EU SW보안 규제 9월 본격화…"보안 목록 제출만으론 부족" 작성일 05-13 38 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">CRA 시행 임박…취약점 24시간 내 보고 의무화<br>블랙덕 "상시 모니터링·공급망 가시성 확보해야"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="HPEr0gAiXo"> <figure class="figure_frm origin_fig" contents-hash="a9b31ecec6779482624c1c5c78c5e8cc9eae6bf4134f7d5572184f38159ca43a" dmcf-pid="XQDmpacnGL" dmcf-ptype="figure"> <p class="link_figure"><img alt="팀 맥키 블랙덕 SW 공급망 위협 전략 부문 총괄 팀 맥키 블랙덕 SW 공급망 위협 전략 부문 총괄이 13일 경기 과천 DX타워에서 열린 기자간담회에서 발표하고 있다. [권하영 촬영]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202605/13/yonhap/20260513133303577jsah.jpg" data-org-width="1200" dmcf-mid="GxzbNFUZ1g" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202605/13/yonhap/20260513133303577jsah.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 팀 맥키 블랙덕 SW 공급망 위협 전략 부문 총괄 팀 맥키 블랙덕 SW 공급망 위협 전략 부문 총괄이 13일 경기 과천 DX타워에서 열린 기자간담회에서 발표하고 있다. [권하영 촬영] </figcaption> </figure> <p contents-hash="29e2c0a6d771816eb438709d93471ccb88f0592717aa5d635cfd127f44f64dc6" dmcf-pid="ZxwsUNkL5n" dmcf-ptype="general">(서울=연합뉴스) 권하영 기자 = 유럽연합(EU)의 소프트웨어(SW) 공급망 보안 규제가 오는 9월부터 본격 시행되는 가운데 단순히 소프트웨어 구성 목록(SBOM)을 제출하는 수준만으로는 규제 대응에 한계가 있다는 지적이 나왔다.</p> <p contents-hash="fdab72ff60bfe168ab4bab0229e66039028d5efeb1e94fb5dcab554288352c2e" dmcf-pid="50xehV6bGi" dmcf-ptype="general">글로벌 오픈소스 보안 기업 블랙덕은 국내 총판사 쿠도커뮤니케이션과 함께 13일 경기 과천 DX타워에서 기자간담회를 열고 EU '사이버 복원력 법안(CRA·Cyber Resilience Act)' 대응 전략을 발표했다.</p> <p contents-hash="fd9a346ee37cc3589c294ca7773874e37ca8a3663f6957c561074808236648af" dmcf-pid="1pMdlfPKtJ" dmcf-ptype="general">CRA는 EU 시장에서 판매되는 디지털 요소 포함 제품 전반에 사이버 보안 요구사항을 의무화한 규제다. 지난해 12월 공식 발효됐으며, 올해 9월 취약점 관리 의무를 시작으로 내년 12월까지 단계적으로 시행될 예정이다.</p> <p contents-hash="80033602425e8ddf2825662d80a22c8616e95efc3cafe8c97a30bf19cd7f45ed" dmcf-pid="tURJS4Q9td" dmcf-ptype="general">규정을 위반할 경우 전 세계 매출의 최대 4%에 달하는 과징금이 부과될 수 있으며, EU 공동 시장 접근 제한 조치까지 받을 수 있다.</p> <p contents-hash="1953130432427ed52678e262e4836eb2a7b36a1a26886e4d208cd6e53eb0ed1d" dmcf-pid="Fueiv8x2He" dmcf-ptype="general">특히 CRA는 제품 개발사나 본사 소재지와 관계없이 EU 시장에서 SW가 포함된 제품을 판매하는 모든 기업에 적용된다. 제조사가 규정을 준수하지 못할 경우 책임이 수입사와 유통사로까지 확대되는 구조여서 공급망 전반에 영향을 미친다. 유럽 시장에 진출한 국내 기업 역시 대응이 시급한 상황이다.</p> <p contents-hash="13fdb61f18cd3ccb00c6323bc46da15246b0dc1231f2beda58b31147d0cdb9fa" dmcf-pid="37dnT6MV5R" dmcf-ptype="general">블랙덕에 따르면 최근 수년간 기업들은 SW 세부 구성 요소를 기록하는 'SW 자재 명세서'(SBOM) 생성과 관리에 집중해 왔다. 다만 SBOM 제출만으로는 CRA가 요구하는 수준의 공급망 보안을 충족하기 어렵다는 것이 회사 측 설명이다.</p> <p contents-hash="0e003a8d2e8c6c453c3b35efc7e10e86f5ece4f09094a9c960e7a84004101b65" dmcf-pid="0zJLyPRftM" dmcf-ptype="general">팀 맥키 블랙덕 SW 공급망 위협 전략 부문 총괄은 "SBOM의 기술적 측면에만 집중할 경우 하나의 SW에 수천 개 이상의 개발사와 공급사가 연결된 현대 SW 생태계의 복잡성을 온전히 파악하기 어렵다"며 "능동적 모니터링을 통해 SW 가시성과 투명성을 확보하고, 빠르게 변화하는 비즈니스·보안 환경에 대응할 수 있어야 한다"고 강조했다.</p> <p contents-hash="ddcf85f6eded07517979bd6d202967db652e6ac90db81d1509cee9533c68bf5d" dmcf-pid="pqioWQe4Zx" dmcf-ptype="general">맥키 총괄은 공급망 보안의 복잡성을 설명하기 위해 자동차 산업을 예로 들었다. 차량 자체 보안뿐 아니라 생산 공장의 제조 로봇에 탑재된 SW, 모바일 애플리케이션과 연동되는 통신망, 클라우드 서비스까지 통합적으로 관리돼야 실질적인 차량 보안이 가능하다는 설명이다.</p> <p contents-hash="2fbc4b6b6d68c816a9fe12b41c9fdc820e74caf00f32fc49d732872f3d9c7589" dmcf-pid="UBngYxd8tQ" dmcf-ptype="general">CRA가 기업에 요구하는 기준도 상당히 구체적이다. 기본 보안 설정 적용, 공개된 제3자 취약점 제거, 신규 취약점 발생 시 24시간 내 보고, 테스트 과정 전반의 문서화, 오픈소스 거버넌스 체계 구축, 적합성 선언서 확보 등이 대표적이다.</p> <p contents-hash="739a13dbc7a65786f9f6040e668b033f1ef70cf173f8865ce2df924bb9079b10" dmcf-pid="ubLaGMJ6XP" dmcf-ptype="general">블랙덕은 이에 대응하기 위한 기술 전략도 단계별로 제시했다.</p> <p contents-hash="0fef6b0b8c91686babd5a1477f195986abf3782ebec8b6f3f189fe6fddd134bf" dmcf-pid="76kw3ojJ56" dmcf-ptype="general">우선 기업들이 당장 착수해야 할 과제로는 SW 구성 분석(SCA)을 통한 오픈소스 컴포넌트 취약점 점검과 제3자 리스크 관리, 정적 분석 기반 자체 코드 취약점 제거, 보안 테스트를 통한 프로토콜 수준 공급망 검증 등을 꼽았다.</p> <p contents-hash="7ecdb29479f4faae6fb1bbd36be9b9c5fda459c9bc61de0ff991bac7d45743d4" dmcf-pid="zPEr0gAiG8" dmcf-ptype="general">이를 통해 기업들이 최소한 올해 9월 이전까지는 SBOM 작성과 외부 리스크 출처 파악 체계를 갖춰야 한다는 것이 블랙덕의 권고다. 특히 9월부터 취약점 공개 의무가 본격 적용되는 만큼, 일회성 점검이 아닌 상시 모니터링 체계 구축이 필수라고 강조했다.</p> <p contents-hash="bfffe450e6cabde658245d2a2340fa17163a333b164375d6f90fb78926615071" dmcf-pid="qQDmpacnt4" dmcf-ptype="general">아울러 내년부터는 설계 단계부터 보안을 내재화하는 '시큐어 바이 디자인(Secure by Design)' 원칙이 의무화되는 만큼 관련 예산과 조직 체계도 지금부터 준비해야 한다고 조언했다.</p> <p contents-hash="1bcfaaef367c62c1d0647f4b2bf3e3754be8b5120c1c5d85bc9aea74c837896a" dmcf-pid="BxwsUNkLHf" dmcf-ptype="general">맥키 총괄은 "EU CRA는 단순한 규제를 넘어 애플리케이션 및 운영 사이버 보안 관행의 기준선이자, 제조사가 제품 전체 수명주기에 걸쳐 잘 설계되고 안전한 SW를 생산하겠다는 의지를 입증하는 수단"이라며 "규제를 단순한 비용 요인으로 볼 것이 아니라 전략적 기회로 접근해야 한다"고 강조했다.</p> <p contents-hash="e9352240a3995ad4de4976149a34a8f1e4bf68fe82ea3f5a732cad165adc112d" dmcf-pid="bMrOujEoXV" dmcf-ptype="general">김철봉 쿠도커뮤니케이션 부사장은 "EU CRA와 같은 글로벌 규제 환경 변화는 국내 기업에도 직접적인 영향을 미칠 것"이라며 "블랙덕과 함께 기업들이 선제적이고 체계적인 규제 대응 방식을 취할 수 있도록 지원을 강화해 나갈 계획"이라고 전했다.</p> <p contents-hash="f4d4884e88514e833c02e49fd2e847ac2da40e736cd5959712a315f319870e68" dmcf-pid="KRmI7ADgX2" dmcf-ptype="general">kwonhy@yna.co.kr</p> <p contents-hash="d8adbd697d87a03d92eb8f61493e42e0cab6fd1b1e1ce3c82b8ca5b767489085" dmcf-pid="2dOhqkrN5K" dmcf-ptype="general">▶제보는 카톡 okjebo</p> </section> </div> <p class="" data-translation="true">Copyright © 연합뉴스. 무단전재 -재배포, AI 학습 및 활용 금지</p> 관련자료 이전 아톤 “끊임없는 대형 보안사고, 문제는 기술 아닌 실행 전략” 05-13 다음 정부 2조원 GPU 사업 3파전?…네이버·삼성SDS·엘리스 현장실사 05-13 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
