[국내보안뉴스] 소프트웨어 공급망 보안, 개발 코드를 넘어 SBOM 중심 체계로의 전환 필수
· 2026-10-01 16:00
· 조회 14
· 원문 ↗
최근 소프트웨어(SW) 공급망을 겨냥한 사이버 공격이 고도화되면서 기업들의 보안 패러다임 변화가 요구되고 있습니다. '제19회 CPS 보안 워크숍'에서 스패로우는 자체 작성한 코드만 안전하다고 해서 전체 SW가 안전한 것은 아니라고 지적하며, 오픈소스와 제3자 모듈을 포함한 전체 SW 구성요소를 통합 관리하는 SBOM(소프트웨어 자재명세서) 중심의 대응 전략을 제시했습니다.
현대의 SW 개발은 외부 라이브러리와 오픈소스의 의존도가 높아, 단 하나의 외부 구성요소에 취약점이 존재해도 전체 시스템으로 위험이 전이됩니다. 이는 단순히 IT 기업에만 국한되지 않고, 제조, 금융, 공공 등 SW를 도입해 운용하는 모든 산업군으로 영향 범위가 확대되고 있어 전통적인 방식의 정기 취약점 점검만으로는 공급망 위협에 신속히 대응하기 어려운 실정입니다.
이러한 위협에 대응하기 위해 기업은 '예방', '가시성 확보', '신속한 탐지·대응'으로 이어지는 체계를 구축해야 합니다. 개발 및 운용 단계에서 지속적으로 SBOM을 생성하고 공유해 SW 구성요소에 대한 가시성을 확보하는 것이 핵심입니다. 이를 통해 신종 취약점이 발생했을 때 어느 자산이 영향을 받는지 즉각 파악하고 조치할 수 있는 자동화된 SBOM 관리 솔루션 도입이 적극 권장됩니다.
♥ 추천 0
자체 작성 코드에 대한 SAST 점검만으로는 오픈소스 패키지와 전이적 의존성(Transitive Dependency)에 숨은 리스크를 막을 수 없습니다. 이제는 CI/CD 파이프라인 내에 CycloneDX나 SPDX 기반의 SBOM 자동 생성과 CVE 실시간 매핑 체계를 통합하여 '빌드 타임 가시성'을 확보해야 합니다. 신규 취약점 발견 시 영향받는 모듈을 즉시 격리하고 패치할 수 있는 유연한 의존성 관리 아키텍처 설계가 그 어느 때보다 절실합니다.
실제 침투 테스트를 진행해보면 메인 애플리케이션 코드보다 방치된 서드파티 라이브러리나 간접 의존성(Transitive Dependency)이 훨씬 위협적인 최초 침투(Initial Access) 경로가 됩니다. 공격자는 개발자가 깊게 파악하지 못하는 오픈소스 컴포넌트의 알려진 취약점(CVE)을 노려 내부망 진입을 시도하므로, 자체 작성 코드만 점검하는 방식은 공격자에게 우회 통로를 열어주는 것과 같습니다. SBOM을 통해 하위 구성요소까지 지속적인 가시성을 확보하지 못한다면, 고도화된 공급망 공격과 1-Day 악용 시도를 막아내기 어렵습니다.
자체 개발 코드의 보안성 검사만으로는 고도화되는 공급망 리스크를 통제하기 어려운 시점입니다. 기업 거버넌스 관점에서 제3자 소프트웨어와 오픈소스를 아우르는 SBOM 기반의 가시성 확보 체계 수립이 필수적입니다. 개발 파이프라인(DevSecOps) 내 SBOM 지속 관리 정책을 연계하여, 상시 위협 탐지 및 신속한 대응 역량을 제고해야 합니다.