지엔, EU CRA 대응 제품 보안점검 무료 제공

유럽연합(EU) 사이버복원력법(CRA)의 취약점 보고 의무가 내일(11일)부터 적용된다. 지엔(ZIEN)은 CRA 대응이 필요한 국내 커넥티드 제품 제조사를 대상으로 무료 제품 보안점검을 제공한다고 10일 밝혔다.

CRA는 인터넷이나 다른 기기와 연결되는 하드웨어와 소프트웨어 제품의 사이버보안 요건을 규정하는 법이다. 제조사는 제품에서 실제 공격에 악용되는 취약점을 인지하면 24시간 안에 조기 경고를 제출해야 한다. 중대한 보안 사고도 보고 대상이다. 관련 보고 의무는 11일부터 적용되며 CRA는 2027년 12월 11일부터 전면 적용된다.

보고 의무는 2027년 12월 11일 이전에 시장에 출시된 제품에도 적용된다. 이에 따라 이미 판매 중인 제품도 어떤 소프트웨어와 하드웨어 구성요소가 들어 있는지, 알려진 취약점이 존재하는지 확인할 필요가 있다.

지엔의 무료 점검은 제품 펌웨어를 분석해 구성요소와 알려진 취약점을 확인하는 방식으로 진행한다. 소프트웨어 자재명세서(SBOM), 하드웨어 자재명세서(HBOM), 인공지능 자재명세서(AIBOM) 단위로 구성요소를 식별한다.

자재명세서는 제품을 구성하는 요소의 목록을 정리한 문서다. SBOM은 제품에 들어간 소프트웨어와 오픈소스 구성요소를 파악하는 데 활용한다. 점검을 마치면 확인된 취약점과 CRA 준비도 등을 정리한 요약 보고서를 제공한다. 구성요소 정보를 표준화해 교환할 수 있는 사이클론DX(CycloneDX) 형식의 파일도 함께 제공한다.

지엔은 제품 펌웨어를 분석해 취약점을 찾는 커넥티드 제품 보안 사업을 하고 있다. 회사에 따르면 연간 3000건 이상의 취약점을 분석하고 있으며 수백종의 제품 펌웨어를 분석해왔다.

조영민 지엔 대표는 “규제는 시작되는데 정작 자기 제품 안에 무엇이 들어 있는지 모르는 제조사가 많다”며 “제조사들이 규제 대응에 앞서 자사 제품의 취약점을 먼저 확인하도록 돕겠다”고 말했다.

무료 점검은 커넥티드 제품 제조사를 대상으로 접수 순서대로 진행한다. 신청은 오는 10월 31일까지다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network