내년도 사이버 공격 지속 전망
미국·EU 등 SBOM 필수 활용
과기부, 가이드라인·점검표 공개
변곡점 맞은 K-SW <4>
지난 7월 전 세계를 덮친 '죽음의 블루스크린' 사건으로 알려진 크라우드스트라이크 전산 마비 사태를 계기로 소프트웨어(SW) 공급망 보안의 중요성이 주목받고 있다. 글로벌 보안 기업조차 공급망 위협에서 자유롭지 않다는 점이 드러나면서 SW 공급망 보안 강화가 기업과 국가 모두의 필수 과제로 떠오른 것이다. 이에 SW 공급망 보안을 위해 오픈소스 관리와 소프트웨어 자재 명세서(SBOM) 활용 등 체계적인 보안 체계 구축이 필요하다는 지적이 제기되고 있다.
5일 안랩의 '2025년 5대 사이버 보안 위협 전망' 보고서를 살펴보면 내년에도 SW 공급망 공격이 지속적으로 증가할 것으로 전망된다. 초연결 시대가 도래하며 SW와 IT 시스템 간 의존도가 높아지고 공급망의 복잡성이 증가하면서, 공격자들은 한 번의 침투로 공급망 내 여러 조직의 운영에 영향을 미치는 SW 공급망 공격을 활발히 시도할 가능성이 커지고 있는 것이다.
SW 공급망은 SW 개발 전 과정에서 사용되는 코드, 오픈 소스 라이브러리, DevOps 도구 및 이를 운영하는 인력까지 포함하는 체계다. 이 모든 요소는 보안 취약점으로 이어질 수 있어 철저한 보호가 필요하다. 안랩은 "SW 공급망 공격이 협력업체나 공급업체의 SW 개발 단계에 침입해 최종 제품과 사용자에게 피해를 입히는 방식으로 이뤄진다"며 "이와 같은 위협에 대응하려면 조직은 협력업체와의 주기적인 보안 감사를 실시하고, 공급망 전반의 가시성을 확보해야 한다"고 강조했다.
SW 공급망 공격은 단순히 특정 조직에 국한되지 않고, 연결된 여러 조직의 운영에 심각한 영향을 미칠 수 있다는 점에서 더 위협적이다. 특히 공격자는 보안 관리가 상대적으로 취약한 중소 협력업체를 주요 표적으로 삼아 공격을 시도하는 경우가 많다. 공격 방식은 SW 개발 초기 단계에서 악성 코드를 삽입하거나 업데이트를 통해 악성 소프트웨어를 배포하는 형태로 이뤄지며, 성공 시 대규모 피해를 초래할 수 있다.
미국과 유럽연합(EU) 등 주요국은 공급망 보안을 강화하고자 SBOM을 필수적으로 활용하고 있다. 미국은 바이든 행정부의 사이버보안 행정명령을 통해 공공기관 납품 SW에 SBOM 제출을 의무화했다. 유럽연합 역시 '사이버 회복력법(Cyber Resilience Act)'을 통해 SBOM 사용을 규제화했다.
SBOM은 SW의 구성 요소와 취약점을 체계적으로 파악할 수 있는 명세서로, 공급망 보안을 강화하는 데 효과적인 도구로 평가받는다. 개발자는 SBOM을 통해 사용하는 공개 SW 및 타사 SW 구성 요소의 최신 버전 여부를 확인하고, 새로운 보안 취약점에 신속히 대응할 수 있다. 구매자는 SBOM을 활용해 보안 취약점 및 라이선스를 투명하게 분석해 제품의 전반적인 위험 수준을 평가할 수 있다. 운영자는 SBOM을 사용해 새로 발견된 보안 취약점이 잠재적 위험으로 이어질 가능성을 빠르게 식별하고 관리할 수 있게 된다.
국내에서도 노력이 이어지고 있다. 과학기술정보통신부는 'SW 공급망 보안 가이드라인'을, 금융보안원은 '금융회사 대상 SW 공급망 자율점검 체크리스트'를 공개하며 공급망 보안 강화를 지원하고 있다.
소만사 관계자는 "크라우드스트라이크 전산 마비 사건 등 대형 사고를 계기로 SW 공급망 보안의 중요성이 부각됐다. 국내 정부도 SW 수출 경쟁력을 높이기 위해 소프트웨어 자재 명세서 의무화 정책을 강화할 것으로 보인다"며 "악성코드와 보안 취약점을 선제적으로 차단하고 대응할 수 있는 솔루션이 내년 주요 관심사가 될 것"이라고 말했다.
엄흥렬 순천향대 정보보호학과 교수는 "SW 공급망 보안은 올해에 이어 내년에 가장 중요한 보안 화두 중 하나가 될 것"이라며 "SBOM은 SW 공급망 전반에 걸쳐 투명성을 확보하고, 취약점을 빠르게 식별할 수 있는 효과적인 수단이다. 미국과 유럽에서는 이미 이를 의무화하며 공급망 보안을 체계적으로 관리하고 있기 때문에 국내에서도 SBOM 활용과 오픈소스 취약점 관리를 체계화하는 노력이 확대되어야 한다"고 설명했다.
유진아기자 gnyu4@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
