SBOM, 글로벌 규제가 밀어붙이는 차세대 보안전략

자동차에서 SDV와 더불어 SW의 규모가 늘어나며, 수많은 3rd Party(Open source, 표준 Library, 표준 플랫폼 등)에 의존하지만, 어떤 SW의 부품들을 사용하는지 투명하게 파악하는 것이 어려운 현실입니다.

이전의Log4j 사건[1]으로 인해 보안의 취약성에 대해 우리 제품이 영향을 받는지 즉각적인 답이 어렵고, 패치 필요 여부를 신속히 판단하기 힘들었습니다. 실제로 2021년 말 Log4j 취약점이 공개되었을 때, 많은 기업들이 자사 소프트웨어에 취약한 Log4j 라이브러리가 포함되어 있는지 인지하지 못한 채 위험에 노출되었습니다. 물론 자동차의 V2G(차량–그리드 간 통신), EV 충전소 시스템, IVI (인포테인먼트 시스템), RKE(디지털 키) 등에서 Log4Shell 취약점이 잠재적 공격 경로로 논의되기도 했습니다.  

이렇듯 소프트웨어 공급망 투명성 부족은 보안 위험을 높입니다. 공급망 공격(Supply Chain Attack) 사례인 SolarWinds 해킹 사건 이후, 소프트웨어 제작 과정에 악성 구성요소가 심어져도 이를 알아채기 어려운 문제에 주목하게 되었습니다. SBOM은 이러한 문제에 대한 생태계 차원의 해결책으로 떠올랐습니다. 
 
SBOM에 대한 관심이 높아지며 각국 정부와 표준 기구에서 관련 요구사항과 법규를 마련하고 있습니다. 특히 미국, 유럽연합(EU), 한국을 중심으로 한 흐름은 다음과 같습니다. 

미국 

2021년 미 연방정부의 사이버 보안 행정명령(EO 14028)을 통해 연방 기관이 조달하는 소프트웨어에 SBOM 제공을 의무화하겠다는 방침이 선언되어, 이를 계기로 NTIA(국가전기통신정보청) 주도로 SBOM의 최소 필수 요소(Minimum Elements)를 정의하고 가이드라인을 발표하였습니다. 예를 들어 NIST는 안전한 소프트웨어 개발 프레임워크(SSDF)에서 SBOM 생성·유지 방법을 다루고 있고, CISA는 SBOM 표준화와 오픈소스 소프트웨어 취약점 식별을 위한 로드맵을 발표하였습니다. 또한 미국 교통부 산하 NHTSA는 2022년 자동차 사이버보안 모범사례를 발표하며 차량 제조사들이 SBOM을 활용해 차량 소프트웨어 인벤토리를 관리하고 오픈소스 사용 시 취약점 관리를 철저히 할 것을 권고했습니다. 

유럽연합(EU) 

2022년 EU 집행위는 사이버 복원력법(CRA: Cyber Resilience Act)을 제안하여, 유럽 내 판매되는 모든 디지털 제품(공공·민간 구분 없음)에 대해 SBOM 등 사이버보안 기술문서 제출을 의무화하는 방향을 제시했습니다. CRA에 따르면 제조사는 제품 출시 시 최상위 수준의 SBOM을 규제당국에 제출해야 하며, 이를 통해 제품의 취약점 관리 여부를 확인하게 됩니다. 오픈소스 소프트웨어 자체는 규제 대상에서 제외되나, 상용 제품에 포함된 오픈소스까지는 SBOM에 기재해야 합니다. 현재 세부 요건은 표준화 기구에서 논의 중이며, 2027년부터 본격 시행될 예정입니다. EU CRA는 준수 의무를 어길 시 최대 1,500만 유로 또는 매출의 일정 비율에 달하는 과징금까지 부과할 수 있어, 미 연방규정보다 적용 범위도 넓고 제재 강도도 높습니다 

한국 

우리나라도 SBOM 도입을 통한 공급망 보안 강화 움직임이 시작되었습니다. 과학기술정보통신부, 국가정보원 등 관계 부처는 2024년 5월 ‘소프트웨어 공급망 보안 강화 가이드라인’을 공개하여, 국내 공공 및 민간 기관이 SBOM을 기반으로 소프트웨어 공급망 보안을 높일 수 있도록 지원하고 있습니다[3]. 이 가이드라인에서는 SBOM 활용 방안과 사례를 제시하고 있으며, 국내 소프트웨어를 대상으로 SBOM 시범사업 및 테스트베드 운영 결과도 반영되었습니다. 정부는 연말까지 산·학·연 전문가가 참여하는 범정부 TF를 통해 SBOM 확산을 위한 정책 로드맵을 마련하고, 추후 제도화 추진 방향도 논의할 계획입니다. 한국도 글로벌 기조에 맞춰 향후 공공 소프트웨어 입찰 등에서 SBOM 제출 의무화를 검토하고 있어, 기업들의 사전 준비가 요구됩니다.