 영향력 있는 변경 사항 중 하나입니다. LibCare 는 glibc 및 OpenSSL과 같이 자체적으로 심각한 CVE 취약점을 안고 있는 공유 라이브러리에도 동일한 접근 방식을 적용합니다.
취약점 지표 해석 방법
대시보드에 표시된 숫자 하나만으로는 결론을 내릴 수 없습니다. 그것은 단지 단서일 뿐입니다. 지표의 진정한 가치는 해석을 통해 드러나는데, 대개 두 가지 지표를 함께 분석함으로써 개별 지표만으로는 파악하기 어려운 점을 찾아내는 데 있습니다.
절대적인 수치보다는 상호 관계부터 살펴보세요. MTTP 수치가 낮다고 해서 무조건 좋은 것은 아닙니다. 재발률을 함께 비교해 봐야 합니다. 재발률은 수정된 취약점 중 일정 기간 내에 동일한 자산에서 다시 나타나는 비율을 의미하며, 이 수치가 높다는 것은 수정 조치가 빠르게 이루어지지만 효과가 지속되지 않는다는 뜻입니다. 스캔 커버리지가 높으면서도 MTTD가 높은 경우, 스캔 빈도가 부족하거나 시그니처 업데이트 지연, 불완전한 자산 탐지 등 탐지 파이프라인의 다른 단계에서 지연이 발생하고 있음을 시사할 수 있습니다. 전체 SLA 수치가 양호하다고 해서 특정 자산 클래스에서 만성적으로 지연이 발생하는 사실을 가릴 수 있으므로, 성공을 선언하기 전에 자산의 중요도와 취약점 위험도에 따라 세분화하여 분석해야 합니다.
몇 가지 질문만으로도 이러한 수치를 구체적인 결정으로 전환할 수 있습니다. MTTP가 올바른 방향으로 추이하고 있는지, 아니면 한 달의 좋은 실적이 평균을 부풀린 것일 뿐인지? 보안 취약점 미해결 건수가 특정 자산 그룹, 운영 체제 또는 팀에 집중되어 있는지? 대응 속도가 실제로 악용 증거를 반영하고 있는지, 아니면 단순히 CVSS 점수만을 따르고 있는지? 그리고 미해결 과제의 어느 정도가 영구적인 것으로 묵인되어 온 ‘보안 부채’인지?
컨텍스트는 여러분의 소프트웨어 공급망에도 존재합니다. 전달적 종속성 에 숨겨진 취약점은, 사용 중인 도구가 전체 의존성 그래프를 파악하지 못하면 쉽게 간과되기 쉽습니다. 해당 도구가 그 그래프를 직접 해결하든, SBOM를 활용하든 간에, 전체 의존성 그래프를 파악하지 못하면 간과되기 쉽습니다. 위험 허용 한도 역시 상황에 따라 달라집니다. 내부 위키에 허용되는 MTTP는 환자 기록을 처리하는 시스템에 허용되는 MTTP와 다를 수밖에 없습니다.
취약점 관리 최적화 전략
좋은 지표는 어떤 부분이 느린지 알려줍니다. 이 전략들은 운영에 차질을 주거나 팀의 피로를 유발하지 않으면서 속도를 높일 수 있는 방법입니다. 가장 좋지 않은 지표에 해당하는 전략을 선택하고, 거기서부터 시작하세요.
순수한 심각도가 아닌 악용 가능성에 따라 우선순위를 정하십시오
CVSS 는 이론적으로 취약점이 얼마나 심각한지를 알려줍니다. 하지만 현재 누군가가 이를 악용하고 있는지 여부는 알려주지 않습니다. 모든 '중요(Critical)' 등급의 취약점을 똑같이 시급한 문제로 취급하면 팀은 업무에 파묻히게 되며, 이로 인해 오늘 밤 당장 조치가 필요한 취약점이 무엇인지 파악하기가 더 어려워집니다.
스캐너 출력 결과를 CISA 알려진 악용 사례 취약점 목록와 대조해 보십시오. 이 카탈로그는 취약점이 실제 환경에서 악용된 증거를 바탕으로 특별히 구축된 것입니다. 악용 사실이 확인된 중등도 취약점은 아무런 근거가 없는 치명적 취약점보다 더 시급히 처리해야 합니다. 그런 다음 CVSS를 EPSS(Exploit Prediction Scoring System)와 결합하십시오. EPSS는 FIRST에서 개발한 머신러닝 모델로, 공개된 CVE가 향후 30일 이내에 실제 환경에서 악용될 확률을 추정합니다. CVSS는 기술적 심각도를 설명하고, KEV 카탈로그는 이미 악용된 사례를 기록하며, EPSS는 향후 악용될 가능성이 높은 취약점을 예측합니다. 이 세 가지 지표는 각기 다른 질문에 답하며, 오늘 밤 어떤 취약점에 패치를 적용할지, 어떤 것은 다음 스프린트까지 미룰 수 있을지 결정할 때, 심각도만 고려하는 것보다 이 세 가지를 함께 활용하는 것이 더 효과적입니다.
단순한 스캔뿐만 아니라 업무 인계 과정도 자동화하세요
많은 워크플로우에서 단계 간에 발생하는 지연 시간으로 인해 평균 수리 시간(MTTR)이 늘어납니다. 스캔이 끝나고, 티켓이 방치되고, 승인이 지연되는 식입니다. 만약 업무 인계가 병목 현상이라면, 탐지 과정만 자동화해서는 이 문제를 해결할 수 없습니다.
와이어 스캐너 결과를 심각도 기반 라우팅 및 자동 할당 기능을 통해 티켓팅 시스템으로 직접 전송합니다. 정기적인 패치에 대해서는 변경 요청을 자동으로 생성하여, 엔지니어들이 내용을 일일이 재입력하는 대신 승인만 하도록 합니다. 목표는 취약점이 수신함에 방치되는 간극을 없애는 것입니다. 취약점이 수신함에 방치되면 며칠씩 조용히 누적되기 때문입니다. 사소한 프로세스상의 간극은 대부분의 팀이 예상하는 것보다 훨씬 빠르게 누적되어 큰 노출 위험으로 이어집니다.
모든 지표를 SLA 및 자산 등급과 연계하십시오
목표가 없는 지표는 사소한 것에 불과합니다. 심각도와 자산의 중요도에 따라 마감 기한을 정하고, 전체적인 평균치를 쫓기보다는 해당 기한을 기준으로 준수 여부를 측정하십시오.
계층을 구체적으로 정의하십시오. 인터넷에 노출되거나 데이터를 처리하는 시스템에는 가장 엄격한 SLA를 적용하고, 내부 저가치 자산에는 덜 엄격한 SLA를 적용합니다. 이렇게 하면 팀이 공개 API 게이트웨이와 아무도 접속하지 않는 테스트 서버에 똑같은 노력을 쏟는 것을 방지할 수 있으며, 집계된 수치가 실제로 중요한 자산을 가리지 않게 되므로 보고의 정확성을 높일 수 있습니다.
MTTP를 줄이기 위한 모범 사례
MTTP를 단축하려면 패치 배포와 패치 적용 사이의 마찰을 제거해야 합니다. 재부팅 의존성을 없애면 가능한 모든 곳에서 지연의 주요 원인을 제거할 수 있으며, 이것이 바로 커널과 공유 라이브러리에 대한 라이브 패치 적용이 제공하는 이점입니다. 저위험 패치를 사전 승인하면 일상적인 업데이트가 변경 알림 대기열에 아예 포함되지 않게 됩니다. 광범위한 배포에 앞서 카나리아 그룹을 통해 단계적으로 배포하면, 테스트되지 않은 패치로 인해 프로덕션 환경을 위험에 빠뜨리지 않고도 신속하게 대응할 수 있습니다. 보유한 자산을 최신 상태로 파악해 두는 것은 매우 중요합니다. 소유하고 있는지조차 모르는 자산에는 신속하게 패치를 적용할 수 없기 때문입니다. 또한 실제 위험을 기준으로 우선순위를 정하면, 이미 악용된 것으로 알려져 있거나 악용될 가능성이 매우 높은 취약점에 가장 신속하게 대응할 수 있습니다.
기본 대응 방식을 신중하게 결정하십시오. 짧은 유지보수 시간을 감당할 수 있다면, 엄격한 SLA를 적용하는 기존의 패치 방식으로도 충분합니다. 반면, 워크로드가 가동 중단을 감당할 수 없다면, 라이브 패치 은 가용성이 높은 클러스터 전반에 걸친 롤링 재시작과 같은 옵션과 더불어, 유지보수 창을 기다리지 않고도 공격적인 MTTP 목표를 달성하는 가장 효과적인 방법 중 하나입니다.
TuxCare를 통해 취약점 관리 강화하기
지표는 문제점을 보여줍니다. 탐지와 보호 사이의 격차를 좁히는 것이 더 어려운 부분이며, 이는 대개 운영에 지장을 주지 않으면서 얼마나 빠르게 패치를 적용할 수 있는지에 달려 있습니다.
그것이 바로 격차입니다 TuxCare의 KernelCare 와 LibCare 는 보안 패치가 공개된 후 실행 중인 시스템에서 해당 패치가 적용되기까지의 지연 시간을 단축함으로써 그 격차를 해소합니다. ‘끝없는 라이프사이클 지원’ 는 벤더의 지원이 종료된 후에도 취약점 패치를 지속적으로 제공함으로써, 업스트림 수정 사항이 더 이상 존재하지 않을 때 어떻게 해야 할지라는 또 다른 공백을 해결합니다.
재부팅하기 어려운 시스템에서 가장 나쁜 지표가 MTTP라면, 바로 그게 문제입니다 TuxCare 가 해결하고자 하는 핵심 문제입니다.
자주 묻는 질문
MTTR은 일반적으로 가장 유용한 단일 지표입니다. 이는 단일 단계가 아닌, 탐지부터 분류, 해결에 이르는 전체 대응 과정을 포괄하기 때문입니다. 하지만 탐지율 및 커버리지와 함께 종합적으로 살펴봐야 합니다. 취약점이 늦게 발견되거나, 인프라의 상당 부분이 아예 스캔 대상에서 제외된다면 낮은 MTTR도 별 도움이 되지 않습니다.
취약점 관리 지표는 패치, 구성 변경, 제거에 걸친 탐지, 우선순위 지정, 수정 등 전체 위험 수명 주기를 측정합니다. 반면 패치 관리 지표는 그 범위가 더 좁아, 단순히 업데이트를 배포하는 데에만 초점을 맞춥니다. 패치 적용은 취약점 관리의 한 수단일 뿐, 취약점 관리의 전부는 아닙니다.
MTTP 및 스캔 커버리지와 같은 운영 지표는 일반적으로 매주 검토되며, 경영진을 위한 월간 또는 분기별 추세 보고서가 작성됩니다. 사고가 발생 중이거나 주요 릴리스가 진행된 후에는 검토 빈도를 높여야 합니다. 검토 주기는 해당 수치가 실제로 변화하는 속도에 맞춰져야 합니다.
5~8개는 실용적인 출발점입니다. 이 정도면 속도, 커버리지, 위험 현황을 충분히 파악할 수 있으면서도, 아무도 보지 않는 대시보드에 파묻히지 않을 수 있습니다. 특정 지표가 의사 결정에 전혀 영향을 미치지 않는다면, 과감히 제외하십시오. 추적하는 모든 수치는 구체적인 조치로 이어져야 합니다.





