📌 미국 : EO 14028과 SBOM 의무화 흐름

미국은 2021년 공표된 행정명령 EO 14028(Improving the Nation’s Cybersecurity)을 기점으로, 연방정부가 구매·사용하는 소프트웨어의 공급망 보안을 강화해 왔습니다. EO 14028은 안전한 소프트웨어 개발 관행(SSDF) 권고, 연방 조달 시 보안 요건 도입, SBOM 도입 촉진을 핵심 방향으로 제시했고, 이후 관련 기관들이 세부 가이드와 기술 표준을 연이어 발표했습니다.

📌 유럽: CRA(사이버복원력법)와 전 수명주기 보안

EU는 사이버복원력법(CRA, Cyber Resilience Act)을 통해 디지털 요소가 포함된 제품의 전 수명주기 보안에 법적 구속력을 부여하는 접근을 택했습니다. 사이버복원력법은 시장에 유통되는 소프트웨어·하드웨어 제품에 대해 개발·유지보수·보안 업데이트 의무를 부과하고, 기술 문서에 SBOM 또는 동등한 구성요소 투명성 자료를 요구합니다. 2024년 12월 발효된 이 법은 2027년 전후로 본격적인 의무 적용이 계획되어 있습니다. 사이버복원력법의 필수 사이버 보안 요건이나 책임 의무 미준수 시 최대 1,500만 달러 이상의 벌금이 부과될 수 있어 공급망 보안은 규제 준수 이슈로 전환되었습니다.

📌 SW 공급망 보안 가이드라인 발표를 넘어 제도화 단계로 진입

국내에서는 과학기술정보통신부와 국가정보원을 중심으로 국가차원의 공급망 보안 관리체계를 수립하고 있으며, 24년에 SW 공급망 보안 가이드라인 v1.0을 공동 발간했습니다. 가이드라인의 주요 방향은 SBOM 기반 구성요소 투명성 확보, 취약점 패치 및 관리 체계 강화, 공급자 평가 및 테스트베드 기반 실증을 통한 공공･민간의 보안관리 역량 제고입니다. 특히 공공조달 영역과 의료·디지털 제품 분야에서는 SBOM 및 소프트웨어 안전성 증빙 요구가 확대되고 있습니다. 뿐만 아니라 정부는 공급망 보안 강화를 위한 정부 주도 지원사업과 서비스를 2024년부터 2026년 현재까지 지속 확산 중에 있습니다.

✔️ SBOM 기반 공급망 보안 모델 구축 지원 사업

2025년에 과기정통부가 8개 컨소시엄을 선정해 SBOM기반 공급망 보안 모델 구축을 지원했습니다. 이 사업은 SBOM생성·관리 모델과 자동화 도구를 개발해 국내 기업이 해외 규제를 충족할 수 있도록 돕는 것을 목표로 진행했습니다.

✔️ 중소기업 SW보안약점 진단 사업

과기정통부와 KISA는 중소기업·스타트업을 대상으로 SW보안 취약점 진단과 컨설팅을 제공 중입니다. 신청 기업’에게 코드 검토, 취약점 분석, 개선 방안을 제공하며, 예산이 소진될 때까지 수시로 접수를 받고 있습니다. 최근에는 SSDF 준수 및 SBOM 작성 교육을 포함해 개발문화 확산을 목표로 사업을 고도화 중입니다.

✔️ SSDF 기반 SW 공급망 보안 체계 진단 서비스

정부는 2026년부터 SSDF를 국내 상황에 맞춰 적용하는 SW 공급망 보안 체계 진단 서비스를 도입했습니다. 기존의 중소기업 SW 보안약점 진단 사업을 SSDF·SBOM 중심으로 확장해 설계~배포 전 주기에 걸친 보안 수준을 평가하고 공급망 위험을 줄이는 것을 목표로 합니다. 아래 링크의 KISA 보호나라를 통해 신청하실 수 있으니, 공급망 보안을 강화하고 싶은 기업은 주목해보세요!

▶️ SW 공급망 보안 체계 진단 서비스 신청 링크 : https://www.boho.or.kr/kr/subPage.do?menuNo=205010

​

🔎 공급망 보안 정책 대비를 위해 기업은 무엇을 준비해야 할까요?

국내외 공급망 보안 정책의 공통된 방향은 명확합니다. SBOM을 중심으로 한 투명한 소프트웨어 관리 체계와 소프트웨어 개발 전 과정에 걸친 보안 거버넌스 내재화입니다. 이러한 기반을 갖춘 기업만이 각국의 조달·감독 기준 변화에 능동적으로 대응하고, 글로벌 시장에서 신뢰성과 경쟁력을 확보할 수 있습니다. 따라서 공급망 보안은 단일 솔루션으로 해결되는 문제가 아닙니다. 소프트웨어 개발 전 주기에 걸친 보안 취약점 관리, SBOM 생성･안전한 공유와 관리까지 이 모든 것이 유기적으로 연결되어야 실질적인 리스크 통제가 가능합니다.

“소프트웨어 공급망 보안 체계 구축은 스패로우와!”

스패로우는 개발부터 운영까지 소프트웨어 개발 전 단계에서 취약점을 분석 및 관리해 보안 위협을 사전에 예방하고, SBOM을 기반으로 공급망 리스크를 지속 관리할 수 있는 체계를 제공합니다. 먼저 애플리케이션 보안 테스팅 통합 솔루션, Sparrow Enterprise를 통해 소스코드·오픈소스·웹 취약점을 통합 관리할 수 있습니다. 또한 오픈소스 분석 및 관리 도구, Sparrow SCA와 SBOM 공유 및 관리 플랫폼, Sparrow SecureHub를 통해 SBOM 기반의 공급망 신뢰 구축이 가능합니다. Sparrow SCA는 소프트웨어 구성요소를 한눈에 파악할 수 있는 SBOM을 자동 생성하고 분석해 소프트웨어에 대한 가시성을 제공합니다. Sparrow SecureHub는 SBOM에 디지털 서명을 추가해 위변조를 방지하고 무결성을 검증함으로써 공급망 참여자들이 SBOM을 안전하게 공유할 수 있도록합니다. 뿐만 아니라 SBOM을 하나의 플랫폼에서 통합 관리해 신규 취약점 발생 시 신속하게 조치할 수 있는 SBOM 관리 체계를 구축합니다.

검증된 전문성으로 소프트웨어 공급망 보안을 선도하는 스패로우의 비전과 기술력은 링크를 통해 더 자세히 확인해보세요!