CISA, 악용 카탈로그에 Ivanti 취약점 2건 추가

CISA는 2026년 10월 30일 Ivanti Connect Secure 취약점 2건을 Known Exploited Vulnerabilities Catalog에 추가하며, 노출된 조직에 대한 대응 압박을 높였다. 독립적으로 확인 가능한 캐나다 정부 권고문에 따르면, 이번 CISA Ivanti vulnerabilities 업데이트는 CVE-2026-111357 및 CVE-2026-118527과 관련된다. 이 취약점들이 포함되면서, 단순히 평가를 기다리는 이론적 위험이 아닌 운영상 우선순위로 다뤄야 할 보안 결함이 됐다.

Known Exploited Vulnerabilities Catalog, 즉 KEV는 실제 악용 증거가 있는 취약점을 식별한다. 그 실질적 의미는 기술적 결함 목록을 넘어선다. 보안팀은 각 항목을 운영 중인 장비, 적용 가능한 수정 조치, 그리고 조치 이전에 발생한 일을 보여 주는 증거와 연결해야 한다.

여기서 핵심적인 긴장이 발생한다. 지원되는 소프트웨어 구성으로 복구하는 일과 어플라이언스가 침해됐는지 확인하는 일에는 서로 다른 증거가 필요하다. Ivanti 및 SonicWall 원격 액세스 어플라이언스와 관련된 연구는 이러한 구분이 중요한 이유를 보여 준다. 기업 구매자와 연방 보안팀이 즉시 답해야 할 질문은 대응이 노출과 잠재적 침입 모두를 다루고 있는지다.

CISA Ivanti vulnerabilities 업데이트로 달라지는 점

10월 30일 추가 조치는 이 취약점들의 우선순위를 높이지만, 영향을 받은 모든 조직에서 침해가 발생했다는 뜻은 아니다.

Canadian Centre for Cyber Security는 CISA가 10월 30일 두 식별자를 모두 추가했다고 명시적으로 확인했다. 업데이트된 Ivanti 보안 권고문은 제공된 브리프에서 설명한 사건에 대한 독립적인 정부 차원의 근거를 제공한다.

같은 권고문에는 10월 13일 CVE-2026-104935와 관련해 앞서 카탈로그에 추가된 기록도 담겨 있다. 최신 항목이 기존 Connect Secure 취약점 대응 과정에서 추가됐기 때문에 이 시간 순서는 중요하다. 따라서 조직은 이전 작업이 새로 식별된 문제까지 다뤘는지 평가해야 한다.

기존 유지보수 티켓만으로는 이 질문에 답할 수 없다. 해당 작업은 이전 권고문, 특정 소프트웨어 분기 또는 좁게 정의된 취약점만 다뤘을 수 있다. 중요한 비교 대상은 완료된 작업과 설치된 제품에 대한 현재 요구사항이다.

제공된 CISA 브리프는 CVE-2026-111357을 중요 기능에 대한 인증 누락으로 설명한다. CVE-2026-118527은 예측 가능한 숫자 또는 식별자 생성으로 설명한다. 이러한 설명은 취약성 범주를 식별하지만, 동일한 전제조건, 영향 또는 수정 조치를 의미하지는 않는다.

독자는 취약점 공개와 카탈로그 등재도 구분해야 한다. 공개는 결함에 관한 정보를 알리는 일이다. KEV 추가는 또 다른 의사결정 신호를 제공한다. 실제 악용 증거가 이 사안을 순전히 가설적인 공격 시나리오 이상으로 끌어올렸다는 의미다.

이러한 구분은 카탈로그 업데이트 후 조직이 기존 취약점 평가를 다시 열 수 있는 이유를 설명한다. 설치된 소프트웨어는 그대로일 수 있지만, 위험 평가를 뒷받침하는 증거는 더 긴급해질 수 있다. 운영상 우선순위는 두 조건 모두에 좌우된다.

이번 업데이트는 영향을 받은 고객 수에 관한 방어 가능한 수치를 제공하지 않는다. 도달 가능한 모든 어플라이언스가 공격받았다는 점도 입증하지 않는다. 그런 결론을 보도하는 것은 악용이 존재한다는 증거와 그 확산 정도에 대한 증거를 혼동하는 일이다.

보안 책임자에게 유용한 해석은 더 좁고 실행 가능하다. 영향을 받은 배포 환경은 실제 노출 수준과 최신 지침을 바탕으로 주의를 기울일 필요가 있다. 이후 조사 담당자는 침해 여부에 대한 결론을 내리기 전에 별도의 증거를 확보해야 한다.

CISA Ivanti vulnerabilities 업데이트는 팀 간 조율 문제도 만든다. 네트워크 운영팀이 어플라이언스를 담당하는 반면, 신원 관리자는 연결된 계정을 통제할 수 있다. 사고 대응팀과 컴플라이언스 담당자는 대응의 다른 부분을 맡을 수 있다.

카탈로그 항목은 이러한 책임이 특정 자산과 연결될 때 유용해진다. 그 연결이 없으면 조직은 경고를 받았을 뿐, 누가 조치해야 하는지는 확정하지 못한 상태다. 따라서 즉각적인 변화는 기술적이면서 동시에 조직적이다.

연방 요구사항은 우선순위를 소유권 문제로 바꾼다

연방 기관에는 대응 의무가 적용되는 반면, 다른 조직에는 자동적인 연방 명령이 아닌 관련 위험 신호가 제공된다.

CISA는 2026년 6월 10일 “Prioritizing Security Updates Based on Risk”라는 제목의 Binding Operational Directive 26-04를 발표했다. Binding Operational Directive는 적용 대상 연방 기관에 의무적인 사이버보안 요구사항을 설정한다. Ivanti를 사용하는 모든 기업에 적용되는 보편적 법적 요구사항으로 설명해서는 안 된다.

CISA의 위험 기반 보안 업데이트 발표는 이 정책의 방향을 설명한다. 우선순위는 자산 노출도, KEV 상태, 익스플로잇 자동화, 악용 이후의 기술적 영향을 고려한다. 이 발표는 기관이 패치 전에 침해 여부를 평가해야 하는 상황도 제시한다.

이러한 요인 때문에 컴플라이언스에서 소유권은 핵심이 된다. 기관은 어떤 시스템을 관리하는지, 외부인이 접근할 수 있는지, 누가 변경을 승인할 수 있는지 알아야 한다. 취약점 식별자만으로는 이런 배포 정보를 전혀 제공하지 못한다.

서비스 제공업체를 통해 운영되는 원격 액세스 장비를 보유한 기관을 생각해 보자. 제공업체는 소프트웨어를 설치할 수 있지만, 기관은 신원 통합 및 비즈니스 연속성 결정을 통제할 수 있다. 완전한 대응을 위해서는 이러한 책임이 동일한 증거를 중심으로 만날 필요가 있다.

기관은 장비의 상태에 대한 답을 필요로 한다. 제공업체에는 명확한 운영 요청이 필요하다. 양측 모두 어떤 기록이 조치 완료를 입증하고, 어떤 기록이 잠재적 침입을 다루는지 이해해야 한다.

민간 조직도 지침의 구속을 받지 않는 경우를 포함해 유사한 조율 문제에 직면한다. 공개 경고가 내부 책임을 자동으로 배분하지는 않는다. 보안 책임자는 여전히 업무를 할당하고 완료의 의미를 정의해야 한다.

그렇다고 연방 기한을 보편적인 조언으로 취급해서는 안 된다. 독자는 자신의 상황에 적용되는 요구사항을 확인하기 위해 최신 카탈로그 항목과 적용 가능한 지침을 검토해야 한다. 노출도와 기타 배포 사실이 대응 평가에 영향을 줄 수 있다.

더 넓은 정책적 함의는 취약점 관리가 기술적 심각도만으로 정렬된 대기열에 전적으로 의존할 수 없다는 점이다. 이러한 대기열은 결함을 설명하지만, 해당 결함이 호스팅되는 자산의 중요성을 반드시 포착하지는 못한다. 실제 악용 증거는 이 계산을 바꾼다.

외부에서 접근 가능한 원격 액세스 어플라이언스는 격리된 테스트 시스템과도 다른 운영 환경을 갖는다. 둘 다 영향을 받는 소프트웨어를 실행할 수 있지만, 접근성 및 업무 기능은 다르다. 동일하게 취급하면 우선순위와 관련된 정보를 버리게 된다.

여기에는 운영상 절충이 있다. 긴급 변경은 액세스를 방해할 수 있고, 지연은 공격 기회를 남긴다. 책임 있는 의사결정에는 두 위험에 대한 문서화된 이해가 필요하다. 일반적인 유지보수 일정이나 근거 없는 긴급성 주장은 이러한 판단을 해결하지 못한다.

경영진에게 의미 있는 상태 보고는 취약점을 책임자, 노출된 자산, 검증된 대응 조치와 연결한다. “팀이 권고문을 검토 중입니다”는 활동을 설명할 뿐이다. 조직에 남은 노출 수준을 입증하지는 않는다.

소프트웨어 수정으로 사고 여부가 해결되지는 않는 이유

검증된 업데이트는 소프트웨어 상태를 해결하고, 조사는 공격자가 이미 무엇을 했을 수 있는지를 다룬다.

이 구분은 CISA Ivanti vulnerabilities 업데이트가 가져온 가장 중요한 분석적 결과다. 조직은 필요한 소프트웨어 변경을 완료했더라도 이전 활동에 관한 증거가 부족할 수 있다. 두 책임은 연관돼 있지만 완료 기준은 다르다.

Volexity의 10월 조사는 Connect Secure를 상대로 여러 취약점을 결합한 공격을 설명한다. 익스플로잇 체인은 여러 취약점을 결합해 공격자가 단일 결함만으로는 얻을 수 없는 결과를 달성하게 한다. 해당 연쇄 악용 분석은 무단 실행과 그에 이은 민감한 정보 접근을 보고한다.

연구진은 메모리 내 활동과 증거 제거 시도도 설명한다. 조사된 사례에서 파일 무결성 검사가 침해 부재를 입증하지 못했다고 경고한다. 10월 29일 업데이트에 따르면 Ivanti는 CVE-2026-111357용 패치를 공개했다.

이러한 결과는 제한적이지만 중요한 결론을 뒷받침한다. 성공적인 소프트웨어 업데이트와 깨끗한 파일 검사를 서로 대체 가능한 증거로 취급해서는 안 된다. 각각은 시스템에 관한 특정 질문에 답한다.

업데이트는 지정된 릴리스가 설치됐음을 보여 줄 수 있다. 파일 검사는 특정한 예상치 못한 변경을 드러낼 수 있다. 그러나 어느 결과도 이전 액세스를 자동으로 재구성하거나, 자격 증명 유출 여부를 확정하거나, 탐지 범위 밖의 활동을 설명하지는 못한다.

이는 조직 내부에 보고 과제를 만든다. 유지보수팀은 명확한 완료 상태가 필요한 경우가 많지만, 조사 담당자는 불확실성과 불완전한 기록을 다룬다. 이들의 업무를 하나의 종결된 티켓으로 합치면 미해결 질문이 가려질 수 있다.

더 나은 평가는 조치 상태와 조사 상태의 구분을 유지한다. 이 분리는 관리자가 완료된 작업을 인정하면서도 남은 노출에 대한 가시성을 유지할 수 있게 한다. 또한 기술적 불확실성이 행정적 종결 속으로 사라지는 것을 막는다.

기업 신원 서비스에 연결된 원격 액세스 어플라이언스를 생각해 보자. 소프트웨어 업데이트가 필요하다면 유지보수 목표는 설치된 제품에 관한 것이다. 무단 액세스 증거가 있다면 조사는 해당 연결을 통해 접근 가능한 정보와 권한으로 확대된다.

따라서 결과는 배포 환경에 따라 달라진다. 계정 권한, 어플라이언스의 네트워크 위치, 사용 가능한 기록은 모두 방어 가능한 평가 범위에 영향을 준다. 카탈로그 추가만으로는 조직 외부에서 그러한 사실을 결정할 수 없다.

그렇다고 연결된 모든 신원이 침해됐다고 가정할 근거가 생기는 것은 아니다. 그런 주장은 이용 가능한 증거를 넘어선다. 다만 소프트웨어 업데이트가 이전 노출에 관한 모든 질문을 해결한다는 반대 가정 역시 받아들여서는 안 된다.

비즈니스 리더에게 이 절충은 속도와 확신의 문제다. 일상적인 운영을 복구하는 일은 중요하지만, 복구 선언에는 그 주장에 적합한 증거가 필요하다. 유지보수 결과는 유지보수에 관한 결론을 뒷받침해야 한다.

더 넓은 교훈은 보증의 품질에 관한 것이다. 조직은 자신의 증거가 무엇을 입증하고, 무엇을 미해결로 남기며, 누가 남은 업무를 맡는지 알아야 한다. 이는 정의된 범위 없는 안심시키는 상태 라벨보다 더 유용하다.

SonicWall은 맥락을 제공할 뿐, 귀속 판단의 지름길은 아니다

유사한 원격 액세스 사고는 관련 패턴을 보여 주지만, 동일한 노출이나 같은 공격자를 입증하지는 않는다.

Ivanti만이 원격 액세스 어플라이언스를 대상으로 한 정밀한 악용 연구의 대상이 된 벤더는 아니다. Volexity는 7월 SonicWall Secure Mobile Access 장치와 관련된 조사 결과를 발표했다. 이는 이 유형의 장비를 평가하는 기업 구매자에게 의미 있는 비교 기준을 제공한다.

해당 SonicWall 악용 조사는 이전에 알려지지 않았던 여러 취약점이 관여한 침해 사례를 설명한다. 연구진은 조사 과정에서 로그, 디스크 이미지, 메모리를 활용했다. 이 비교는 제품이 취약점을 공유한다는 주장이 아니라 조사 및 아키텍처 측면의 과제를 다룬다.

원격 액세스 어플라이언스는 비즈니스 측면에서 민감한 위치를 차지한다. 네트워크 경계를 넘는 액세스를 가능하게 하며, 누가 들어올 수 있는지 결정하는 과정에 관여한다. 그 중요성은 특정 벤더의 시장 지위가 아니라 이러한 역할에서 비롯된다.

이 역할 때문에 조달 비교는 기능을 세는 일보다 더 까다롭다. 구매자는 제품이 조사, 소프트웨어 유지보수, 통제된 복구를 어떻게 지원하는지 평가해야 한다. 장치의 신뢰성에 대한 통상적인 가정이 의문시될 때 이러한 역량은 중요하다.

따라서 교체 결정은 취약점 이력과 함께 운영 요건을 검토해야 한다. 다른 벤더로 옮긴다고 해서 새 배포 환경이 더 나은 가시성을 제공하는지는 알 수 없다. 또한 기존 사고에 대한 불확실성도 해소되지 않는다.

이 비교는 지원 체계에 관한 유용한 질문을 제기한다. 어플라이언스가 예기치 않게 동작할 때 누가 관련 증거를 확보할 수 있는가? 어떤 책임은 고객에게 있고, 어떤 책임은 벤더 지원을 필요로 하는가? 권고 업데이트는 지원되는 소프트웨어 브랜치와 얼마나 명확히 연결되는가?

이는 조달 고려 사항이지, 특정 대안이 더 나은 답을 제공한다는 주장은 아니다. 공정한 벤더 평가는 최신 문서와 배포 환경별 증거를 필요로 한다. 사고 사례만으로 경쟁 제품 간 순위를 정할 수는 없다.

조직은 유사한 공격 패턴을 공격자 귀속으로 해석하는 것도 피해야 한다. 귀속은 작전을 수행한 개인이나 집단을 식별하는 일이다. 유사한 표적, 기법 또는 제품 범주만으로는 그러한 연결이 성립하지 않는다.

동일한 주의는 캠페인 규모에도 적용된다. 공개 연구는 영향을 받은 조직의 총수를 밝히지 않고도 사고 발생 사실을 입증할 수 있다. 상세한 사례 연구는 가치 있는 증거이지만, 자동으로 시장 전체의 측정치가 되는 것은 아니다.

기업 구매자에게 가장 강력한 결론은 예기치 못한 실패 이후의 복원력에 관한 것이다. 보안 제품은 자체 통제 기능이 조사의 대상이 될 때 조직의 대응을 지원해야 한다. 이 요건은 구매 및 운영 계획에 포함되어야 한다.

따라서 CISA Ivanti 취약점 이야기는 특정 어플라이언스 선택을 넘어선다. 이는 조직이 액세스 인프라를 검증하는 방식에 대한 가정에 압박을 가한다. 관련 비교 기준은 각 배포 환경이 불확실성 속에서도 방어 가능한 의사결정을 얼마나 잘 지원하는가이다.

현재 उपलब्ध 증거로도 아직 확인할 수 없는 사항

검증된 카탈로그 추가는 긴급성을 뒷받침하지만, 중요한 기술적·운영상 세부 사항은 여전히 최신의 권위 있는 확인이 필요하다.

캐나다 정부 권고문은 사건을 뒷받침하고 두 취약점 번호를 모두 식별한다. 그러나 통합된 버전 정보가 각각의 개별 결함에 대한 수정 매트릭스로 모든 경우에 가정되어서는 안 된다. 독자는 정확한 배포 환경에 맞는 제품별 지침이 필요하다.

이번 검토 기간에는 원래의 CISA 경보와 Ivanti 권고문에 직접 접근할 수 없었다. 이러한 접근 제한이 해당 내용의 사실성을 부정하는 것은 아니다. 다만 이 분석이 독립적으로 확인할 수 있는 세부 주장에는 한계가 있다.

적절한 대응은 그 경계를 명확히 밝히는 것이다. 이 글은 두 취약점 모두에 대해 보편적으로 안전한 릴리스를 식별하지 않는다. 또한 지원되는 모든 소프트웨어 브랜치에서 특정 완화 조치가 충분하다고 인증하지도 않는다.

취약점 설명은 또 다른 혼란의 원인이 될 수 있다. 카탈로그 제목은 취약점 범주를 요약하는 반면, 기술 조사는 특정 사례에서 관찰된 동작을 설명한다. 표현의 차이는 어느 한 설명이 누락된 모든 세부 사항을 제공한다고 가정하기보다 신중한 해석을 요구한다.

식별자는 이러한 기록을 대조하는 기준점으로 남는다. 관리자는 제품 및 설치된 릴리스와 함께 해당 식별자와 연결된 최신 권고문을 확인해야 한다. 유사한 제목만으로는 지침이 적용된다는 충분한 증거가 아니다.

여기서 검토한 공개 증거 역시 완전한 피해자 수를 확정하지 않는다. 또한 모든 Ivanti 고객이 동일한 노출에 직면한다는 주장을 뒷받침하지 않는다. 제품 존재 여부, 네트워크 접근성, 설치된 소프트웨어, 조사 결과는 별도의 고려 사항으로 유지되어야 한다.

특정 점검이 관련된 모든 침해를 탐지할 것이라고 보장할 근거도 없다. 탐지는 해당 방법이 무엇을 검사하는지와 어떤 증거가 남아 있는지에 달려 있다. 발견 사항이 없다는 사실은 이러한 한계 안에서 해석되어야 한다.

이 불확실성은 대응을 마비시키기보다 소통 방식을 형성해야 한다. 보안 팀은 이전 활동을 계속 조사하면서 소프트웨어 상태를 검증했다고 보고할 수 있다. 이 설명은 두 질문을 정의되지 않은 안전 선언으로 합치는 것보다 유용하다.

이 단계에서는 여러 문서가 대응 과정에서 변경될 수 있으므로 지식 관리가 중요하다. 팀은 의사결정의 근거가 된 권고문 버전과 이를 뒷받침하는 증거를 보존해야 한다. 검색 가능한 기술 지식 베이스는 동료가 그 맥락을 다시 찾는 데 도움을 줄 수 있다.

문서화는 대응을 지원하지만 기술적 검증을 대체할 수는 없다. 잘 정리된 기록에도 정확한 입력과 책임 있는 검토자가 필요하다. 그 가치는 업무를 계속해야 하는 사람들이 추론 과정을 확인할 수 있게 하는 데 있다.

핵심적인 회의적 질문은 조직의 자신감이 증거를 앞서고 있는지 여부다. 이는 보편적인 침해를 주장하는 경보주의적 주장과 완전한 복구를 주장하는 안심시키는 주장 모두에 똑같이 적용된다. 근거 사실이 더 제한적인 상태라면 두 주장 모두 면밀한 검토가 필요하다.

따라서 CISA Ivanti 취약점을 추적하는 독자에게 정확성은 대응의 일부다. 검증된 추가 사항, 벤더 지침, 배포 환경 조사 결과는 서로 다른 의미를 가져야 한다. 이러한 의미를 명확히 구분하면 이후의 결정을 더 쉽게 평가할 수 있다.

대응이 작동하는지 보여줄 세 가지 신호

다음으로 의미 있는 전개는 완화 조치의 명확성, 조사 결과, 그리고 독립적으로 검증된 노출 감소와 관련된다.

첫 번째 신호는 더 명확한 제품별 지침이다. 각 취약점을 영향받는 브랜치, 수정된 릴리스, 필요한 추가 조치에 명시적으로 연결하는 권고 업데이트를 주시해야 한다. 이는 중복된 공지를 대조하는 관리자가 마주한 불확실성을 줄일 것이다.

더 명확한 지침은 조직이 필요한 소프트웨어 대응을 정의하고 검증할 수 있다는 신뢰를 강화할 것이다. 지속되는 모호성은 특히 기존 유지보수 기록이 이전 권고문만 다루는 경우 그 신뢰를 약화시킬 것이다. 유용한 진전은 또 하나의 일반 경고가 아니라 정확한 매핑이다.

독자는 새로 공개된 지침과 그것이 이행되었다는 증거도 구분해야 한다. 문서는 행동을 가능하게 하지만, 배포 검증은 그 결과로 나타난 시스템 상태를 확립한다. 후속 보도에서는 이 단계들을 별도로 다룰 가치가 있다.

두 번째 신호는 추가 조사 증거다. 악용 범위, 신뢰할 수 있는 발견 사항, 사용 가능한 탐지 방법의 한계를 설명하는 권위 있는 업데이트를 주시해야 한다. 이러한 보도는 조직이 조사 가정이 여전히 적절한지 평가하는 데 도움이 될 것이다.

성공한 공격에 대한 더 광범위한 증거는 영향을 받는 배포 환경 전반에서 이전 노출을 검토해야 한다는 근거를 강화할 것이다. 공격의 전제 조건을 좁히는 증거는 그 평가를 더 정교하게 만들 것이다. 어느 결과도 조직 장비에 관한 구체적 사실을 무시할 근거가 되지는 않는다.

조사 업데이트는 무엇이 여전히 알려지지 않았는지도 명확히 해야 한다. 투명한 한계 설명은 독자가 관찰된 기법과 검증되지 않은 가능성을 구분하는 데 도움을 준다. 특히 보고서가 일상적인 유지보수 점검으로 놓칠 수 있는 동작을 설명할 때 중요하다.

세 번째 신호는 영향을 받은 조직 내부에서 검증된 진전이다. 관련 증거에는 검증된 소프트웨어 상태, 해결된 조사 질문, 식별된 모든 하류 영향에 대한 문서화된 처리 등이 포함된다. 범위가 불분명하다면 종결된 티켓 수는 충분한 확신을 주지 못한다.

대상 기관의 경우 이러한 진전은 적용 가능한 연방 요건과 일치해야 한다. 다른 조직도 연방 의무를 보편적 규칙으로 간주하지 않으면서 같은 증거 범주를 사용해 대응을 평가할 수 있다. 목표는 남은 위험을 정확히 설명하는 것이다.

이 신호들은 이 이야기의 핵심 판단을 검증한다. 10월 추가 사항이 중요한 이유는 악용 증거가 우선순위를 바꾸기 때문이며, 운영상 신뢰는 그 뒤따르는 작업에 달려 있다. 향후 업데이트는 이 관계를 기준으로 평가되어야 한다.

CISA Ivanti 취약점 업데이트는 최신 기록과 현지 사실에 근거한 대응을 필요로 한다. 담당 팀에 어떤 배포 자산이 권고문과 일치하는지, 어떤 지침을 따랐는지, 결과를 어떻게 검증했는지 물어야 한다. 이어서 이전 노출에 대한 평가를 뒷받침하는 증거가 무엇인지 질문해야 한다. 미해결 질문을 계속 드러내고 각각의 담당자를 지정하며, 중요한 결정의 근거가 된 출처를 보존해야 한다. 권위 있는 지침이 변경되면 그러한 결정을 다시 검토해야 한다. 이 이야기를 추적하는 독자라면 수정 사항을 명확히 하거나, 악용을 문서화하거나, 복구 증거를 확립하는 업데이트를 우선시해야 한다. 그러한 전개는 취약점 이름을 반복하는 것보다 대응에 대해 더 많은 사실을 보여줄 것이다. 완료 보고서를 받아들이기 전에 그 증거가 해당 보고서가 해결한다고 주장하는 질문에 답하는지 물어야 한다.