7장 취약점 숫자를 배포 결정으로 번역한다

CVSS가 높다고 모든 환경에서 즉시 exploit되는 것은 아니고, 낮다고 무시할 수도 없다. component가 runtime에 포함되는지, vulnerable function에 도달하는지, 외부에 노출되는지, 알려진 exploit이 있는지, 보완 통제가 있는지를 함께 본다.

실습 policy는 단순히 CVSS 7 이상을 block한다. 학습용 시작점일 뿐 운영 policy는 다음 context를 추가한다.

severity + exploit maturity + reachability + runtime exposure
+ data sensitivity + fix availability + business deadline

exception에는 만료일이 필요하다.

exception_id: SEC-2026-041
component: example@1.2.3
reason: fixed version breaks required protocol
compensating_control: endpoint disabled and network restricted
owner: team-support
expires_at: 2026-09-01

만료 없는 allowlist는 영구 우회로가 된다. exception이 만료되면 build가 자동 실패하거나 재승인을 요구한다.