장은미 에스트래픽 이사가 5일 서울 피스앤파크 컨벤션에서 열린 SW 공급망 보안 모델 구축 지원사업 성과 공유회에서 발표를 하고 있다. /사진=김승한 기자


글로벌 보안 규제 강화와 연쇄적 공급망 위협 증가에 대응하기 위해 SBOM(소프트웨어 자재명세서) 기반 SW(소프트웨어) 보안 모델 구축 성과가 공유됐다.
과학기술정보통신부와 KISA(한국인터넷진흥원)는 5일 서울 피스앤파크 컨벤션에서 의료·금융·교통 등 주요 산업에서의 보안 적용 사례와 민관 협력을 통한 공급망 보안 내재화 방안을 논의하는 성과공유회를 개최했다.
바다이야기SBOM은 제조업의 BOM(자재명세서) 개념을 SW에 적용한 것으로 SBOM을 통해 SW의 구성요소를 식별하고 관리하는 데 활용한다.
최근 전 세계적으로 SW의 보안취약점을 악용하거나, SW 공급망에 침투해 악성코드를 삽입하는 등의 SW 공급망 위협에 대한 우려가 커지고 있다. 이에 따라 미국·EU(유럽연합) 등 주요국은 SBOM 야마토게임연타 제출 혹은 관리를 의무화하는 등의 SW 공급망 보안 강화 정책·제도 등을 추진하고 있어 국내 수출 기업에게 부담으로 작용할 우려가 있다.
또 이러한 SW 공급망 위협은 단일기업의 피해가 아닌 SW 공급망에 속한 기업들에 대한 연쇄적 피해로 확산될 수 있어 SW 공급망 보안 강화의 필요성도 함께 대두되고 있다.
이에 과기정 야마토게임하기 통부는 국내 SW 개발·공급 기업들의 SW 공급망 보안 강화를 위해 SW 공급망 보안 모델 구축 지원사업을 마련하고, 8개 컨소시엄을 선정해 SBOM 기반의 SW 공급망 보안 모델의 구축·운영을 지원했다.
이날 성과공유회에서는 의료, 교통, 보안, 금융 등 다양한 산업군에서의 SBOM 기반 SW 공급망 보안 강화에 대한 성과 발표가 있었다 바다이야기합법 . 발표에는 글로벌 규제 대응 사례(에스트래픽, 에이아이트릭스, 한드림넷), 공급망 위협 대응을 위한 SBOM 공유 사례(휴네시온, 소만사), 공급망 보안 내재화 사례(에이아이스페라, 인젠트, 알체라)가 포함됐다.
장은미 에스트래픽 이사는 "미국 고객 요구사항 대응을 위해 다양한 보안 산출물과 절차를 정의하고, 이를 정책서와 도구 체계로 릴게임 구현하는 작업을 진행했다"며 "특히 SSP(시스템보안계획서), 사이버 시큐리티 플랜, SBOM 등 다양한 산출물을 분석하고 대응 방안을 마련하는 데 주력했다"고 설명했다.
박정호 에이아이트릭스 CISO(정보보호최고책임자)는 "미국 의료기기 시장 진출을 대비해 SBOM 자동화 도구와 취약점 탐지 체계를 도입했다"며 "FDA 사이버 보안 요구사항에 따라 바이너리 SBOM 대응 능력도 단계적으로 강화하고 있다"고 했다.
특히 이번 지원사업은 단순히 재정적 지원에 그치지 않고 미국·EU 등 주요국의 보안 요구사항 충족, 보안 취약점 조치 등을 위한 기술지원까지 함께 제공해 SW 공급망 보안에 대한 기업들의 부담과 어려움을 최소화했다.
한편 이날 성과공유회에서는 지원사업의 성과 발표뿐만 아니라 외부 전문가와 KISA 등에서 SW 공급망 보안 관련 최신 동향을 소개하고, 참여 기업들의 애로사항과 SW 공급망 관련 현안을 공유하는 등 SW 공급망 보안의 확산을 위해 민·관이 함께 논의하는 시간도 가졌다.
임정규 과기정통부 정보보호네트워크정책관은 "SBOM으로 대표되는 SW 공급망 보안은 단순한 보안 강화를 넘어 이제 SW 기업에게 글로벌 시장 진출과 직결되는 핵심 요소가 됐다"며 "SW 공급망 보안 모델을 지속적으로 확산하는 등 우리나라의 SW 공급망 보안을 강화하기 위해 아낌없이 지원하겠다"고 말했다.
김승한 기자 winone@mt.co.kr 기자 admin@119sh.info