SLA 설정
발견한 취약점을 방치하지 않으려면 "언제까지 고쳐야 하는가"를 조직 차원에서 정해 두어야 합니다. 취약점을 언제까지 조치할지 심각도별 기한(SLA) 을 정책으로 정하면, 기한을 넘긴 항목이 자동으로 부각되어 우선순위를 놓치지 않습니다.
구성
- 심각도(critical/high/medium/low)별로 조치 기한(일수)을 정합니다.
- KEV(실제 악용 중) 항목은 심각도 기한과 별개로 더 짧은 기한을 적용할 수 있습니다. 둘 중 더 엄격한 기한이 적용됩니다.
권한
- 관리자/매니저가 편집합니다.
- 멤버는 읽기 전용으로 봅니다.
활용
SLA 를 넘긴 항목은 조치 지연으로 부각되어, 무엇을 먼저 처리해야 하는지 명확해집니다. 평균 조치 시간(MTTR)은 보안 점수에서 추적합니다.