CVSS 공통 취약점 점수 체계

CVSS는 취약점의 특성과 심각도를 일관된 방식으로 표현하기 위한 점수 체계입니다.

공격 조건과 영향 등의 지표를 정해진 규칙으로 평가하고 점수 및 벡터 문자열로 나타냅니다. 조직의 자산 가치와 실제 악용 상황을 모두 포함한 최종 위험 판단은 아닙니다.

점수 옆의 버전과 벡터를 확인해 네트워크 접근이나 사용자 상호작용 같은 전제가 무엇인지 읽는 경우입니다.

CVSS 3.1과 4.0은 지표 구성과 계산 방식이 다릅니다. 같은 숫자라도 버전과 적용 지표가 다르면 직접 같은 조건으로 비교해서는 안 됩니다.

높은 점수만 순서대로 처리하기보다 외부 노출, 사용 기능과 KEV 및 업무 영향을 함께 봅니다. 버전과 벡터를 생략한 점수만으로 조치 기준을 만들지 않습니다.

이 절의 용어: CVSS 3.1 / CVSS 버전 3.1

CVSS 3.1은 기본, 시간 및 환경 지표 등을 사용해 취약점의 특성과 심각도를 표현하는 판입니다. 점수 옆의 벡터를 읽어 평가 조건을 확인해야 합니다. 4.0과 지표 및 계산 방식이 달라 숫자만으로 동일한 평가라고 비교하지 않습니다.

이 절의 용어: CVSS 4.0 / CVSS 버전 4.0

CVSS 4.0은 기본, 위협과 환경 및 보조 지표 체계로 취약점을 표현하는 판입니다. 취약 시스템과 후속 시스템의 영향 등을 구분하며 보조 지표가 점수를 직접 바꾸지는 않습니다. 사용한 지표 집합과 벡터를 명시하고 실제 조직의 위험 판단을 함께 수행합니다.