소프트웨어 운영사는 공급사로부터 제공받은 SBOM(Software Bill of Materials)을 활용해 SW 위험 관리가 가능하지만, SBOM이 전달되는 과정에서 위·변조가 발생하면 소프트웨어 구성 요소에 대한 정보가 왜곡돼 취약점 관리가 제대로 이루어지지 않을 수 있습니다. 이를 방지하기 위해 미국 사이버보안 및 인프라 보안국(CISA)은 ‘SBOM Sharing Primer’를 통해 SBOM의 안전한 공유 방법을 제시했으며, 국내에서도 ‘소프트웨어 공급망 보안 가이드라인’을 통해 SBOM의 기밀성과 무결성을 보장하는 기술 연구를 권장하고 있습니다.
소프트웨어 투명성을 확보하고 안전한 공급망을 구축하기 위해서는 단순히 SBOM을 제공을 넘어 추가적인 보안 조치가 필요합니다. 디지털 서명을 활용해 SBOM의 무결성을 보장하고, 신뢰할 수 있는 플랫폼을 통해 전달 과정을 보호해야 합니다. 이를 통해 운영사는 공급받은 소프트웨어의 무결성과 신뢰성을 확인할 수 있으며, 공급사와의 신뢰를 바탕으로 보다 효과적인 보안 관리 체계를 구축할 수 있습니다.
소프트웨어 공급망 공격을 선제적으로 예방하기 위해서는 도입 단계부터 운영, 유지보수에 이르기까지 소프트웨어의 보안 취약점을 지속적으로 식별하고 대응하는 체계적인 프로세스가 필수적입니다. 그러나 많은 운영사들은 소프트웨어 도입 시에만 보안 점검을 실시하고, 이후에는 리소스와 시간 부족으로 지속적인 점검을 수행하지 못하고 있습니다.
소프트웨어 운영사는 소프트웨어를 도입할 때 개발사가 시큐어 코딩을 준수했는지 검증하고, 빌드 단계에서 자동화된 보안 테스트를 통해 배포 전 취약점이 제거되었는지 확인해야 합니다. 또한, SBOM 제출을 요구해 소프트웨어 구성 요소를 명확히 파악함으로써 지속적으로 취약점을 모니터링하고, 취약점이 발견된 즉시 개발사에 신속하게 수정 조치를 요청해야 합니다.
미국 행정명령 14028 발표 이후, 미국 국립표준기술연구소(NIST)는 소프트웨어 공급망 보안을 강화하기 위해 개발 전 과정에 걸쳐 자동화된 보안 테스트 도구를 통합하고 SBOM을 활용한 지속적인 관리와 모니터링을 권장하고 있습니다. 미국 사이버보안 및 인프라 보안국(CISA)의 ‘Secure by Design’ 서약에서는 소프트웨어 출시 전에 취약점을 최소화할 것을 요구하고 있으며, 국내에서는 소프트웨어 공급망 보안 가이드라인을 발표하며 SBOM을 활용한 소프트웨어 구성 요소 식별과 관리를 강조 중입니다.
소프트웨어 운영사는 소프트웨어를 도입할 때 개발사가 시큐어 코딩을 준수했는지 검증하고, 빌드 단계에서 자동화된 보안 테스트를 통해 배포 전 취약점이 제거되었는지 확인해야 합니다. 또한, SBOM 제출을 요구해 소프트웨어 구성 요소를 명확히 파악함으로써 지속적으로 취약점을 모니터링하고, 취약점이 발견된 즉시 개발사에 신속하게 수정 조치를 요청해야 합니다.
Sigstore Cosign 기반 디지털 서명을 통해 SBOM의 생성자와 무결성을 명확히 검증할 수 있는 체계를 구축하여 단순 문서가 아닌 ‘증명 가능한 SBOM’을 제공합니다. 또한 SBOM 유통 플랫폼을 통해 보안성이 보장된 공유 방식을 제공하고 SBOM을 체계적으로 관리하며, 신뢰성 높은 소프트웨어 공급망 관리의 새로운 기준을 제시합니다.
SBOM 분석 및 비교 기능을 통해 소프트웨어 구성 요소를 식별하고, 보안 취약점 관리의 기반을 마련합니다. 필요 시 소스 코드 분석, 웹 취약점 분석, 오픈 소스 분석을 통해 잠재적인 보안 위협을 신속하게 식별하고 대응할 수 있습니다. 또한 CI/CD 파이프라인 연동 및 예약 분석 기능을 통해 보안 점검을 자동화하고, 오픈 소스 취약점 정보는 국내외 취약점 데이터베이스를 기반으로 실시간으로 업데이트 되어 소프트웨어의 보안을 지속적으로 유지할 수 있는 체계를 제공합니다.
개발 단계에서는 소스 코드 분석을, 테스트 및 운영 단계에서는 웹 취약점을 분석해 결과 보고서를 출력하고 운영사에 전달할 수 있습니다. 오픈소스의 경우 설계, 개발, 빌드, 배포 단계에서 SBOM을 생성해 위험 요소를 식별하고 제작 이력을 명확히 추적함으로써 소프트웨어의 신뢰성을 높일 수 있습니다.
내부에서 서버를 구축해 단일 플랫폼에서 취약점을 분석하고 통합관리할 수 있습니다.
검출 규칙 선택, 결재선 설정 등 다양한 관리 기능으로 취약점 조치를 효율화하고 싶은 조직에 적합합니다.
공공기관도 클라우드로 보안 취약점을 분석할 수 있도록 CSAP 인증을 획득했습니다.
이용 기관에 최적화된 망 분리 정책을 지원해 민간 SaaS를 활용하고 싶은 공공기관에 적합합니다.
웹 상에서 회원가입만으로 취약점 분석이 가능한 클라우드 서비스로, 관리 기능을 간소화해 전문 보안 인력과 예산이 부족한 소규모 기업에 적합합니다.
스패로우의 취약점 분석 엔진을 보안 시스템과 연동해 사용할 수 있도록 API를 제공합니다.
직접 사용 외에도 계약을 통해 취약점 분석 서비스 재판매도 가능합니다.
회사는 개인정보처리방침을 통하여 고객님께서 제공하시는 개인정보가 어떠한 용도와 방식으로 이용되고 있으며, 개인정보보호를 위해 어떠한 조치가 취해지고 있는지 알려드립니다. 회사는 개인정보처리방침을 개정하는 경우 웹사이트 공지사항(또는 개별공지)을 통하여 공지할 것입니다.
본 방침은 2024년 1월 2일부터 시행됩니다.
수집하는 개인정보 항목 회사는 상담, 서비스 신청 등을 위해 아래와 같은 개인정보를 수집하고 있습니다. 회사는
수집한 개인정보를 다음의 목적을 위해 활용합니다.
귀하가 개인정보의 오류에 대한 정정을 요청하신 경우에는 정정을 완료하기 전까지 당해 개인정보를 이용 또는 제공하지 않습니다. 또한 잘못된 개인정보를 제3자 에게 이미 제공한 경우에는 정정 처리결과를 제3자에게 지체없이 통지하여 정정이 이루어지도록 하겠습니다.
회사는 이용자 혹은 법정 대리인의 요청에 의해 해지 또는 삭제된 개인정보는 “회사가 수집하는 개인정보의 보유 및 이용기간”에 명시된 바에 따라 처리하고 그 외의 용도로 열람 또는 이용할 수 없도록 처리하고 있습니다.
고객은 위 목적으로 운영되는 맞춤
서비스를 원치 않을 시, 쿠키의 저장을 거부할 수 있습니다.
회사는 원칙적으로 개인정보 수집 및 이용목적이 달성된 후에는 해당 정보를 지체없이 파기합니다. 파기절차 및 방법은 다음과 같습니다.
개인정보 침해신고센터: (국번없이)118 (privacy.kisa.or.kr) 개인정보 분쟁조정위원회: (국번없이) 1833-6972 (www.kopico.go.kr) 대검찰청 사이버수사과 : (국번없이)1301 (www.spo.go.kr) 경찰청 사이버수사국 : (국번없이)182 (https://police.go.kr)
