지속적 위협 노출 관리(CTEM)란 무엇인가요?

Gartner는 2020년대 초 CTEM 개념을 소개하면서 위험 관리를 간소화하고 더욱 체계적으로 수행하기 위한 5단계 프로세스(범위 설정, 발견, 우선순위 지정, 검증, 실행)를 제시했습니다.

CTEM은 위협을 식별하고 점수를 매기며 우선순위를 지정하는 기본적인 방식인 취약점 관리를 발전시킨 개념입니다. CTEM은 고도화된 우선순위 지정 및 검증 기능을 통해 기존 취약점 관리를 보완하여, 조직이 특정 시점에서 가장 위험한 위협을 정확하게 식별할 수 있도록 지원합니다. CTEM은 IT 에코시스템을 지속적으로 모니터링하고 비즈니스 우선순위에 맞춰 대응 작업의 우선순위를 지정합니다. 

CTEM의 목표는 조직의 리소스를 현재 환경에 가장 현실적이고 즉각적인 위협이 되는 사이버 위험에 집중하여 선제적인 보안을 구현하는 것입니다. 이를 통해 CTEM은 경고 피로도를 줄이고 평균 복구 시간(MTTR)을 단축하는 데 도움을 줄 수 있습니다.

최근 컴퓨팅 기술의 발전으로 인해 선제적인 보안 접근 방식의 중요성이 그 어느 때보다 커지고 있습니다. Gartner의 애널리스트들은 2026년 5월¹ Anthropic의 Claude Mythos Preview와 Project Glasswing에는 효과적인 CTEM이 "필수적"이라고 밝혔습니다. 마찬가지로 IDC의 2026년 3월 보고서²에서는 지속적인 CTEM 프로세스가 포스트 양자 암호화에 대비하는 데 핵심적인 역할을 할 것이라고 설명합니다.

CTEM 프레임워크는 범위 설정, 발견, 우선순위 지정, 검증, 실행의 5가지 핵심 단계로 구성됩니다.

범위 설정은 IT 인프라의 어떤 요소를 CTEM에 포함할지 결정하는 과정입니다.

CTEM 프로그램에는 클라우드 환경, 온프레미스 데이터 스토리지, 타사 구성 요소 또는 이들을 조합한 환경이 포함될 수 있습니다. 관리 대상에 어떤 요소를 포함할지, 그리고 구체적으로 무엇을 관리할지를 결정하는 것은 CTEM이 비즈니스 성과를 창출하도록 하는 데 가장 중요한 단계라고 할 수 있습니다.

보안팀은 먼저 자산 목록을 작성하고, 비즈니스 운영에 핵심적인 이른바 '핵심 자산(crown jewels)'을 식별하는 것부터 시작합니다. 그런 다음 공격 표면을 종합적으로 매핑합니다. 여기에는 인터넷에 노출된 자산과 클라우드 자산을 통한 침투 경로, 위협이 확산될 수 있는 내부 연결, 취약할 수 있는 타사 연결 지점, 그리고 피싱 및 사회공학 공격 가능성이 포함됩니다.

범위 설정 과정의 결과물은 비즈니스 핵심 자산 목록과 각 자산의 공격 표면을 나타낸 매핑 정보입니다. 이 정보는 이후 CTEM 프로세스 전반의 기준이 됩니다.

범위 설정은 일반적으로 클라우드 마이그레이션이나 신규 공급업체 추가와 같은 큰 환경 변화가 발생하거나 비즈니스 환경이 변경될 때 다시 수행됩니다.

발견은 IT 환경에 대한 위협 정보를 수집하는 과정입니다. CTEM에서 이 단계의 가장 중요한 특징은 지속적으로 수행된다는 점입니다. 보안팀은 자동화된 취약점 스캐닝 툴을 사용하여 CTEM 대상 환경의 기존 취약점과 잠재적인 공격 경로를 지속적으로 평가합니다.

CTEM 팀은 범위에 포함된 모든 자산을 종합적으로 스캔하기 위해 다양한 툴을 사용합니다. 대표적인 툴로는 동적 애플리케이션 보안 테스트(DAST), 소프트웨어 구성 분석(SCA), 공격 표면 관리(ASM), ID 위협 탐지 및 대응(ITDR)을 비롯한 다양한 자동화 보안 툴이 있습니다.

지속적인 취약점 스캐닝을 통해 공격 표면 중 어떤 부분이 가장 취약하며 CTEM에서 우선적으로 관리해야 하는지가 드러나므로, 발견 단계의 결과는 다시 범위 설정 단계에 반영되는 경우가 많습니다.

공격 표면을 정의하고 스캔한 후에는 CTEM 팀이 어떤 위협에 어떤 순서로 대응할지 결정합니다. 

CTEM은 기존의 많은 보안 위험 점수 산정 방식보다 더욱 세분화된 우선순위 지정 방식을 적용하여, 위험도가 가장 높고 비즈니스 성과에 가장 큰 영향을 미치는 대상에 집중합니다. 

CTEM에서 일반적으로 사용하는 우선순위 지정 기준은 다음과 같습니다. 

• 악용 가능성: 공격자가 해당 취약점을 얼마나 쉽게 악용할 수 있는지입니다. 
  
  
• 중요도: 취약한 요소가 비즈니스 운영에 얼마나 중요한지를 의미합니다. 
  
  
• 맥락: 자산이 환경 내 다른 요소와 어떻게 연결되어 있는지를 의미합니다. 맥락을 고려한 우선순위 지정에는 일반적으로 공식적인 공격 경로 분석이 포함되며, 이를 통해 취약점에서 핵심 자산까지 이어지는 공격 경로가 어떻게 형성될 수 있는지를 파악합니다.  
  
  
• 인텔리전스: 해커에게 이미 알려져 있으며 실제 공격에 악용될 가능성이 가장 높은 취약점에 관한 정보. 

우선순위 지정의 목표는 CTEM 프로젝트 범위에 포함된 모든 요소를 대상으로 계층화된 취약점 우선순위 목록을 만드는 것입니다. 

검증은 CTEM을 기존 취약점 관리와 구분하는 핵심 단계입니다. 이 단계에서는 식별된 취약점이 실제 환경에서 실제로 악용 가능한지를 확인합니다.

취약점을 검증하면 보안팀은 해당 노출 지점에 실제로 접근 가능한지, 현재 네트워크 환경에서 악용이 가능한지, 기존 보안 조치만으로 충분히 보호할 수 있는지, 그리고 악용될 경우 어떤 피해가 발생할 수 있는지를 판단할 수 있습니다.

취약점을 검증하기 위해 보안팀은 실제 환경을 가정한 사이버 공격 시뮬레이션을 수행하는 경우가 많습니다. 시뮬레이션은 레드팀이 수동으로 수행하거나, 자동화된 침투 테스트 툴을 사용하거나, 두 방식을 함께 활용하여 수행할 수 있습니다.

실행은 조직이 CTEM의 이전 단계에서 얻은 인사이트를 바탕으로 실제 조치를 수행하는 단계입니다.

보안팀은 각 취약점에 대해 새로운 보안 제어, 특정 패치 버전, 구성 변경, 영향을 받을 수 있는 종속성에 대한 조치 사항 등을 포함한 구체적인 대응 방안을 제시합니다. 노출된 자격 증명, 열린 포트, 단순한 구성 오류와 같이 명확하게 정의된 저위험 취약점은 간단한 자동화를 통해 해결할 수 있습니다.

보안팀은 이러한 취약점의 대응 우선순위를 정한 이유를 설명하고, 각 취약점 담당 팀의 워크플로에 수정 작업이 통합되도록 지원합니다. 이 단계에서는 조직 전반의 협업과 커뮤니케이션이 필요하므로, CTEM은 사이버 보안 활동인 동시에 변경 관리 프로세스이기도 합니다. 

CTEM은 취약점 관리의 여러 요소를 포함하는 포괄적인 프로그램으로, 이러한 활동의 범위를 크게 확장하고 수행 빈도를 높이며 관리의 초점을 더욱 명확하게 합니다.

기존 취약점 관리 워크플로는 CTEM의 핵심 워크플로와 다소 차이가 있습니다. 취약점 관리의 단계는 다음과 같습니다.

1. 발견: 취약점 평가를 통해 보안 취약점을 식별하고 평가하며, 잠재적인 영향을 보고합니다.
   
   
2. 분류 및 우선순위 지정: 취약점 관리 툴은 Common Vulnerabilities and Exposures(CVE) 목록과 같은 위협 인텔리전스 정보를 활용하여 취약점의 중요도를 평가합니다.
   
   
3. 해결: 보안팀은 취약점의 심각도에 따라 취약점을 해결하거나 위험을 완화하거나, 필요한 경우 조치를 취하지 않기로 결정합니다.
   
   
4. 재평가: 적용한 조치가 의도한 대로 효과를 발휘했는지 확인하기 위해 시스템을 다시 점검합니다.
   
   
5. 보고: 취약점 관리 과정에서 확인된 네트워크 상태를 관련 이해관계자와 공유합니다.

CTEM은 동일한 기본 원칙과 프로세스를 기반으로 하지만, 이를 고도화된 툴로 보완하고 취약점의 발견, 평가 및 대응을 비즈니스 영향과 긴밀하게 연계합니다.

결국 CTEM은 취약점 관리를 더욱 집중적이고 정교하며 비즈니스 목표에 맞게 발전시킨 접근 방식으로 볼 수 있습니다.

CTEM에서 가장 널리 사용되는 툴은 다음과 같습니다.

CTEM을 도입하면 취약점에 더 신속하게 대응할 수 있고, 보안과 비즈니스 목표를 긴밀하게 연계할 수 있으며, 조직의 공격 표면을 더욱 종합적으로 파악할 수 있습니다.

CTEM은 포괄적인 우선순위 지정 방식을 통해 오탐을 줄이고, 보안팀이 이론적인 취약점이 아니라 실제로 악용 가능한 취약점에 집중하도록 지원합니다. 또한 CTEM의 실행 단계에서 정의된 워크플로를 기반으로 팀은 신속하고 단호하게 대응할 수 있습니다. 

CTEM의 우선순위 결정은 기술적 취약성뿐만 아니라 비즈니스 위험 감소 효과도 함께 고려하므로, 조직의 보안 활동을 비즈니스 목표와 일치시키는 데 도움이 됩니다. 이러한 정렬을 통해 경영진(C-suite)에 위험을 보다 효과적으로 전달하고 필요한 보안 투자에 대한 타당성을 설명하기가 쉬워집니다.

CTEM은 지속적인 모니터링, 집중적인 범위 설정 및 철저한 검증을 통해 정적인 시점별 정보가 아닌 조직의 보안 상태를 실시간으로 파악할 수 있는 가시성을 보안팀에 제공합니다. 그 결과 보안팀은 개별 취약점뿐 아니라 IT 인프라 내 취약 지점들이 서로 어떻게 연결되어 있는지도 더욱 정확하게 이해할 수 있습니다.

CTEM 도입의 과제로는 조직 전반의 워크플로 통합, 높은 도입 비용 가능성, 그리고 대응 과정의 병목 해소 등이 있습니다.

CTEM의 범위는 매우 광범위합니다. 엔터프라이즈 전체의 공격 표면을 포괄할 뿐 아니라 IT, 비즈니스, 보안 및 DevOps를 공통의 발견, 우선순위 지정 및 대응 워크플로로 연결합니다. 또한 프로젝트 자체의 범위를 정의하는 과정도 큰 과제가 될 수 있으며, 이를 위해서는 비즈니스 목표와 자산을 철저하게 파악해야 합니다.

CTEM 워크플로는 지속적으로 실행되므로 보안 및 모니터링 툴, 서비스, 인력에 상당한 운영 비용을 투자해야 할 수 있습니다. 이러한 비용은 특히 중견 기업에 큰 부담이 될 수 있습니다.

실행 단계는 CTEM을 통해 얻은 인사이트를 실제 조치로 옮기기 위한 단계이지만, 조직 전반의 노출을 해결하려면 여러 팀 간 협업과 변경 관리 프로세스가 필요한 경우가 많습니다. 이러한 요구 사항은 CTEM 프로세스 자체의 범위를 넘어서는 경우가 많습니다.