오픈소스 취약점과 SBOM 관리는 어디서부터 시작해야 합니까

SBOM은 「무엇이 들어 있는가」에 답하는 목록입니다

KISA 「SW 공급망 보안 가이드라인 1.0」은 대부분의 소프트웨어가 외부 라이브러리나 공개 SW를 포함해 개발된다는 점을 짚고, SBOM을 「SW 구성요소를 서술하는 일종의 메타데이터로 SW 전체의 구성요소를 목록화한 것」, 우리말로 「SW 구성요소 명세서」라고 설명합니다. 직접 작성한 코드뿐 아니라 그 코드가 가져다 쓰는 라이브러리, 그 라이브러리가 다시 의존하는 하위 라이브러리까지가 대상입니다.

이 목록이 필요한 순간은 분명합니다. 널리 쓰이는 라이브러리에서 취약점이 공개되면 가장 먼저 받는 질문은 「우리 서비스 중 어디에 그 버전이 들어 있는가」입니다. 가이드라인도 2021년 Log4j 취약점을 대표적인 공급망 공격 사례로 들고 있습니다. 목록이 있으면 이 질문은 검색 한 번으로 끝나고, 없으면 저장소와 서버를 하나씩 열어 보는 일부터 시작해야 합니다.

무엇을 담아야 하는지는 미국 CISA가 2026년 7월 발표한 SBOM 최소 요소가 가장 최근 기준입니다. 2021년 미국 NTIA 기준을 대체하는 문서이고, 한국의 국가정보원 국가사이버안보센터와 KISA도 공동 작성 기관으로 참여했습니다.

형식은 국제적으로 쓰이는 SPDX와 CycloneDX 중에서 고르는 경우가 일반적입니다. 가이드라인은 NTIA가 인정한 형식으로 이 둘과 SWID를 소개하면서, SWID는 취약점 관리에 널리 쓰이지 않는다고 덧붙입니다.

시작 순서

1. 대상 정하기운영 중인 서비스와 배포 단위(저장소·컨테이너 이미지)를 목록으로 만들고 담당자를 정합니다.
2. 빌드에서 자동 생성빌드·릴리스 때마다 구성요소 분석 도구로 SBOM을 만들어 배포 산출물과 함께 보관합니다.
3. 취약점 정보와 대조새로 공개된 취약점이 어느 서비스의 어느 버전에 해당하는지 자동으로 찾습니다.
4. 영향 판단과 조치외부 노출과 실제 악용 여부로 순서를 정하고 업데이트합니다.
5. 예외 기록바로 고칠 수 없는 항목은 사유와 기한, 임시 조치를 남깁니다.

자동 생성이 출발점인 이유는 SBOM이 금방 낡기 때문입니다. 가이드라인이 소개한 NTIA 기준도 새로 빌드하거나 릴리스할 때마다 새 SBOM을 만들도록 요구합니다. 손으로 정리한 목록은 다음 배포에서 이미 실제와 달라집니다. 가이드라인은 소프트웨어 구성 분석(SCA) 도구로 구성요소를 분석해 SBOM을 생성할 수 있다고 설명하며, 잠금 파일로 빌드마다 같은 버전이 설치되게 해 두면 SBOM과 실제 배포본이 어긋날 여지가 줄어듭니다.

처음부터 모든 구성요소를 완벽하게 담기 어렵다면 범위를 좁혀 시작해도 됩니다. 가이드라인은 이 경우 타사 라이브러리와 공개 SW 구성요소를 중심으로 출처 정보와 의존 관계를 관리하는 체계를 우선 구축하라고 권합니다. 다만 직접 쓰는 라이브러리만 적고 하위 의존성을 빼면, 실제 취약점이 하위 라이브러리에 있을 때 목록이 답을 주지 못합니다. 생성 도구가 하위 의존성까지 포함하는지 확인하십시오.

취약점 목록이 길어질 때의 우선순위

SBOM과 취약점 정보를 대조하면 처음에는 목록이 길게 나옵니다. 모든 항목을 같은 무게로 다루면 정작 급한 것이 묻힙니다. 해당 기능을 실제로 호출하는지, 외부 요청이 그 코드에 닿는지, 실제 공격에 쓰인 사례가 있는지를 기준으로 나누면 순서가 정해집니다. 실제 악용 여부는 CISA가 공개하는 「알려진 악용 취약점(KEV)」 목록 같은 공개 자료로 확인할 수 있습니다.

조사 결과 「구성요소는 들어 있지만 취약한 기능을 쓰지 않아 영향이 없다」로 판단하는 경우도 있습니다. 이 판단을 고객에게 전달하는 문서 형식이 VEX입니다. CISA는 VEX를 제품이 알려진 취약점의 영향을 받는지 여부를 밝히는 일종의 보안 권고 문서로 설명합니다. SBOM을 고객에게 제출하는 조직이라면, 고객 쪽 취약점 스캐너가 같은 항목을 반복해서 문의하지 않도록 VEX로 판단 근거를 함께 남기는 편이 효율적입니다.

고객·규제 요구는 어떻게 다가오고 있습니까

국내에서는 2024년 5월 과학기술정보통신부·국가정보원·디지털플랫폼정부위원회가 가이드라인 1.0을 공개했고, 2026년 6월 과학기술정보통신부와 국가정보원이 「SW 공급망 보안 강화 로드맵」을 발표했습니다. 가이드라인은 권고 문서이므로, 실제 제출 의무는 발주처 계약 조건과 해당 분야 규정으로 확인해야 합니다.

해외 시장에 제품을 공급한다면 유럽연합 사이버복원력법(Cyber Resilience Act)을 함께 봐야 합니다. 디지털 요소를 가진 제품의 제조사에 최소한 최상위 의존성을 포함하는 SBOM을 기계가 읽을 수 있는 형식으로 작성하도록 요구하며, 주요 의무는 2027년 12월 11일부터, 취약점·사고 보고 의무는 2026년 9월 11일부터 적용됩니다.

참고 자료

• SW 공급망 보안 가이드라인 1.0(2024.5.) — 과학기술정보통신부·국가정보원·디지털플랫폼정부위원회 / 한국인터넷진흥원
• SW 공급망 보안 강화 로드맵 발표(2026.6.) — 한국인터넷진흥원
• 2026 Minimum Elements for a Software Bill of Materials (2026.7.) — CISA 외 공동 작성 기관
• Software Bill of Materials(SBOM)·VEX — CISA
• Cyber Resilience Act — 유럽연합 집행위원회