용어와 정의

영문 또는 원어: SSVC

영문 정식명칭: Stakeholder-Specific Vulnerability Categorization

한글명: 이해관계자별 취약점 분류

이해관계자별 취약점 분류는 조직의 역할과 업무 영향을 반영하여 취약점 대응 결정을 돕는 의사결정 체계입니다.

정확한 의미와 원리

취약점의 기술적 심각도만 보지 않고 악용 상태와 노출 및 업무상 영향 등 해당 모델이 정한 입력을 사용합니다. 공급자와 운영자가 내려야 할 결정은 다를 수 있어 사용할 모델과 입력 근거를 명확히 해야 합니다.

같은 취약점이라도 인터넷에 노출된 핵심 업무 시스템과 분리된 시험 환경의 대응 우선순위가 달라질 수 있습니다. 점수만 비교하는 대신 정한 결정 기준과 근거를 남기는 데 활용합니다.

공통 취약점 점수는 취약점의 특성을 평가하는 데 사용합니다. 이 체계는 이해관계자 관점의 행동 결정을 돕기 때문에 단일 숫자 점수의 다른 이름이 아닙니다.

결정 트리와 결정 표 등 모델 표현 및 지원 도구는 발전합니다. 오래된 한 모델의 항목과 행동을 모든 조직에 그대로 적용하는 보편 규칙으로 보지 않습니다.

취약점 대응 우선순위와 행동 기준을 정리할 때 사용합니다. 선택한 모델, 판정 시점과 입력 근거 및 재검토 조건을 기록해야 합니다.

악용 상태나 업무 영향을 확인하지 못했다면 미확인으로 남겨야 합니다. 체계를 사용한다는 이유로 조치가 자동 완료되거나 위험이 제거되지는 않습니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26