금융보안원, 178개 금융사와 SW 취약점 공동 대응

금융보안원은 178개 금융회사가 참여하는 ‘금융권 소프트웨어(SW) 공급망보안 플랫폼’을 통해 취약점 발굴부터 패치 개발과 조치까지 공동 대응하고 있다고 21일 밝혔다.

지난 2월6일부터 운영한 이 플랫폼은 화이트해커의 취약점 발굴, 금융보안원의 검증, 개발사의 패치 개발, 금융회사의 조치를 연결한다. 현재 화이트해커 601명과 개발사 31곳이 참여하고 있다. 운영 이후 참여 금융회사에 보낸 취약점 조치 요청은 총 1316건이다.

여러 금융회사가 같은 SW를 사용하면 하나의 취약점으로 다수 회사가 영향을 받을 수 있다. 금융보안원은 근본적인 조치가 개발사의 패치에 달려 있어 개별 금융회사의 대응만으로는 한계가 있다고 설명했다.

실제로 플랫폼을 통해 국내 그룹웨어의 미공개 취약점을 제보받아 검증한 뒤 개발사와 패치 개발·배포를 협의했다. 이 과정에서 해당 SW를 사용하는 금융회사의 조치 완료 여부까지 확인했다.

소프트웨어 구성명세서(SBOM) 관리 기능도 제공한다. SBOM은 SW에 포함된 오픈소스와 라이브러리 등의 목록과 버전을 담은 자료다. 현재 55개 프로젝트에서 이 기능을 활용하고 있다. 금융보안원은 약 35만건의 공통 취약점 식별정보(CVE)를 SBOM과 연계해 SW 도입 전 취약점을 확인하고 운영 중 새로 발견된 취약점의 영향도 파악하도록 지원한다.

박상원 금융보안원장은 “최근에는 SW 취약점이 공개된 이후 실제 악용되기까지 대응할 수 있는 시간이 짧아지고 있어, 취약점을 얼마나 빨리 찾느냐뿐만 아니라 조치까지 얼마나 신속하게 연계되느냐가 더욱 중요해지고 있다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network