인섹시큐리티 “SCA·SBOM으론 공급망 보안 미흡, 개발부터 배포까지 검사해야”
“기존의 소프트웨어(SW) 공급망 보안 제품들은 소스코드와 의존성 단계 정도만 보는 경우가 많습니다. 하지만 소스 저장소에는 깨끗한 코드가 있어도 빌드 결과물에는 악성코드나 악성 패키지가 들어갈 수 있습니다. 실시간으로 빌드될 때마다 보안을 적용해야 합니다.” 김종광 인섹시큐리티 대표는 14일 열린 기자간담회에서 현재 소프트웨어(SW) 공급망 보안의 빈틈을 이같이 짚었다. 소프트웨어 구성요소 분석(SCA) 도구로 소스코드와 오픈소스 취약점을 점검하고 소프트웨어 구성요소 명세서(SBOM)를 만들더라도, 이후 빌드·배포 과정에서 공격이 이뤄지면 언제든 결과물이 오염될 수 있다는 설명이다.
