사이버보안 자문사 에이스랩스(ACE LABS)가 유럽연합(EU) 사이버복원력법(Cyber Resilience Act·CRA)에 따른 제조사의 취약점·보안사고 보고 업무를 지원하는 서비스 ‘크래들(CRAdle)’을 출시했다.
에이스랩스가 24일 발표한 내용에 따르면 크래들은 서비스형 제품보안사고대응팀(Product Security Incident Response Team as a Service·PSIRT-as-a-Service) 플랫폼으로, 사내 보고체계 수립부터 신고 대상 검토, 보고 시한과 증적 관리, 제출 준비까지 지원한다.
EU 시장에 디지털 요소를 포함한 제품을 공급하는 제조사에는 오는 9월 11일부터 CRA 제14조의 보고 의무가 적용된다. 제조사는 실제로 악용된 취약점이나 제품 보안에 영향을 미치는 중대한 사고를 인지하면 24시간 안에 조기 경보를, 72시간 안에 본 통지를 제출해야 한다. 이후 취약점은 시정 조치가 마련된 날부터 14일 안에, 중대한 사고는 본 통지 이후 1개월 안에 최종 보고서를 내야 한다.
신고는 유럽연합 사이버보안청(European Union Agency for Cybersecurity·ENISA)이 운영하는 단일 보고 플랫폼(Single Reporting Platform·SRP)을 통해 이뤄진다. SRP는 CRA 보고 의무가 시행되는 9월 11일부터 운영될 예정이다.
CRA의 주요 사이버보안 요구사항과 제조사 의무를 위반하면 최대 1500만 유로 또는 직전 회계연도 전 세계 연매출의 2.5% 중 큰 금액까지 과징금이 부과될 수 있다. CRA는 2024년 12월 발효됐으며 보고 의무는 2026년 9월, 주요 조항은 2027년 12월부터 적용된다.
에이스랩스는 국내 제조사 가운데 별도의 PSIRT를 운영하거나 규제기관 보고 경험을 갖춘 곳이 많지 않아 제한된 시간 안에 사고를 판단하고 내부 승인을 거쳐 영문 보고서를 준비하는 데 어려움이 있다고 설명했다.
크래들은 사전 질문을 바탕으로 발생한 사안이 취약점 또는 보안사고에 해당하는지, CRA상 보고 대상인지를 검토할 수 있도록 지원한다. 기업 조직에 맞춘 내부 보고 절차와 관련 문서를 마련하고, 신고 시한과 대응 진행 상황도 관리한다.
사고 대응 과정에서 생성되는 판단 내용과 조치 이력은 증적 자료로 기록한다. 향후 규제기관의 조사나 감사가 이뤄질 경우 기업이 정해진 절차에 따라 대응했다는 사실을 입증할 수 있도록 하기 위한 기능이다.
회사는 국내 제조사를 고려해 한국어 사용자 환경과 기업 내부의 의사결정 절차를 반영했다고 밝혔다. 취약점과 사고 정보는 고객이 허용한 범위 안에서만 처리하는 구조를 적용했다는 설명이다.
다만 CRA상 보고 의무와 법적 책임의 주체는 제조사다. 에이스랩스는 인증기관이 아닌 독립 자문사로서 보고서 작성과 제출 준비를 지원하며, ENISA 플랫폼을 통한 최종 제출은 제조사가 직접 수행한다.
에이스랩스는 향후 크래들의 기능을 취약점 상시 모니터링과 소프트웨어 자재명세서(Software Bill of Materials·SBOM), 취약점 악용 가능성 교환(Vulnerability Exploitability eXchange·VEX) 관리, 관련 표준 개정 대응 분야로 확대할 계획이다.
노민석 에이스랩스 대표는 “CRA 보고 의무는 제조사에 낯설고 부담이 큰 과제”라며, “국내 제조사가 대응 체계 수립부터 첫 보고 완료까지 시행착오를 줄이고 정해진 기한 안에 업무를 마칠 수 있도록 지원하겠다”고 밝혔다.
헬로티 이동재 기자 |
