스패로우 “SBOM 생성 넘어 검증·유통까지 관리해야”

스패로우(대표 장일수)는 소프트웨어(SW) 공급망 보안 대응을 위해 소프트웨어 자재명세서(SBOM)의 생성부터 검증과 유통까지 생애주기를 관리하고, 취약점의 실제 위험도에 따라 대응 우선순위를 정하는 체계를 갖춰야 한다고 27일 밝혔다.

SBOM은 소프트웨어에 어떤 오픈소스와 라이브러리 등 구성요소가 포함됐는지를 기록한 명세서다. 소프트웨어에서 취약점이 발견됐을 때 영향을 받는 제품과 시스템을 파악하는 데 활용한다.

장일수 스패로우 대표는 이날 서울 여의도에서 열린 ‘애플리케이션 시큐리티 서밋 2026(Application Security Summit 2026)’에서 미국과 유럽연합(EU), 일본 등 주요국의 SBOM 요구 수준이 높아지고 있다며 SBOM의 정확도와 신뢰성을 확보해야 한다고 강조했다.

장 대표는 구체적인 대응 방안으로 ▲SBOM 생애주기 관리 ▲SBOM 기반 취약점 대응 체계 구축 ▲디지털 서명과 검증을 통한 안전한 유통을 제시했다.

SW 개발 단계부터 보안을 적용하는 방안도 제시했다. 여구용 스패로우 사업총괄은 정부의 ‘SW 공급망 보안 강화 로드맵’에 대응하기 위해 SW 개발 생명주기 전반에 보안을 적용해야 한다고 설명했다.

스패로우는 애플리케이션 보안 테스팅 통합 플랫폼 ‘스패로우 엔터프라이즈(Sparrow Enterprise)’를 활용해 오픈소스 구성요소의 사용 현황과 취약점을 지속해서 관리한 고객 사례도 소개했다. SBOM 공유 이력을 토대로 공급사와 수요사 사이의 공급망 관계를 파악해 전체 공급망의 가시성을 확보하는 방안도 제시했다.

취약점이 발견된 뒤 일괄적으로 대응하기보다 SW 반입 단계부터 위험한 구성요소를 차단하고 실제 위험에 따라 대응 순서를 정해야 한다는 설명도 나왔다.

윤종원 스패로우 최고기술책임자(CTO)는 오픈소스 반입 단계에서 정책을 적용해 취약한 구성요소의 사용을 차단하고, 인공지능(AI)이 자산 중요도와 취약점 위험도 등을 고려해 조치 우선순위를 제시하는 기능을 제공하고 있다고 설명했다.

스패로우는 최근 취약점이 특정 제품에 실제 영향을 미치는지를 나타내는 취약점 악용 가능성 교환정보(VEX) 기능도 추가했다. 앞으로 취약점이 실제 공격에 악용될 확률을 평가하는 악용 가능성 예측 시스템(EPSS)과 이미 공격에 활용된 것으로 확인된 취약점 정보(KEV)를 제공할 계획이다.

스패로우는 이날 금융과 제조, 유통 등의 최고정보책임자(CIO)와 최고정보보호책임자(CISO) 등 30여명을 대상으로 ‘SW 공급망 보안 강화 로드맵, 대응을 넘어 전략으로’를 주제로 세미나를 열었다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network