“당하는 줄도 모르고 당한다”…SW 공급망 해킹 늘자 팔 걷은 정부

과기정통부·국정원·디플정위 'SW 공급망 보안 가이드라인1.0' 공개
"SW 공급망 보안의 개념을 쉽게 이해하고, 활용할 수 있도록 마련"

ⓒ뉴시스

소프트웨어(SW) 보안 취약점과 업데이트 구조를 악용해 시스템에 침투하는 이른바 SW 공급망 공격에 대한 우려가 고조되는 가운데, 정부가 민·관 협력을 바탕으로 ‘SW 공급망 보안 가이드라인’을 마련했다.

과학기술정보통신부, 국가정보원, 디지털플랫폼정부위원회는 한국인터넷진흥원(KISA)과 18일 광화문 인근에서 ‘SW 공급망 보안 가이드라인 간담회’를 개최했다.

이날 간담회에는 과기정통부 강도현 2차관, 국정원 윤오준 3차장, 디플정위 이용석 단장, 대통령실 신용석 사이버안보비서관 등 관계부처 및 정보통신(ICT), 정보보호, 정유업, 방위산업 등 다양한 산업분야 전문가들이 참석해 민관 협력으로 마련한 ‘SW 공급망 보안 가이드라인’의 주요 내용을 공유하고, 향후 국내 확산방안 등을 논의했다.

첫 발표자로 나선 고려대 최윤성 교수가 ‘공급망 위기관리 체계’ 등 SW 공급망 보안 가이드라인 주요내용을 소개했다.이어 한남대 이만희 교수는 SW 공급망 보안 가이드라인을 기반으로 하는 소프트웨어 자재 명세서(SBOM) 생성과 보안취약점 관리 실증사례를, KAIST 강병훈 교수는 SW 개발기업의 중요 자산인 SBOM의 안전한 활용방안을 공유했으며, 참석자들 간 논의가 이어졌다.


◆총 4장으로 구성…SW 공급망 보안 위한 가장 효과적인 수단으로 SBOM 국제 표준 소개

이날 공개된 가이드라인은 정부·공공 기관, 민간 기업의 의사결정자와 실무자들도 SW 공급망 보안의 개념을 쉽게 이해하고, 활용할 수 있도록 지원하기 위해 마련했다.

가이드라인은 총 4개장으로 구성돼있으며, ▲대통령 직속 디지털플랫폼정부위원회의 공급망 보안 정책방향 ▲국내 전문가들의 연구결과 ▲국산 SW에 대한 SBOM 실증 및 SW 공급망보안포럼 논의 결과 ▲SW 공급망 보안 테스트베드 시범운영 및 민관 정책협의체 논의 결과를 담고 있다.

제1장에서는 디지털화에 따른 공개 SW 활용 확대 등 환경변화, 주요 SW 공급망 보안 사고사례·이에 대응하는 미국, 유럽, 일본 등 주요국의 SW 공급망 보안 제도화 추진현황 분석을 담았다. 이를 통해 우리나라도 SBOM을 원활하게 유통·공유할 수 있는 관리체계를 마련·확산할 필요가 있다는 시사점을 도출했다.

제2장은 국내 SW 공급망 보안 전문가들의 연구결과를 반영한 것으로, 안전한 SW 개발·운영을 위해 지켜야 할 개발(공급)사 및 SW 고객(운영)사의 역할을 규정했다. 아울러 ‘SW 공급망 참여자들의 사이버보안 및 활동 권고’와 함께 안전한 SW 개발체계(SSDF) 활용방안을 제시했다.

또 SW 공급망 보안을 위한 가장 효과적인 수단으로 활용되고 있는 SBOM 국제 표준을 소개했고, 정부·공공 기관 및 민간 기업들이 활용할 수 있는 ‘SW 개발 생명주기에 따른 SBOM 관리방안’과 함께 국가적 차원의 SW 공급망 보안 관리체계도 제시했다.

제3장은 국내 정부·공공 기관 및 민간 기업들이 SW 공급망 보안 관리를 위한 시행착오를 줄일 수 있도록 지원하기 위해 마련했다. 이를 위해 과기정통부·KISA는 국내 사이버보안 전문기업들과 함께 국산 SW를 대상으로 SBOM을 생성하고, 보안 취약점을 탐지·조치하는 일련의 과정을 제시했으며, 실무자들이 쉽게 활용할 수 있는 공급망 각 단계별 이용자 보안 점검항목 30개도 제시했다.

제4장은 국내 정부·공공 기관 및 민간 기업 등의 SBOM 기반 SW 공급망 보안 도입 지원을 위한 정부 지원상황을 소개하고 있다.


◆“SBOM 시범적으로 활용해 모범사례 만들겠다”

정부는 SW 공급망 보안 가이드라인을 KISA, NIPA 및 한국소프트웨어산업협회(KOSA), 한국정보보호산업협회(KISIA) 등 유관 단체를 통해 정부·공공기관 및 민간 기업들이 활용할 수 있도록 널리 확산할 계획이다.

강도현 과기정통부 2차관은 “SW 공급망 보안 가이드라인이 기업활동을 저해하는 규제가 아니라 기업 자체적인 보안활동을 강화함으로써 국산 SW의 품질을 높이고, 국제적인 경쟁력을 확보해나갈 수 있는 기반이 될 수 있도록 중소기업 지원에 노력을 아끼지 않겠다”고 말했다.

윤오준 국정원 3차장은 “이번 가이드라인 발표를 계기로 산업계와 적극 소통하고 해외 국가와 협력을 강화해 국내 산업계의 부담을 줄이면서도 사이버안보를 강화할 수 있는 공급망 보안 대책을 마련하겠다”고 말했다.

이용석 디플정위 추진단장은 “안전하고 신뢰할 수 있는 디지털플랫폼정부 구현을 위해 시스템 구축 시 SBOM을 시범적으로 활용해 모범사례를 만들고, 나아가 안전한 SW 생태계가 공공부문에 안착될 수 있도록 노력하겠다”고 말했다.

[서울=뉴시스]