SW 공급망 보안 강화 로드맵 핵심 정리

과학기술정보통신부와 국가정보원 등 관계부처는 2026년 6월 「AI 일상화 시대를 준비하는 SW 공급망 보안 강화 로드맵」을 발표했습니다. AI 활용 확산과 오픈소스 중심의 개발 환경 변화, 글로벌 공급망 보안 제도 강화에 대응하기 위해 SW 공급망 보안 강화를 위한 정책 추진 방향과 세부 과제를 제시한 것입니다. 이번 로드맵에는 공급망 전주기의 보안 내재화부터 SBOM 기반 공급망 투명성 확보, 보안 중심 개발 문화 정착, 공공·민간의 공급망 위험관리 체계 구축까지 향후 3년간 추진할 주요 정책과 일정이 담겼습니다. 이번 글에서는 SW를 개발·공급하거나 도입·운영하는 조직이 반드시 확인해야 할 핵심 내용과 준비해야 할 사항을 중심으로 정리했습니다.

1. 왜 지금 SW 공급망 보안인가

최근 SW 개발 방식은 자체 개발 중심에서 오픈소스, 제3자 개발 SW, AI 생성 코드 활용 중심으로 빠르게 변화하면서 공급망이 더욱 복잡해지고 있습니다. 특히 오픈소스와 AI 생성 코드 등을 충분한 검증 없이 활용할 경우 내포된 보안 취약점이 공급망 공격으로 이어질 수 있어 주의가 필요합니다. 실제로 이번 로드맵에 포함된 몇가지 수치가 SW 공급망 현황을 보여줍니다.

글로벌 IT 리서치기관 가트너(Gartner)는 SW 공급망 공격으로 인한 글로벌 피해액이 2023년 460억 달러(약 64조원)에서 2031년 1,380억 달러(약 190조 원)으로 증가할 것으로 추정했습니다. SW 공급망 공격은 연쇄적인 피해가 큰 만큼 미국과 유럽 등 주요국에서는 SW 공급망 보안을 위한 정책을 지속 강화하는 등 공급망 관리은 중요성은 더욱 커지고 있는 추세입니다.

2. 로드맵 한눈에 보기 : 비전과 3대 전략

로드맵에서는 ‘안전하고 책임 있는 공급망 보안 체계의 전환을 통한 사이버 복원력 확보’를 비전으로 제시하며, 이를 달성하기 위한 실행 전략으로 ▲공급망 위협 예방 역량 강화, ▲신속한 탐지·대응·체계 마련, ▲정책·제도적·기반 조성이라는 3대 전략과 9개 세부 과제를 제시했습니다.

이 중 정부가 주도하는 정책 및 제도 마련과 같은 일부 과제를 제외하면 공급망 전주기 보안 내재화, 개발보안 문화 정착, 공급망 위험 관리 체계 구축을 포함한 대부분의 과제가 실무와 직접 맞닿아 있어 사전 대비가 필요합니다.

3. 2027년, 무엇이 달라지나 – 규제/타임라인

로드맵에서는 정책과 제도의 추진 일정도 함께 제시하고 있습니다. 특히 다수의 제도와 평가 기준이 2027년부터 본격적으로 적용될 예정인 만큼, 관련 조직은 사전에 준비할 필요가 있습니다.

해외 주요 제도

국내 주요 제도

해외 시장에 제품을 공급하는 기업이라면 주요국의 SW 공급망 보안 관련 제도 변화를 함께 살펴보는 것과 함께 국내 제도의 변화도 지속적으로 모니터링하는 것을 권장합니다.

4. 우리 조직은 무엇을 준비해야 하나

이번 SW 공급망 보안 강화 로드맵에 선제적으로 대비하기 위해서는 SW를 개발·공급하는 조직인지, 도입·운영하는 조직인지에 따라 준비해야 할 사항에 차이가 있습니다.

그렇다면 지금 바로 점검해야 할 사항은 무엇일까요? 아래 7개 항목으로 간단하게 점검해보세요. 만약 ‘아니오’가 하나라도 있다면, 강화될 SW 공급망 보안에 지금 바로 대비할 시점입니다.

지금 점검해야 할 7가지 항목

1. 개발 단계에 정적(SAST)/동적(DAST) 분석이 내재화되어 있는가?
2. SW의 구성요소를 SBOM으로 파악하고 있는가?
3. 사용 중인 오픈소스의 알려진 취약점과 라이선스를 지속 관리하는가?
4. AI가 생성한 코드의 보안 취약점을 검증하는 절차가 있는가?
5. SW 출시 후 취약점 발견 시 빠르게 패치를 개발하고 안내하는가?
6. 보안업데이트 제공, 보안지원 종료(EoS) 사전 공지 등 사후 관리를 하는가?
7. 해외 수출 또는 공공 납품 시 SBOM 제출 등 규제 요건에 대응할 수 있는가?

5. SW 개발부터 도입 이후 폐기까지 – 공급망 전주기 보안이 핵심

이번 로드맵은 SW 공급망 보안을 특정 기업의 책임이 아니라 개발·공급 조직과 도입·운영 조직이 함께 관리해야 하는 전주기 활동으로 정의하고 있습니다. SW 공급망 보안 체계를 구축하기 위해서는 소프트웨어를 안전하게 개발하는 것에서부터 제품이 고객에게 전달되고 운영되는 과정, 그리고 유지보수와 지원 종료 이후까지 지속적인 관리가 필요합니다.

이를 위해 정부는 먼저 개발 단계부터 보안을 내재화할 것을 제시했습니다. 이제 개발 조직은 안전한 개발 환경을 구축하고 정적(SAST)·동적(DAST) 분석과 시큐어코딩, 오픈소스 라이선스 및 취약점 분석, AI 생성 코드 검증 등을 통해 개발 단계에서부터 보안 리스크를 줄여야 합니다. 또한 SBOM을 활용해 SW 구성요소를 식별하고 관리함으로써 SW의 투명성을 확보할 필요가 있습니다.

도입·운영 조직 역시 제품을 도입하는 순간부터 폐기하는 순간까지 자산을 식별하고 위험을 관리해야 합니다. 도입 단계에서는 공급받은 SW의 보안 요구사항 충족 여부와 SBOM을 확인하고, 운영 단계에서는 SBOM을 기반으로 신규 취약점 발생 여부와 영향을 지속적으로 모니터링해야 합니다. 또한 보안 업데이트와 취약점 조치 이력을 관리하고, 제품 교체나 지원 종료(EoL) 시에는 변경된 SW 자산 정보를 반영해 SBOM을 최신 상태로 유지하는 등 운영 이후까지 이어지는 지속적인 공급망 관리 체계를 갖추는 것이 중요합니다.

스패로우는 SW 개발 전반의 보안 취약점을 통합으로 분석하며 SBOM 기반의 SW 가시성 확보로 공급망 참여자들 간의 신뢰할 수 있는 공급망 보안 체계를 구축하도록 지원합니다.

[참고문헌]
1. AI 일상화 시대를 준비하는 SW 공급망 보안 강화 로드맵 / 관계부처 합동 / https://www.kisa.or.kr/2060204/form?postSeq=24&page=1