Proven by Intelligence

유럽연합(EU)의 사이버 복원력 법안(Cyber Resilience Act, 이하 CRA) 시행이 다가옴에 따라, 디지털 요소가 포함된 제품을 제조·수출하는 기업들의 대응 전략 마련이 시급해졌습니다.

CRA 조항의 핵심은 '제품 수명주기 전반에 걸친 보안 무결성 확보'와 '소프트웨어 자재명세서(SBOM) 제출의 의무화'입니다. 그러나 실제 규제 준비 과정에서 많은 기업이 자체 소스코드 중심의 검증에만 치중하다가, 규제기관의 검증 기준을 충족하지 못하는 '공급망 사각지대'에 노출될 위험을 안고 있습니다.

CRA 법안의 세부 요구사항을 토대로, 성공적인 규제 준수를 위해 소스코드 단과 완제품(바이너리) 단에서 각각 다뤄야 할 핵심 과제를 살펴봅니다.

1. [개발 단계] 소스코드 단의 취약점 통제와 Mend 기반 Shift Left 전략

CRA 제10조 및 부속서 I에 명시된 요구사항에 따르면, 제조사는 "설계 및 개발 단계부터 보안(Security by Design)"을 적용하고 알려진 보안 취약점(CWE/CVE)을 사전에 제거해야 합니다.

이 단계에서는 개발 파이프라인(CI/CD) 및 코드 저장소 수준에서 통제가 이루어져야 하며, Mend와 같은 소스코드 기반 SCA 솔루션이 핵심적인 역할을 수행합니다.

　○ 실시간 오픈소스 라이선스 및 취약점 식별: 개발자가 외부 라이브러리를 끌어오는 시점부터 취약점을 탐지하고, 보안 정책 위반 시 빌드를 제어할 수 있는 체계가 필요합니다.

　○ 개발 라이프사이클 통합 SBOM 산출: 소스코드 수준의 구성 요소를 추적하여 규격화된 포맷(SPDX, CycloneDX)으로 초기 SBOM을 생성해야 합니다.

　○ 효율적인 패치 이력 관리: 단순히 취약점을 찾는 것을 넘어, 실제 호출 여부(Effective Usage)를 판단하고 자동화된 패치(Pull Request)를 통해 조치 시간을 단축하는 프로세스가 요구됩니다.

│주요 과제: 　자체 개발 소스코드 및 CI/CD 환경에서 발생할 수 있는 보안 허점을 개발 초기에 실시간으로 통제하는 것   │

2. [완제품 출하 단계] 소스코드가 없는 3rd Party 및 바이너리 검증

CRA 규제는 제조사가 직접 작성한 코드뿐만 아니라, 제품에 탑재되는 모든 서드파티 모듈, 칩셋 제조사의 펌웨어, 외부 외주 소프트웨어에 대해서도 최종 제조사에 통합 책임을 묻습니다.

문제는 현실적으로 외주 업체나 글로벌 칩셋 제조사가 소스코드를 제공하지 않는 경우가 대다수라는 점입니다. 따라서 소스코드 스캔만으로는 완제품 기준의 완전한 SBOM 생성이 불가능해집니다.

　○ 바이너리(Binary) 기반 SCA의 필요성: 실행 파일이나 펌웨어 이미지 자체를 역분석(Deep Scan)하여, 소스코드가 없는 바이너리 내부의 중첩된(Nested) 오픈소스 구성 요소와 숨은 취약점을 추출해야 합니다.

　○ 최종 출하 형태 기준의 무결성 검증: 컴파일이나 빌드 단계를 거치면서 최종 릴리스 파일에 추가되거나 변경된 컴포넌트까지 반영된 '진짜 완제품 기준의 SBOM'이 마련되어야 합니다.

│주요 과제: 　소스코드를 입수할 수 없는 외부 모듈 및 최종 바이너리 출하물의 보안 리스크와 구성 요소를 객관적으로 입증하는 것  │ 

결론: 입체적인 Two-Track 검증 체계 구축

CRA 대응의 성패는 '소프트웨어 공급망 전체에 대한 완전한 가시성(Total Visibility)' 확보에 달려 있습니다.

　○ 내부 개발망(Source Code): Mend를 활용해 개발 라이프사이클 내에서 정적 분석 및 소스코드 기반 SCA로 실시간 취약점을 개선하는 체계

　○ 외부 공급망 및 출하 단계(Binary): 소스코드가 없는 3rd Party 모듈과 최종 펌웨어 바이너리를 분석하여 최종 무결성을 검증하는 체계

이 두 가지 접근법이 조화를 이룰 때, 기업은 개발 생산성을 유지하면서도 CRA가 요구하는 까다로운 법적 컴플라이언스 기준을 완벽하게 충족할 수 있습니다.