국정원, 공공 SW에 SBOM 단계 적용…기반시설 보호 강화

국가정보원(원장 이종석)이 내년(2027년)부터 공공 정보화사업과 보안검증 절차에 ‘소프트웨어 자재명세서(Software Bill of Materials·SBOM)’ 제출을 단계적으로 적용하고, 국가 주요정보통신기반시설의 공급망 위험관리와 침해사고 대응체계를 강화한다.

국정원은 17일 서울 강남구 코엑스에서 열린 ‘사이버 서밋 코리아(CSK) 2026’에서 이 같은 소프트웨어 공급망과 국가 기반시설 보호 정책을 소개했다. 지난 6월 과학기술정보통신부와 함께 발표한 ‘SW 공급망 보안 강화 로드맵’을 공공 현장에 단계별로 적용한다는 계획도 밝혔다.

공공 정보화사업에 SBOM 단계 적용

국정원은 모든 공공 납품 소프트웨어에 SBOM 제출을 한꺼번에 의무화하지 않고 단계적으로 적용한다. 올해 공공 분야 SBOM 관리체계를 개발하고, 국가·공공기관이 도입하는 소프트웨어의 SBOM을 등록·관리하는 통합 시스템을 구축한다는 계획이다.

2027년부터는 보안기능 시험을 신청한 소프트웨어를 대상으로 SBOM 생성·검증체계를 실증한다. 이후 하드웨어에 탑재된 펌웨어와 클라우드 서비스 등으로 대상을 확대할 계획이다.

공공 정보화사업의 보안 요구사항에도 SBOM 제출과 취약점 대응 절차를 반영한다. 공공기관이 따르는 사이버보안 지침에는 SBOM 제출과 함께 소프트웨어 보안취약점 관리 담당관을 지정하는 방안도 담는다.

기업 부담을 줄이기 위해 제출 항목은 최소화한다. 미국과 유럽연합(EU) 등 주요국의 SBOM 요구사항과 국제 표준을 반영해 국내 기업이 수출 과정에서 별도의 명세서를 다시 만들지 않도록 한다는 방침이다.

또한 국정원은 소프트웨어 개발·공급 단계에서 어떤 부품을 사용했는지 확인하고, 취약점이 발견된 뒤 누가 언제까지 고칠지도 관리한다. 이를 위해 2027년부터 정보통신제품의 도입과 운영 과정에서 기관이 따라야 할 ‘공급망 사이버보안 위험관리 절차서’를 마련해 적용한다. 제품 선정부터 취약점 확인, 공급업체 통보, 보안패치, 조치 결과 확인까지 기관별 대응 절차를 표준화한다.

개발사와 공급업체가 자체적으로 공급망 위험을 확인할 수 있는 체크리스트도 2027년 개발·배포한다. 2028년부터는 외교·안보·국방 분야 기관에 납품하는 제품부터 체크리스트 제출을 우선 적용한 뒤 대상을 단계적으로 넓힌다.

중대한 취약점이나 침해사고가 발생했는데도 후속 조치가 이뤄지지 않은 제품은 공공 도입을 제한할 수 있다. 보안패치 등 필요한 조치가 끝날 때까지 해당 제품의 공공 조달을 일시 제한하는 기준을 마련한다.

보안적합성 검증 대상도 확대한다. 현재는 보안기능이 있는 정보통신기기가 중심이지만, 앞으로는 해킹 사고가 반복되거나 중대한 취약점이 국가기관 전산망에 큰 피해를 줄 수 있는 IT제품까지 검증할 계획이다.

2028년 국가 취약점 DB 구축

국정원은 2028년부터 국내외 상용·공개 소프트웨어의 취약점 정보를 수집하는 ‘국가 취약점 데이터베이스(DB)’도 구축한다. SBOM과 취약점 DB를 연계하면 새 취약점이 공개됐을 때 해당 부품을 사용하는 공공기관과 시스템을 빠르게 식별할 수 있다.

취약점 신고와 조정, 공개 절차도 제도화한다. 국정원은 지난 6월부터 ‘취약점 신고·조정·공개(CVD·VDP)’제도를 시범 운영하고 있다. 올해까지 시범 운영을 마무리하고 내년에는 공공기관으로 확대할 계획이다. 공급업체가 취약점 신고를 받은 뒤 패치를 개발할 시간을 확보하면서도 이용기관에는 필요한 대응 정보를 전달하는 체계다.

공공 분야에 도입·운영 중인 정보통신제품의 국가안보 위해성을 평가하는 협의체도 구성한다. 민간과 군 전문가가 참여해 국가 배후 해킹조직과의 연관성이나 해외에서 확인된 위해성, 침해사고 가능성을 검토하고 대응 방안을 정한다는 계획이다.

기반시설 지정과 합동 대응 확대

국정원은 소프트웨어 공급망 관리와 함께 국가 주요정보통신기반시설의 보호 범위도 넓힌다. 주요정보통신기반시설은 전력과 통신, 교통, 금융처럼 침해사고가 발생하면 국가와 사회에 큰 영향을 주는 시설의 정보시스템이다.

국정원은 관계부처가 참여하는 정보통신기반보호위원회를 통해 신규 시설을 발굴하고 기반시설 지정 범위를 확대할 계획이다. 기존에 지정된 시설은 정기적인 취약점 분석·평가와 보호대책 이행 여부를 점검한다.

기반시설에서 침해사고가 발생하면 기관별로 나뉜 조사와 대응 절차도 연계한다. 국정원 국가사이버위기관리단과 관계부처, 수사기관이 사고 원인과 피해 범위를 함께 확인하고 복구와 재발 방지 대책을 마련하는 구조다. 이를 통해 SBOM과 국가 취약점 DB를 활용해 기반시설에 영향을 주는 소프트웨어 부품과 제품을 신속하게 식별할 계획이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network