요약

  • LACNIC의 회고록에 따르면, 2025년 CEDIA의 Badí Quinteros가 발표한 내용은 에콰도르 47개 대학의 공개 공격 표면에 대한 월간 모니터링을 다뤘습니다. 위험 수준으로 평가된 F 등급 대학 비율은 23.4%에서 11.1%로 감소한 것으로 제시되었습니다.
  • FIRST에 게시된 발표 초록은 동일한 수치를 전하지만, 두 문서 모두 F 등급을 받은 대학 수와 각 시점에 실제 평가된 대학 수를 제공하지 않습니다. 따라서 공개 정보만으로는 계산을 재현할 수 없습니다.

분석

분모 없는 백분율

2026년 9월 29일 LACNIC이 게시한 회고록은 2025년 LACNIC 44 세션을 다시 다룹니다. 이 문서는 CEDIA의 Badí Quinteros가 에콰도르 47개 대학에 대한 모니터링 데이터를 발표했으며, 대학들이 공개적으로 노출된 취약점을 수정하는 과정에서 위험 등급을 받은 비율이 23.4%에서 11.1%로 감소했다고 밝힙니다. FIRST 심포지엄의 원래 프로그램이 더 완전한 초록을 제공합니다. 모니터링은 2025년 1월부터 7월까지 매월 수행되었습니다. 또한 이 문서는 대학에서 수정되지 않은 중요 및 중간 등급 CVE, 95% 이상의 대학에서 노출된 자격 증명, 포트폴리오 평균이 72에서 76으로 상승한 점, 그리고 Universidad Técnica del Norte의 점수가 42점에서 97점으로 상승한 점을 언급합니다.

이는 발표된 결과일 뿐, 공개된 데이터 세트가 아닙니다. FIRST 프로그램과 LACNIC의 회고록은 동일한 발표에 대한 관련된 두 개의 서술이지, 서로 독립적인 확인이 아닙니다. 어느 쪽도 대학별 등급, 시작과 끝 시점의 F 등급 수, 각 계산에 포함된 대학 수를 제공하지 않습니다. 인용된 문서는 등급 척도, 측정의 정확한 날짜 또는 누락된 결과 처리 방식을 명시하지 않습니다.

이 구분은 중요합니다. 47개 대학이라는 언급은 모니터링 활동을 설명하지만, 47개 대학이 모두 두 시점에서 평가되었음을 입증하지는 않습니다. 분모가 47로 고정된 경우 23.4%는 반올림하면 47개 중 11개에 해당합니다. 반면 11.1%는 47개 대학 중 임의의 정수 개수에 대해 소수점 첫째 자리에서 반올림한 비율과 일치하지 않습니다. 예를 들어 45개 중 5개는 11.1%를 제공하지만, 이는 단순히 산술적 예시이며 45개 대학이 평가되었다는 표시가 아닙니다.

이 공백이 백분율 중 하나가 잘못되었다는 것을 입증하지는 않습니다. 두 번째 계산은 평가된 대학 수가 다를 수도 있고, 변화하는 코호트, 불완전한 기록, 또는 모니터링 그룹과 다른 평가 대상 집단일 수도 있습니다. 어느 설명이 적용되는지에 대해서는 출처가 언급하지 않습니다. 또한 보고된 보안 점수가 취약점 감소, 성공적인 공격 감소 또는 확인된 사고 감소를 입증하지는 않습니다. 점수의 변화와 사고율의 변화는 서로 다른 두 가지 측정입니다.

LACNIC의 최근 게시물은 이 결과를 2026년 FIRST 심포지엄 초청과 함께 다시 언급합니다. 이 맥락이 이 통계가 뉴스에 다시 등장한 이유를 설명하지만, 이전 결과에 대한 새로운 측정이나 검증을 추가하지는 않습니다. FIRST 프로그램은 발표에 대한 초기 공개 설명이며, 이후 게시물은 이 주장을 반복할 뿐 두 번째 데이터 세트를 제공하지 않습니다.

구체적인 요청은 간단합니다. 두 시점 각각에 대해 F 등급 대학 수와 실제 평가된 대학 수를 공개하고, 등급의 정의와 날짜를 명시하며, 코호트 범위나 누락 처리 방식이 변경되었는지 여부를 밝히는 것입니다. 이러한 총체적인 질문에 답하기 위해 대학별 민감한 세부 정보는 필요하지 않습니다. 그때까지 방어 가능한 표현은 발표가 23.4%에서 11.1%로의 감소를 보고했으며, 공개 데이터로는 그 분모를 재구성할 수 없다는 것입니다.

출처