취약점 심각도 점수

CVSS는 소프트웨어 취약점의 심각도를 0에서 10 사이 숫자로 표준화해 나타내는 채점 체계이다. 공격 난이도, 필요 권한, 영향 범위 같은 요소를 조합해 계산하므로 서로 다른 취약점을 비교하고 대응 우선순위를 정하는 데 널리 쓰인다. 다만 이 점수는 해당 소프트웨어가 실제로 어떤 환경에서 어떻게 배포되는지는 반영하지 못한다. 예를 들어 점수가 높아도 외부에 노출되지 않고 내부망에서만 접근 가능한 시스템이라면 실질 위험은 낮을 수 있고, 반대로 점수가 낮아도 다른 취약점과 결합하면 심각한 피해로 이어질 수 있다. 그래서 점수만으로 조치 여부를 판단하기보다 실제 노출 여부와 업무 맥락을 함께 고려해야 한다는 지적이 많다.