1988년 모리스 웜 사태를 계기로 미국 국방고등연구계획국의 요청에 따라 카네기멜런대학교 소프트웨어공학연구소에 설립된 컴퓨터 보안 사고·취약점 조정 조직. 인터넷에 연결된 여러 기관이 같은 문제를 따로 분석하거나 서로 다른 대응 정보를 전달하던 상황에서, 기술 전문가와 피해 기관의 소통을 연결할 상설 창구로 출발. 개별 시스템의 복구를 넘어 보안 문제를 함께 확인하고 해결하는 협력 구조를 발전시킨 기관. 핵심 기능은 취약점 발견자와 소프트웨어 공급자, 영향을 받는 조직 사이의 정보 조정. 하나의 라이브러리나 통신 규약이 여러 제품에 사용되는 환경에서는 한 업체의 수정만으로 전체 문제를 해결하기 어려운 구조. 센터는 경쟁 관계에 있는 공급자들에게도 공통된 기술 정보를 전달하고, 공개 취약점 공지에 문제의 범위·대응 방법·업체별 영향을 정리하는 역할. DNS 캐시 오염과 하트블리드처럼 인터넷 기반 기술에 영향을 주는 문제에서도 개별 제품을 넘어선 위험과 복구 과제를 제시. 기관별 사고대응팀을 육성하는 활동 역시 중요한 축. FIRST를 통한 국제 협력과 CSIRT 개발팀의 교육·지침서 작업을 통해 보안 사고를 담당자의 임기응변이 아니라 역할·연락망·정보 취급 절차를 갖춘 조직 기능으로 정착시키는 데 기여. 2003년에는 미국 국토안보부와의 협력으로 US-CERT 구축에 참여하며 대학 연구와 국가 차원의 대응 체계를 연결. 다만 CERT/CC는 각국에서 CERT라는 이름을 사용하는 조직 전체를 지휘하는 기관이 아니며, 미국 정부의 US-CERT와도 구별되는 대학 소속 조정센터. 취약점 공개를 둘러싼 핵심 쟁점은 이용자가 위험을 알아야 할 필요와 공급자가 수정할 시간을 확보해야 할 필요 사이의 균형. 2000년에는 신고 후 45일을 기본 공개 시점으로 제시하면서 실제 악용이나 표준 변경의 필요에 따라 일정을 조정하는 정책 도입. 공개를 무기한 미루는 문제와 수정 전에 공격 가능성이 알려지는 위험을 함께 고려하는 접근. 2017년 가이드와 후속 개정은 발견·신고·수정·공개·패치 적용을 이어지는 과정으로 설명하며, 수정본이 배포된 상태와 실제 이용 환경이 보호된 상태를 구별. 협력의 규모가 커지면서 센터가 모든 이메일을 중계하는 방식 자체가 병목이 되는 문제에도 직면. 2020년 VINCE를 도입해 신고자와 여러 공급자가 같은 비공개 공간에서 직접 논의하도록 전환하고, 이후 소스 공개로 도구의 활용 범위를 확대. SSVC의 의사결정나무와 Vultron의 다자간 조정 프로토콜 연구는 단일 위험 점수나 개인적 연락에 의존하던 대응을 조직의 상황과 명시적 절차에 맞게 발전시키려는 시도. 기술적 결함뿐 아니라 이해관계·신뢰·정보 전달 방식도 사이버보안의 일부임을 보여주는 조직.