과기정통부·국정원, SBOM 기반 보안체계 확산…범정부 SW 공급망 보안협의체 구성 추진
정부가 인공지능(AI)을 활용한 대규모 사이버공격과 소프트웨어(SW) 공급망 위협에 대응하기 위해 ‘AI 일상화 시대를 준비하는 SW 공급망 보안 로드맵’을 마련했다. 과학기술정보통신부와 국가정보원은 개발·공급 단계부터 보안을 내재화하고, AI 기반 방어체계와 범정부 협의체를 구축해 국가·기업의 공급망 보안 역량을 강화한다는 방침이다.
과학기술정보통신부는 국가정보원과 함께 ‘AI 일상화 시대를 준비하는 소프트웨어 공급망 보안 로드맵’을 마련했다고 지난 24일 밝혔다.
이번 로드맵은 24일부터 25일까지 열리는 2026년도 공급망 보안 워크숍에서 과기정통부의 SBOM 기반 공급망 보안체계 구축 사업 성과와 함께 발표된다. 상세 내용은 국가사이버안보센터와 한국인터넷진흥원(KISA) 누리집에서 확인할 수 있다.
최근 소프트웨어는 제조, 교통, 의료 등 다양한 산업에 결합되며 디지털 전환의 핵심 요소가 되고 있다. 이에 따라 SW 공급망은 빠르게 확대되고 복잡해지고 있으며, 공급망 내 취약점을 노린 사이버공격이 여러 기관과 기업의 연쇄 피해로 이어지는 사례도 늘고 있다.
특히 고성능 AI 기반 공격은 광범위한 취약점 탐지와 자동화된 공격 수행을 가능하게 해 공격 속도와 규모를 크게 키우고 있다. 정부는 기존 SW 공급망 보안체계만으로는 이러한 위협을 방어하는 데 한계가 있다고 보고, 범정부 차원의 대응 로드맵을 마련했다.
로드맵의 첫 번째 전략은 개발·공급 단계부터 보안을 내재화하고 SW 투명성을 높이는 것이다. 정부는 공급망 보안 기준과 가이드를 개발하고, 기업의 보안 수준 점검과 개발 환경 전환을 지원할 계획이다.
또한 SBOM 활용을 확산한다. SBOM은 소프트웨어를 구성하는 전체 컴포넌트와 의존관계를 기술한 자재명세서다. 이를 활용하면 어떤 부품과 오픈소스가 SW에 포함됐는지 파악할 수 있어 취약점 관리와 공급망 투명성 확보에 도움이 된다.
정부는 SBOM 기반 공급망 보안 관리 모델을 확대하고, 공급망 보안체계에 AI를 적용하는 자동화 연구도 추진한다. 이와 함께 기업 내 보안 인식을 높이고 보안 전문기업과 전문인력을 양성해 보안 중심 개발 문화를 정착시킨다는 방침이다.
두 번째 전략은 공급망 위협의 빠른 탐지와 대응체계를 마련해 피해 확산을 최소화하는 것이다. SW 공급망 공격은 한 기업의 취약점이 여러 기업과 기관의 연쇄 피해로 이어질 수 있는 특성이 있다.
정부는 버그바운티, 취약점 신고포상제, 신고·조치·공개 제도인 CVD·VDP 등을 활용해 공급망 보안 취약점 발굴 채널을 확대한다. 또 신속한 위협 탐지와 조치를 위해 AI 기반 공급망 방어체계를 구축하기로 했다.
공공납품 정보통신제품에 대해서는 안보 위해 여부를 검증하고 대응하는 방안도 마련한다. 민간과 공공 분야별 공급망 보안 위험관리 체계를 각각 구축한 뒤, 상호 협력을 통해 위협 확산을 차단할 계획이다.
세 번째 전략은 SW 공급망 보안 강화를 위한 정책 추진체계와 제도 기반을 정비하는 것이다. 정부는 범정부 SW 공급망 보안협의체를 구성하고, 공급망 보안 포럼 운영을 통해 민간의 자율적 보안 활동을 지원한다.
민간과 공공 분야의 보안 제도에는 공급망 보안 요소를 포함하도록 정비한다. 보안적합성 제도는 대상 제품을 확대하고 요구사항을 세분화할 예정이다.
국제 협력도 강화한다. 정부는 사이버보안 선도국과 협력을 확대하고 국내 인증제도와 해외 제도의 상호인정을 넓혀 국내 기업의 해외 진출을 지원할 계획이다.
임정규 과기정통부 정보보호네트워크정책관은 “복잡해지는 SW 공급망을 노린 사이버 위협이 증가하고, AI를 활용한 빠르고 광범위한 사이버공격이 본격화되는 상황에서 공급망 보안이 어느 때보다 중요해졌다”고 말했다.
그는 이어 “SW 공급망 보안 로드맵 발표를 기점으로 공급망 보안을 지속 강화해 나가겠다”고 밝혔다.
국정원 관계자는 “SW 공급망 보안 로드맵이 국가와 기업의 사이버안보 수준을 한 단계 끌어올리는 중요한 이정표가 될 것으로 기대한다”며 “민·관 협력을 통해 글로벌 공급망 위협에 선제 대응하겠다”고 강조했다.
정부는 이번 로드맵을 통해 AI 시대에 맞는 SW 공급망 보안 체계를 구축하고, 개발부터 공급, 사후관리까지 이어지는 전 주기 보안 기반을 강화할 계획이다.
헬로티 김진희 기자 |
