EU ‘CRA’ 취약점·보안사고 보고 의무, 11일부터 시행 작성일 09-08 61 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="fRQ2OaV7SY"> <figure class="figure_frm origin_fig" contents-hash="97948133c17d54e70e3850923f13787cd879d08b7d13ae7305483f8d1ad7496e" dmcf-pid="4exVINfzSW" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/08/joongang/20260908143638053hetk.jpg" data-org-width="512" dmcf-mid="VU3Hd2XSWG" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/08/joongang/20260908143638053hetk.jpg" width="658"></p> </figure> <p contents-hash="38bacabf9c2ea0f186be587681f254e2d860452b453bdcc2283c28f2731e1d15" dmcf-pid="8dMfCj4qCy" dmcf-ptype="general"> 유럽연합(EU)의 사이버복원력법(Cyber Resilience Act·CRA)에 따른 취약점 및 보안사고 보고 의무가 오는 9월 11일부터 시행된다. EU 시장에 디지털 요소가 포함된 제품을 공급하는 제조사는 실제 악용된 취약점이나 중대한 보안사고를 인지하면 24시간 이내에 조기경보를 제출해야 한다. </p> <p contents-hash="a9d53ddc24000740a823c8404cd422ce98335d1f7a4cfa55af5cc73bd9cfe397" dmcf-pid="6JR4hA8BlT" dmcf-ptype="general">이후 72시간 이내에 취약점·사고의 성격과 영향 범위를 담은 정식 통지를 제출해야 하며, 수정·완화 조치 제공 후 14일 이내(중대한 보안사고는 처리 완료 후 1개월 이내)에 최종 보고까지 마쳐야 한다. 보고는 유럽연합 사이버보안청(ENISA)의 단일보고플랫폼(SRP)을 통해 이뤄진다. </p> <p contents-hash="51e25bbfeb35c16e1012fbb6fa1b2f30c35d35c16b0abd766bfd38f8e1be4832" dmcf-pid="PF5yxBWIlv" dmcf-ptype="general">CRA의 제품 보안 관련 주요 의무는 2027년 12월부터 전면 적용되지만 제14조의 취약점·보안사고 보고 의무는 이보다 앞선 2026년 9월 11일부터 시행된다. </p> <p contents-hash="6376461744448377692e70c1ef2264bba030c949c6ce2a8695232bcbb088bd2c" dmcf-pid="Q31WMbYClS" dmcf-ptype="general">이에 따라 EU에 소프트웨어, IoT 기기, 산업장비, CCTV, 네트워크 장비 등 디지털 요소가 포함된 제품을 수출하는 국내 기업도 대응체계를 점검이 요구된다. </p> <p contents-hash="62b8f6e2dd4c58c031b81a791ed0ea3833df16b4486698df1926b8d24e6e6313" dmcf-pid="x0tYRKGhSl" dmcf-ptype="general">업계에서는 소프트웨어 자재명세서(SBOM) 생성만으로는 24시간 보고 의무에 대응하기 어렵다고 지적한다. 새로운 취약점이 발견되면 제조사는 해당 오픈소스·라이브러리가 어떤 제품·펌웨어에 포함돼 있는지, 어느 버전과 고객에게 영향을 미치는지 등을 짧은 시간 안에 판단해야 하기 때문이다. 또한 출시 이후 공격이나 비정상 행위 발생 여부를 확인하려면 제품 내부 프로세스·파일·계정·네트워크 통신에 대한 운영 단계의 가시성도 필요하다. </p> <p contents-hash="1ada5b1dc2176b945e2409c16021cda8c69f3c7da11da0b8d229565ab706d3fb" dmcf-pid="yNoRYme4lh" dmcf-ptype="general">보안 솔루션 기업 피넛에이아이는 제조기업이 CRA 보고 의무 대비를 위해 우선 점검할 사항으로 ▶EU 공급 제품 및 버전 식별 ▶제품별 소프트웨어·펌웨어 구성요소 관리 ▶실제 악용 취약점의 영향도 검증 ▶24시간 내 내부 보고·의사결정 체계 ▶출시 제품의 이상행위 탐지 및 보안 업데이트 체계 등을 제시했다. </p> <p contents-hash="43b44c2ddd511fbfeceee933e83de09e54f28dede721bed80d516a651cde749b" dmcf-pid="WjgeGsd8hC" dmcf-ptype="general">황지영 피넛에이아이 대표는 “취약점·사고를 인지한 순간부터 24시간 안에 영향받는 제품과 고객, 실제 위험 수준을 파일이 중요”하다며 “SBOM과 펌웨어 분석, 취약점 영향도 검증, 제품 내부 이상행위 탐지가 연결돼야 신속하고 근거 있는 보고와 후속 조치가 가능하다”고 설명했다. </p> <p contents-hash="c63a4cf2065c22591ec54771eb31312e5027b2de0c972ec2cd2b9899ec2a94b2" dmcf-pid="YAadHOJ6lI" dmcf-ptype="general">피넛에이아이의 ‘ModOn-V’는 소스코드가 없는 실행파일·펌웨어도 분석해 제품에 포함된 소프트웨어 구성요소와 취약점을 식별하고 SBOM·FBOM을 생성한다. ‘ModOn-SV’는 탐지된 취약점의 실행경로와 영향을 검증해 대응 우선순위를 판단하도록 지원한다. 아울러 경량 IoT 보안 에이전트 ‘ModOn-I’가 기기 내부의 프로세스, 파일·디렉토리, 계정, 네트워크 통신에서 발생하는 이상행위를 탐지해 제조사는 취약점 식별부터 실제 영향도 검증, 운영 중 공격 징후 확인, 보안정책 적용과 업데이트까지 하나의 흐름으로 관리할 수 있다는 설명이다. </p> <p contents-hash="feda5af34a8cac6769574bc96e4921f475b63f4e1f0b584ef19d3d3f81ed3ec1" dmcf-pid="GcNJXIiPSO" dmcf-ptype="general">황 대표는 “CRA는 보안을 출시 전 검사로 끝내는 것이 아니라 설계·생산, 판매 이후 업데이트까지 이어지는 제품 생애주기 관리로 전환시키고 있다”며 “글로벌 제품 보안 규제에 실질적으로 대응할 수 있도록 기술과 적용 모델을 지속 제공할 계획”이라고 말했다. </p> <p contents-hash="a648ce81d3b38736c7571ce74db0b369d279f87d8fbe7aeadcfffd87a31749b0" dmcf-pid="HmDa3TNdSs" dmcf-ptype="general">한아름 인턴기자 han.areum2@joongang.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 중앙일보. 무단전재 및 재배포 금지.</p> 관련자료 이전 '포스트 PBS' 이행 계획 의결…“출연연, 국가 R&D 거점 도약” 09-08 다음 [현장] 이준희 삼성SDS 대표 "AI 도입 기업 88%, 이익 기여 6% 불과⋯ 성공적인 AX 전환 절실" 09-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
