정부, 공공기관, 기업들이 자체적인 소프트웨어(SW) 공급망 보안에 대한 관리 역량을 갖출 수 있도록 이를 지원하기 위한 가이드라인이 마련됐다.

과학기술정보통신부·국가정보원·디지털플랫폼정부위원회는 민관 협력을 통해 ‘소프트웨어 공급망 보안 가이드라인 1.0’을 마련했다고 13일 밝혔다.

이번 가이드라인은 확산하고 있는 소프트웨어 공급망 사이버보안 위험과 미국, 유럽 등 해외 주요국의 소프트웨어 구성요소 명세서(SBOM) 제출 의무화 등에 대응해 정부·공공 기관 및 기업들이 자체적인 소프트웨어 공급망 보안 관리역량을 갖출 수 있도록 지원하기 위해 마련됐다.

이는 국산 소프트웨어에 대한 SBOM 실증 및 소프트웨어 공급망 보안 테스트베드(판교) 시범 운영 결과 등이 반영된, 세계적으로도 유례없는 실무 안내서로 미국 등 주요 국가와 협력을 통해 해외에도 적극 소개될 예정이다.

▲ SBOM 활용의 효과성. (자료=과학기술정보통신부)  ©

가이드라인은 전체본과 요약본으로 제공된다. 정부·공공기관의 정책결정자 및 기업의 경영진 등은 요약본을 통해 쉽고 빠르게 소프트웨어 공급망 보안에 관한 주요 내용을 이해할 수 있을 것으로 전망된다.

가이드라인에는 정부·공공 기관 및 기업들이 SBOM 기반 소프트웨어 공급망 보안 관리체계를 도입하는 과정에서 시행착오를 줄일 수 있도록 SBOM 유효성 검증, 소프트웨어 구성요소 관리 요령 및 SBOM 기반 소프트웨어 공급망 보안 관리 방안 등이 상세하게 수록됐다.

정부는 이 가이드라인을 다양한 산업분야에서 활용할 수 있도록 홍보하는 한편, 디지털플랫폼정부 주요시스템 구축 때 SBOM을 시범 적용하고 우수사례를 도출해 발전시켜 나갈 계획이다.

SBOM 도입 등의 제도화는 필요하지만 체계적인 준비 없이 제도를 성급하게 도입할 경우 소프트웨어 개발 기간이 장기화되고 원가 상승요인으로 작용해 기업들의 부담 요인이 될 수 있다.

이에 정부는 기업들에 대한 SBOM 적용 지원을 강화하면서 소프트웨어 공급망 보안 저변도 확대하고 향후 주요국의 제도화 동향과 국내 산업 성숙도를 고려하면서 점진적으로 제도화를 준비해 나갈 방침이다.

또 올해 하반기에는 산·학·연 전문가들이 참여하는 범정부 합동TF를 구성해 세부적인 정부지원 방안, 제도화 추진방향 등에 대한 논의를 진행한 뒤 소프트웨어 공급망 보안 로드맵을 마련할 계획이다.

한편 가이드라인은 과기정통부, 국정원, 디지털플랫폼정부위원회와 한국인터넷진흥원(KISA), 정보통신산업진흥원(NIPA), 한국정보보호산업협회(KISIA) 등 정부·공공기관 누리집에서 무료로 내려받아 사용할 수 있다.