NIST, AI 시대 NVD 개편을 위한 공개 청사진 모색

NIST는 AI가 소프트웨어 취약점 발견과 악용을 가속하기 전부터 이미 어려움을 겪던 취약점 시스템을 재구축하기 위한 60일간의 의견수렴을 시작했다. Google News 헤드라인은 그 야심을 담고 있지만, 이 사안은 정부 데이터베이스에 AI 기능 하나를 추가하는 문제보다 훨씬 깊다.

National Vulnerability Database, 즉 NVD는 기본 취약점 기록을 보안팀이 우선순위 설정에 활용할 수 있는 정보로 전환한다. NIST는 이제 이 시스템을 더 자동화되고, 맥락을 반영하며, 상호운용 가능하고, 투명한 체계로 만들고자 한다. 또한 사람이 반드시 관여해야 하는 영역에 대한 공개 지침도 원한다.

이 조합은 핵심 긴장을 드러낸다. 자동화는 취약점 데이터를 더 빠르게 처리할 수 있지만, 신뢰할 수 없는 자동화는 잘못된 점수, 부정확한 제품 매칭, 안전하지 않은 복구 권고를 낳을 수 있다. 따라서 NIST는 NVD의 유용성을 가능하게 했던 신뢰를 훼손하지 않으면서 기계의 속도를 높이는 방법을 묻고 있다.

이번 의견수렴은 4개월 전 발표된 운영상 후퇴 조치에 뒤따른 것이다. 4월 NIST는 일반적으로 CVE라고 불리는 모든 Common Vulnerabilities and Exposures 기록을 즉시 보강하겠다는 약속을 중단했다. 제출 건수가 분석 역량보다 훨씬 빠르게 늘어나자 선택적 처리 방식으로 전환했다.

이는 통상적인 기술 업데이트가 아니다. NIST는 취약점 정보가 발견, 검증, 공개, 우선순위 설정, 복구에 이르는 과정을 어떻게 이동해야 하는지 재검토하고 있다. 그 답은 정부 시스템, 상업용 보안 제품, 오픈소스 프로젝트, 기업 패치 워크플로에 영향을 미칠 것이다.

NIST는 자동화된 NVD를 누가 통제해야 하는지 묻고 있다

당장의 변화는 완성된 NVD 아키텍처나 자율 AI 배포 약속이 아니라, 아이디어를 공식적으로 요청하는 절차다.

NIST의 Information Technology Laboratory는 2026년 8월 12일 Federal Register 게재를 위해 현대화 요청서를 발행했다. 응답은 NIST-2026-0100 도켓에 제출되며, 게재일로부터 60일 이내에 도착해야 한다.

NIST는 목표로 더 높은 확장성, 자동화, 상호운용성, 투명성, 유용성을 제시한다. 이 목표는 단순히 더 빠른 분류 모델에 그치지 않는다. 거버넌스, 데이터 표준, 제품 식별, 위험 점수화, 복구, 공공·민간 조직 간 조정까지 포괄한다.

현재 NVD는 CVE 기록이 공개된 뒤 약 한 시간 후 해당 기록을 자동 수집한다. 이후 NVD 분석가는 심각도 점수, 영향을 받는 제품 버전, 취약점 유형 정보 및 기타 맥락을 추가할 수 있다. 보안 도구는 웹사이트, 피드, 애플리케이션 프로그래밍 인터페이스를 통해 이러한 추가 정보를 활용한다.

이러한 보강은 CVE 식별자만으로는 조직 내에 취약한 제품이 존재하는지 알 수 없기 때문에 중요하다. 또한 실제 악용 활동, 비즈니스 노출, 복구 긴급성도 판단할 수 없다. 기계가 공개 정보를 운영상 의사결정으로 전환하려면 구조화된 맥락이 필요하다.

RFI는 취약점 수명주기 전반에서 AI 기반 자동화가 가장 큰 개선을 가져올 영역이 어디인지 묻는다. 또한 어떤 판단에 인간 검토가 필요한지, 검토자가 어떤 증거를 받아야 하는지도 별도로 질문한다. 이 구분은 인간의 책임성을 제안된 아키텍처의 일부로 만든다.

NIST는 자동화된 우선순위 설정이 어떻게 투명성과 감사 가능성을 유지할 수 있는지도 묻는다. 감사 가능한 시스템은 사람들이 판단에 이른 방식을 이해할 수 있도록 충분한 증거를 보존한다. 점수나 제품 매칭이 어떤 취약점에 즉각적인 주의를 기울일지를 결정할 때 이 특성은 특히 중요해진다.

복구는 더 큰 결과를 수반한다. 의견수렴은 AI가 수정 사항 생성과 배포에서 어떤 역할을 해야 하는지, 어떤 보호장치가 필요한지, 조직이 AI 생성 복구 조치를 어떻게 관리해야 하는지를 묻는다. 분류 오류는 분석가 시간을 낭비하게 하지만, 결함 있는 자동 패치는 운영 환경을 중단시킬 수 있다.

질문은 AI가 모든 단계를 통제해야 한다고 전제하지 않는다. 대신 자동화, 전문가 검토, 조직 맥락, 기존 보안 표준 사이의 적절한 경계를 정의하도록 응답자들을 초대한다. 최종 설계는 이러한 경계에 달려 있다.

공개 절차는 주요 구현 세부사항도 아직 미정으로 남긴다. NIST는 RFI에서 모델을 선택하지 않았고, 배포 일정을 발표하지 않았으며, 새로운 자금 조달 구조도 정의하지 않았다. 장기 기술 방향을 정하기 전에 요구사항을 수집하고 있다.

이 단서는 Google News를 통해 유입된 독자에게 중요하다. NIST는 아키텍처 논쟁을 시작했지만, 많은 헤드라인이 묘사하는 개편을 완료한 것은 아니다. 결과는 공개 응답과 이후 기관의 결정에 달려 있다.

Google News의 관심은 역량 위기 뒤따랐다

NIST가 현대화를 추진하는 이유는 취약점 생산량이 이미 포괄적인 인간 주도 보강의 전제를 넘어섰기 때문이다.

NIST에 따르면 CVE 제출 건수는 2020년부터 2025년 사이 263% 증가했다. 2026년 1분기 제출 건수는 2025년 같은 기간보다 거의 3분의 1 높았다. 이 수치는 새 의견수렴 이전부터 존재하던 운영 문제를 보여준다.

NIST는 2025년에 거의 4만2,000건의 CVE를 보강했으며, 이는 이전 연간 기록보다 45% 증가한 수치다. 그러나 이 생산성은 유입 물량을 따라잡지 못했다. 기관은 2024년 초부터 상당한 적체가 발생했으며 이후 이를 해소할 수 없었음을 인정했다.

4월 15일 NIST는 운영 업데이트를 통해 위험 기반 보강 모델을 도입했다. CISA의 Known Exploited Vulnerabilities 카탈로그에 있는 취약점, 연방 기관이 사용하는 소프트웨어, Executive Order 14028에 따라 정의된 핵심 소프트웨어의 취약점을 우선순위로 두기 시작했다.

NIST는 악용 취약점 카탈로그에 포함된 취약점을 접수 후 영업일 기준 하루 안에 보강하는 것을 목표로 한다. 다른 제출 CVE도 계속 NVD에 들어가지만, 우선순위가 낮은 기록은 즉시 보강 대상으로 일정이 잡히지 않는다. 사용자는 중요한 기록이 누락되었다고 판단하면 추가 분석을 요청할 수 있다.

기관은 또한 CVE Numbering Authority가 이미 심각도 점수를 제공한 경우 별도의 NIST 심각도 점수를 통상적으로 추가하는 방식을 중단했다. 변경 사항이 보강 데이터에 실질적인 영향을 미치지 않는 한 수정된 기록에 대한 자동 재분석도 줄였다. 이러한 선택은 중복 작업을 제한해 분석가 역량을 보존한다.

2026년 3월 1일 이전에 공개된 적체 기록은 새 절차에 따라 “Not Scheduled” 범주로 옮겨졌다. 이 변경으로 CVE 식별자가 삭제된 것은 아니다. 다만 모든 기록에 NIST 보강을 제공하겠다는 약속이 더 이상 지속 가능하지 않음을 인정한 것이다.

이 후퇴 조치는 8월 RFI의 조건을 만들었다. NIST는 모든 분석을 내부에서 반복하지 않고도 분산 데이터를 수집하는 아키텍처가 필요하다. 또한 신뢰할 수 있는 기계 판독 가능 기여와 불완전하거나 상충되거나 공급업체에 유리한 정보를 구분해야 한다.

기관은 이미 그 방향으로 움직이고 있다. 6월 17일 NVD는 CISA가 승인한 발행자를 통해 제공된 Stakeholder-Specific Vulnerability Categorization, 즉 SSVC 데이터를 추가했다. SSVC는 정적인 기술적 심각도 점수 이외의 요소를 사용해 의사결정자가 취약점 우선순위를 정하도록 돕는다.

같은 배포에는 CVE 기록 형식의 구조화된 “affected” 제품 정보가 추가됐다. NVD 배포 업데이트에 따르면, 이 스키마 변경은 기존 취약점의 약 95%에 영향을 미쳤다. 또한 더 큰 피드와 애플리케이션 프로그래밍 인터페이스 응답을 생성했다.

이 업데이트는 현대화 경로를 작은 규모로 미리 보여준다. NVD는 모든 필드를 자체 생성하는 대신 다른 승인된 참여자로부터 판단과 영향 제품 데이터를 집계할 수 있다. 그러나 집계는 공통 스키마, 기여자 품질, 출처 추적에 더 큰 책임을 이전한다.

AI는 양방향에서 압박을 높인다. 방어 시스템은 취약점을 발견하고, 중복을 묶고, 심각도 평가를 제안하며, 수정안을 더 빠르게 작성할 수 있다. 공격자 역시 유사한 역량을 활용해 악용 가능한 약점을 찾아내고 침해 후 작업을 확장할 수 있다.

RFI는 AI만이 제출 급증을 일으켰다고 주장하지 않는다. NIST는 더 빠른 개발 주기, 일관되지 않은 데이터 품질, 기계 판독 가능 인텔리전스에 대한 수요 증가를 포함한 여러 요인을 지목한다. AI 지원 발견과 악용은 기존 부담에 추가 가속을 더한다.

따라서 가장 유용한 해석은 홍보적이 아니라 운영상 해석이다. 주기적이고 수동으로 보강되는 모델이 역량 한계에 도달했으므로, NIST에는 지속적인 기계 활동을 위해 설계된 취약점 시스템이 필요하다.

핵심 트레이드오프는 기계 속도와 공공 신뢰의 균형이다

AI 지원 NVD는 모든 자동화된 판단이 추적 가능하고, 이의를 제기할 수 있으며, 후속 보안 의사결정에 충분히 안전할 때만 성공한다.

취약점 관리는 전통적으로 여러 판단을 결합한다. 분석가는 결함을 식별하고, 검증하며, 공개를 조정하고, 영향을 받는 제품을 설명하고, 심각도를 추정하며, 결과를 복구와 연결한다. 하나의 판단을 자동화한다고 해서 다른 판단까지 자동으로 해결되는 것은 아니다.

제품 식별은 어려움을 보여주는 사례다. 공급업체 권고문은 재고 시스템이나 표준 제품 사전과 다른 이름으로 제품을 지칭할 수 있다. AI 시스템은 매칭을 제안할 수 있지만, 잘못된 매칭은 노출을 숨기거나 비용이 큰 오탐을 만들 수 있다.

우선순위 설정도 맥락에 크게 좌우된다. 기술적으로 심각한 취약점이라도 한 환경에서는 도달할 수 없고 다른 환경에서는 즉시 위험할 수 있다. 따라서 NIST는 정확한 운영 의사결정에 어떤 조직 및 시스템 맥락이 필요한지 묻는다.

KEV 카탈로그는 실제 악용 증거가 있는 취약점을 식별함으로써 유용한 신호를 제공한다. 그러나 이는 모든 중요한 취약점을 대표하지 않으며, NIST는 현재 기준이 고영향 사례를 놓칠 수 있음을 공개적으로 인정한다.

AI는 공급업체 권고문, 자산 재고, 익스플로잇 증거, 공개 프로그램, 위협 인텔리전스에서 더 폭넓은 맥락을 구성하는 데 도움을 줄 수 있다. 그러나 그에 따른 권고는 입력값과 불확실성을 밝혀야 한다. 그렇지 않으면 사용자는 이의를 제기할 수 없는 불투명한 답변을 받게 된다.

투명성은 편향에도 영향을 미친다. 문서화가 잘 된 제품으로 학습된 모델은 규모가 작은 공급업체나 자원이 부족한 오픈소스 프로젝트를 평가하는 모델보다 더 잘 작동할 수 있다. 문서가 부족하면 실제 위험이 높더라도 심각한 결함의 확실성이 낮아 보일 수 있다.

인간 검토에 관한 NIST의 질문은 이 문제를 직접 다룬다. 실용적인 시스템은 일상적 정규화를 자동화하고 모호한 사례를 분석가에게 남길 수 있다. 모델은 검토를 대체하지 않지만, 상충하는 증거가 있는 기록에 제한된 전문성을 집중하도록 도울 수 있다.

이 접근법에도 측정 가능한 성과가 필요하다. 응답자들은 향후 5년간 현대화를 위한 유용한 지표를 정의하는 데 도움을 줘야 한다. 처리 속도도 중요하지만, 수정률, 적용 범위, 기여자 다양성, 재현성, 후속 활용성도 중요하다.

빈번한 제품 매칭 오류를 내는 더 빠른 파이프라인은 업무를 없애는 대신 이전할 뿐이다. 보안팀은 보강을 기다리는 시간은 줄이겠지만 신뢰할 수 없는 출력을 검증하는 데 더 많은 시간을 쓰게 된다. NVD의 공공 가치는 이러한 불확실성을 줄이는 데서 나온다.

자동화된 해결 조치는 기준을 다시 한 번 끌어올린다. AI는 코드 변경, 구성 업데이트 또는 보완 통제를 제안할 수 있지만, 배포는 현지 환경에 따라 달라진다. 테스트 사례에서 성공한 수정이 통합을 망가뜨리거나, 다른 통제를 약화시키거나, 예상된 동작을 변경할 수 있다.

따라서 NIST는 오류가 있는 AI 생성 해결 조치에 대한 통제 수단을 묻고 있다. 이러한 통제에는 테스트, 단계적 배포, 롤백 메커니즘, 승인 기준, 출처 기록, 릴리스 후 모니터링 등이 포함될 수 있다. RFI는 구체적인 조합을 이해관계자의 의견에 맡겨 두고 있다.

이 이야기의 주된 대립 구도는 NIST와 상업 보안 공급업체 간의 대결이 아니다. 지속적인 자동화라는 약속과 보안 결정은 여전히 맥락에 따라 중대한 결과를 낳는다는 현실의 충돌이다. 이 갈등을 무시하는 아키텍처는 신뢰를 얻기 어려울 것이다.

이 때문에 이번 의견 수렴은 짧은 Google News 요약이 시사하는 것보다 더 많은 관심을 받을 만하다. NIST는 사실상 보안 커뮤니티에 기계 보조 취약점 관리를 위한 증거 사슬을 설계해 달라고 요청하고 있다. 속도는 그 사슬 안의 한 가지 요건일 뿐이다.

더욱 연결된 NVD는 보안 공급업체와 기업에 압박을 가할 것이다

NIST는 중앙 데이터베이스에서 모든 조직에 완전하고 환경별로 특화된 위험 맥락을 제공할 수 없기 때문에, 현대화는 책임을 외부로 분산시킨다.

NVD는 광범위한 스캐너, 규정 준수 시스템, 소프트웨어 구성 분석 도구, 보안 운영 플랫폼, 내부 엔지니어링 프로세스 생태계를 지원한다. 일부 제품은 데이터를 직접 수집한다. 다른 제품은 NVD 정보를 독점 연구 및 고객 텔레메트리와 결합한다.

선별적 보강은 이러한 접근 방식 간의 차이를 키운다. 주로 NIST가 추가한 메타데이터에 의존하는 도구는 우선순위가 낮은 레코드에서 누락된 점수나 제품 매핑을 마주할 수 있다. 독자적 연구 역량을 보유한 공급업체는 일부 공백을 메울 수 있지만, 고객은 그 과정을 평가해야 한다.

상업 공급업체에는 독점 인텔리전스를 해답으로 제시할 유인이 있다. 그들의 데이터는 실질적 가치를 제공할 수 있지만, 동시에 투명성, 이식성, 적용 범위에 관한 의문도 제기한다. NIST의 공공 인프라는 폭넓게 접근 가능한 기준점을 제공하기 때문에 여전히 중요하다.

RFI는 NVD가 공급업체 권고문, 취약점 공개 프로그램, 위협 정보 제공업체, 자산 플랫폼, 보안 도구 및 해결 워크플로와 어떻게 통합되어야 하는지를 묻는다. 이 표현은 연합형 방향을 시사한다. NIST는 모든 분석 업무를 중앙화하기보다 신뢰할 수 있는 기여를 연결하는 데 관심이 있는 것으로 보인다.

연합 구조는 증거에 가장 가까운 조직들에 업무를 분산해 확장성을 높일 수 있다. 공급업체는 자사 제품을 이해하고, 연구자는 발견 사항을 이해하며, 기업은 배포된 자산을 이해한다. NVD는 이들 주체가 정보를 교환하는 방식을 표준화할 수 있다.

그러나 분산된 기여는 거버넌스 문제를 낳는다. 공급업체는 자사 결함의 심각도를 축소할 수 있고, 연구자는 완전한 제품 정보를 확보하지 못할 수 있다. 상충하는 점수와 영향받는 버전 주장은 확인 가능한 출처 정보와 정정 절차를 필요로 한다.

보안팀은 또한 현지의 의사결정을 보존해야 한다. 기업은 국가 차원의 우선순위 순위가 자사의 노출 수준과 일치한다고 가정할 수 없다. 인터넷 도달 가능성, 권한, 데이터 민감도, 보완 통제 및 비즈니스 중요도는 적절한 대응을 바꿀 수 있다.

이는 자산 인벤토리가 맥락 기반 우선순위 설정의 전제조건임을 뜻한다. 조직은 어떤 소프트웨어와 버전을 운영하는지 모른다면 취약점이 중요한지 판단할 수 없다. NIST는 자동화된 해결 조치 이전에 발견 및 인벤토리 같은 종속 요소에 대해서도 명시적으로 묻고 있다.

개발자들도 관련 부담에 직면한다. 취약점 발견이 빨라지면 팀이 평가, 테스트, 배포해야 하는 패치 수가 늘어날 수 있다. 더 나은 정보는 도움이 되지만, 보강이 빨라진 뒤에는 해결 역량이 다음 병목이 될 수 있다.

오픈소스 유지관리자는 널리 사용되는 구성 요소가 소규모 팀에 의존하는 경우가 많아 특히 큰 압박을 받는다. 기계 생성 보고서는 신뢰할 수 있는 재현 방법이나 수정안을 제공하지 않은 채 공개 건수를 늘릴 수 있다. 현대적인 시스템은 품질이 낮은 자동화 제출물이 유지관리자를 압도하지 않도록 해야 한다.

NVD는 연방 대응의 한 부분일 뿐이다. 7월 보도는 AI 관련 사이버 위협 공유를 위한 재무부 주도의 Gold Eagle 정보 교환소를 다뤘다. Carnegie Mellon의 Software Engineering Institute도 취약점 보고와 조정을 위한 플랫폼인 VINCE를 운영한다.

이 프로그램들이 어떻게 상호작용할지는 여전히 불분명하다. NVD는 표준화된 공개 취약점 데이터에 특화되어 있는 반면, 조정 플랫폼은 연구자와 공급업체 간의 공개 절차를 관리할 수 있다. 정보 교환소는 위협 공유 및 우선순위 설정 기능을 추가할 수 있다.

중복되는 프로그램은 유용한 전문화를 제공할 수 있지만, 제출을 중복시키고 일관되지 않은 레코드를 만들 수도 있다. NIST의 상호운용성 관련 질문은 응답자들이 식별자, 증거, 상태 변경 및 정정 사항이 이러한 시스템들 사이에서 어떻게 이동하는지 설명하도록 해야 한다.

기업은 최종 아키텍처를 기다린 뒤에야 종속성을 검토해서는 안 된다. 어떤 NVD 필드가 스캐너, 티켓 규칙, 규정 준수 보고서 및 서비스 수준 목표를 이끄는지 파악해야 한다. 누락된 보강 정보는 각 워크플로에 서로 다르게 영향을 줄 수 있다.

팀은 자동화된 결정의 근거가 된 출처와 타임스탬프도 보존해야 한다. 레코드가 변경되면 분석가는 어떤 이전 데이터가 패치 또는 예외 처리를 촉발했는지 알아야 한다. 더 많은 시스템이 기계 생성 맥락을 제공할수록 이러한 감사 추적은 필수적이 된다.

따라서 현대화 과정은 공급업체만큼이나 구매자에게도 압박을 가할 것이다. 구매자는 취약점 인텔리전스의 출처, 충돌 해결 방식, 자동화된 권고가 뒷받침하는 증거를 공개하는지 물어야 한다. 세련된 위험 점수만으로는 충분하지 않다.

Google News 독자가 다음으로 주목해야 할 사항

세 가지 신호가 NVD 개편이 지속 가능한 인프라가 될지, 아니면 충분한 운영 지원이 없는 야심 찬 의견 수렴에 그칠지를 보여줄 것이다.

첫 번째 신호는 의견 수렴 기간이 끝난 뒤 공개되는 의견 접수 기록이다. 보안 공급업체, 오픈소스 재단, 연구자, 연방 기관 및 기업 운영자의 제출 자료는 공동 아키텍처가 가능한지 보여줄 것이다. 인간 검토의 경계에 대한 폭넓은 합의는 NIST의 방향성을 강화할 것이다.

의견 불일치 역시 유의미한 정보가 될 것이다. 공급업체는 독점 출처의 자동 수집을 선호할 수 있는 반면, 공익 참여자들은 개방형 표준과 투명한 증거를 우선시할 수 있다. NIST는 공공 데이터베이스가 폐쇄형 시스템에 의존하게 만들지 않으면서 이러한 유인을 조정해야 한다.

두 번째 신호는 구체적인 현대화 로드맵이다. RFI는 향후 5년간 필요한 역량을 묻지만, 제공 일정, 인력 수준 또는 기술적 이정표를 약속하지는 않는다. 신뢰할 수 있는 계획에는 단계적 릴리스, 성과 지표, 거버넌스 규칙 및 명확한 책임 주체가 필요하다.

현재 공고가 이를 정의하지는 않지만, 자금 조달 역시 해당 로드맵에 포함되어야 한다. 자동화에는 모델 평가, 인프라, 보안 테스트, 표준 작업 및 지속적인 인간 감독이 필요하다. 이는 숙련된 분석가의 필요성을 없애지 않는다.

세 번째 신호는 4월 우선순위 모델 하에서의 운영 성과다. NIST는 실제 악용된 취약점이 영업일 기준 하루 내 보강 목표를 충족하는 동시에, 우선순위가 낮은 레코드도 계속 확인 가능하고 요청 가능하도록 해야 함을 입증해야 한다. 처리량과 함께 정정률과 누락된 메타데이터도 중요하다.

6월 SSVC 배포는 또 다른 시험대가 된다. 소비자는 더 커진 레코드를 성공적으로 수집하고, 새 필드를 해석하며, 기존 워크플로와의 호환성을 유지해야 한다. 운영상 마찰은 대규모 하위 생태계 전반에서 스키마를 확장하는 비용을 드러낼 것이다.

향후 릴리스는 자동화된 출처 정보를 쉽게 검토할 수 있게 해야 한다. 사용자는 공급업체 제공 점수, CISA 평가, NIST 분석 및 AI 생성 권고를 구분할 수 있어야 한다. 이러한 구분은 피드, 애플리케이션 프로그래밍 인터페이스 및 상업적 통합 과정에서도 유지되어야 한다.

대규모 AI 배포에 앞서 공개되는 평가 방법을 주시해야 한다. NIST는 분류 정확도, 제품 매칭, 우선순위 설정 및 해결 조치 제안을 어떻게 시험하는지 설명해야 한다. 고위험 기능에는 더 엄격한 기준과 더 많은 인간 감독이 필요하다.

기관이 의견 불일치를 어떻게 처리하는지도 지켜봐야 한다. 신뢰할 수 있는 시스템에는 기여자가 영향받는 제품이나 심각도에 이의를 제기할 때 사용할 정정 채널, 버전 이력 및 이의 제기 절차가 필요하다. 이의 제기 가능성이 없는 자동화는 오류를 기계 속도로 집중시킬 것이다.

더 넓은 취약점 생태계도 자체적인 증거를 제공할 것이다. 보안 공급업체는 출처 정보 보기, 독립적인 보강 또는 맥락 기반 점수를 추가할 수 있다. 오픈소스 프로젝트는 수동 접수 업무를 줄이는 구조화된 보고 형식을 도입할 수 있다.

기업은 지금 데이터 종속성을 매핑해 준비할 수 있다. 어떤 시스템이 NVD 레코드를 소비하는지, 어떤 필드가 조치를 촉발하는지, 분석가가 어디에서 현지 맥락을 추가하는지 문서화해야 한다. 누락된 보강 정보를 저위험 신호가 아닌 정의된 상태로 취급해야 한다.

NIST가 다음 발표를 내놓으면 Google News 보도는 빠르게 움직일 것이다. 더 중요한 작업은 헤드라인 사이에서, 즉 표준 논의, 공개 의견, 데이터 파이프라인 및 보안 운영팀 내부에서 이루어진다.

NVD에 의존하는 조직은 RFI를 읽고 실제 워크플로의 증거를 제출하는 방안을 고려해야 한다. 어떤 자동화된 결정이 시간을 절약하는가, 현재 레코드는 어디에서 실패하는가, 그리고 어떤 판단에는 여전히 책임 있는 인간 검토가 필요한가? 이러한 답이 NIST가 더 빠른 데이터베이스를 구축할지, 아니면 더 신뢰할 수 있는 취약점 시스템을 구축할지를 결정할 것이다.