지난 9월 말 돈 그레이브스 미국 상무부 부장관과 함께 방한했던 미국 사이버 보안 업계 관계자들이 한국의 SBOM(소프트웨어 자재명세서) 등 SW(소프트웨어) 공급망 보안 여부에 관심을 보였던 것으로 확인됐다. 미 업계 관계자들은 한국에 SBOM 도입이 아직 부족하다는 점을 알자 안보적인 이유를 들며 자사 제품을 권유했던 것으로 나타났다. 업계에서는 SBOM 제도화를 서둘러야 한다는 목소리가 나온다.
5일 IT(정보보안) 업계에 따르면 당시 미국 측과 국내 사이버 보안 업계 관계자들은 한국이 직면한 사이버 보안 이슈에 대해 논의하다가 자연스레 SBOM 이야기를 나눴다. 참석자들은 전세계적으로 공급망 보안이 중요해진 가운데 SBOM 기술이 가장 발달한 미국이 한미 사이버동맹을 상업적인 측면으로까지 확장시키려 한다는 인식을 받았다고 했다.
SBOM은 현재 전세계적으로 주요 공급망 보안 기법으로 주목받고 있다. SBOM은 SW의 구성요소와 그들 간의 관계를 적은 목록이다. SW 뿐만 아니라 오픈소스나 외부 서비스 등 다양한 부분을 포함한다. SW가 해킹 등 사이버 공격을 받거나 오류를 일으켰을 때 SBOM이 있으면 문제점을 빠르게 파악할 수 있어 그만큼 복구가 빠르고 피해를 줄일 수 있다는 장점이 있다.
미국 연방정부는 공급망 보안을 위해 2021년 5월 정부 조달 SW제품에 대해 SBOM을 의무적으로 제출하도록 하는 행정명령을 내렸다. 공격자가 오픈소스 공급망 보안을 뚫고 악성코드를 주입할 경우 해당 오픈소스를 사용하는 모든 기업 및 공공기관 등이 전부 이에 감염될 수 있다. SBOM 작성이 막대한 피해를 사전에 막기 위한 일종의 안전장치인 셈이다.
EU(유럽연합)도 최근 집행위원회에서 사이버복원력법안을 제안했다. 해당 법안은 SW 제조업체에 △설계·개발·생산 단계부터 외부 인터페이스를 포함한 공격 표면 제한 △악용 완화 메커니즘·기술 활용 △SBOM 등 구성요소 문서화 △자동 보안 업데이트 등을 필수요건으로 제시한다. 이를 지키지 않는 제조업체에는 1500만 유로(약 213억원)의 과징금을 부과한다.
국내 유관부처도 SBOM의 중요성을 인식해 제도 도입 작업에 착수했다. 공공기관 SW 보안을 담당하는 국가정보원은 최근 KISIA(한국정보보호산업협회)와 공공기관에 ICT제품을 납품하는 업체들을 상대로 공급망 보안 현황파악에 나섰다. 국정원은 공급망 보안에 대한 업계의 평균적인 인식을 파악한 뒤 최종적으로는 공공SW SBOM 작성을 의무화시킬 방침이다.
과학기술정보통신부도 KOSA(한국소프트웨어산업협회), KISIA 등과 함께 민간 사이버 보안 업계 인식 개선 작업에 나섰다. 당국은 민간협의체를 만들어 업계에 SBOM의 필요성을 알리고 제도 도입 방안을 마련 중이다. 과기정통부는 또 연말까지 SBOM 실증사업을 진행한 뒤 결과를 바탕으로 연내에 SBOM 작성 및 관리 등의 요령을 담은 가이드라인을 발간할 계획이다.
한편 업계에서는 당국이 좀 더 서둘러야 한다는 목소리가 나온다. 미국이나 유럽 등 선진국에서는 이미 SBOM 작성을 의무화하는 등 공급망 보안 정책을 시도 중인데 국내는 아직까지 업계 의견수렴 단계인데다가 실증사업조차도 기초적인 수준에 머무르고 있기 때문이다. 업계에서는 이러다가 보안 제품 수출 과정에 새로운 장벽이 생겨날 수 있다는 지적이 나온다.
한 보안 업계 관계자는 "국정원과 과기정통부에서 나름 여러 노력을 하고 있지만 아직까지는 지지부진한 상태"라며 "오픈소스 공급망 보안에 대한 위험은 국내도 충분히 높은 상태인 만큼 공공 분야에서라도 좀 더 빠르게 제도를 도입했으면 한다. 공공 분야에서 먼저 시작하고 민간에서 따라가는 식으로라도 공급망 보안을 서둘러야 한다. 안그랬다간 수출길이 막혀버릴 것"이라고 했다.
[저작권자 @머니투데이, 무단전재 및 재배포 금지]