정부나 공공기관, 기업이 활용할 수 있는 소프트웨어(SW) 공급망 보안관리 가이드라인 1.0이 나왔습니다. 과학기술정보통신부, 국가정보원, 디지털플랫폼정부위원회와 민간 전문가 협력으로 마련된 가이드라인인데요. 확산되고 있는 SW 공급망 사이버보안 위험과 미국, 유럽 등 해외 주요국의 SW 구성요소 명세서(SBOM) 제출 의무화 등에 대응해 정부·공공기관과 기업이 자체적인 SW 공급망 보안 관리역량을 갖출 수 있도록 지원하기 위한 목적으로 만들어졌습니다.
SW 공급망은 최종 SW 제품을 생산하는 사람, 장치, 시스템의 집합을 말합니다. 이는 개발자가 코드를 작성할 때부터 해당 코드가 제품으로 생단된 후, 사용자 시스템에서 실행되는 과정까지 일어나는 모든 일을 의미하죠. 초연결 사회, 디지털 제품과 서비스에 대한 SW 부품(코드) 공급의 분업화로 관리 책임이 복잡해져 제품과 서비스 무결성에 대한 신뢰도가 하락하고 있는 상황에서 SW 공급망 보안을 위한 가이드라인의 필요성이 대두된 겁니다.
따라서 이 가이드라인은 보다 실효성에 목적을 두고 구성됐는데요. 국산 SW에 대한 SBOM 실증 및 SW 공급망 보안 테스트베드(판교) 시범 운영 결과 등이 반영되어 있습니다. 가이드라인에는 기관과 기업들이 SBOM 기반 SW 공급망 보안 관리체계를 도입하는 과정에서 시행착오를 줄일 수 있도록 SBOM 유효성 검증, SW 구성요소 관리 요령 및 SBOM 기반 SW 공급망 보안 관리 방안 등을 상세하게 수록하고 있습니다.
지난 13일부터 배포되는 지난 13일부터 배포되는 가이드라인은 전체본(100여 페이지)과 요약본(16 페이지)으로 제공됩니다. 정부는 이 가이드라인이 다양한 산업분야에서 활용될 수 있도록 홍보하는 한편, 디지털플랫폼정부 주요시스템 구축 시 SBOM을 시범 적용해 우수사례를 도출해 발전시켜나갈 계획입니다. 국내 중소기업을 위한 도입 지원 역시 제공합니다.
지난 수년간 SW 공급망 공격은 국제적인 논의의 중심이 되고 있죠. 미국, 유럽 등 주요국을 중심으로 SW 공급망 보안 제도화 추진 중에 있고요. 우리나라도 SBOM 기반 SW 공급망 보안 체계 확산을 위해 SW 공급망 전 단계에서 SBOM을 원활하게 유통할 수 있는 관리 체계 마련이 필요한 상황입니다.
이런 배경 아래서 향후 정부는 SBOM 도입 등의 제도화도 추진할 예정이라고 합니다. 정부는 기업에 대한 SBOM 적용 지원을 강화하면서 SW 공급망 보안 저변을 확대하고, 향후 주요국의 제도화 동향과 국내 산업 성숙도를 고려하며 점진적으로 제도화를 준비해나갈 계획을 세웠는데요. 이를 위해 올 하반기 산·학·연 전문가들이 참여하는 범정부 합동 TF를 구성해 세부적인 정부지원 방안, 제도화 추진방향 등을 논의한 후 'SW 공급망 보안 로드맵'을 마련할 계획입니다.
콘텐츠 제공 : 바이라인네트워크(byline.network)
