사진 제공=국가정보원국가정보원은 과학기술정보통신부와 정보통신기술(ICT) 분야의 공급망 공격에 체계적으로 대응하기 위한 가이드라인을 마련해 다음 달 공개한다고 8일 밝혔다. 국정원과 과기정통부는 부처 간 협업을 통해 제도적 보완도 추진한다.
ICT 공급망 보안 지침 마련을 위한 소프트웨어(SW) 관리 체계 수립 차원에서 그간 ICT 제품별로 상이했던 '소프트웨어 구성 명세서'(SBOM)를 표준화해 예측 가능성과 대응력을 높인다. 아울러 ICT 제품의 SBOM 정보를 자동 분석할 수 있는 시스템을 개발해 기존 수작업 분석에서 벗어나 안전성과 신속성을 담보할 방침이다.
개발·유통·운영 등 공급망 단계별 체크리스트를 마련해 참여 주체들이 자체적으로 2·3중 안전성을 확보하도록 지원할 계획이다.
국정원과 과기정통부가 ICT 가이드라인 마련에 나선 이유는 피해 가능성이 높아지고 있기 때문이다. 국가안보실이 이달 1일 발표한 ‘국가사이버안보전략’에 따르면 개발·배포·유지·관리 단계에서 악성코드가 삽입된 부품과 소프트웨어를 사용해 피해를 입을 가능성이 증가하고 있다. 2021년 발견돼 수백만 건의 사이버 공격에 사용된 ‘로그포셸(Log4Shell)’ 사건이 대표적이다. 지난해 11월 금융보안인증 소프트웨어 ‘매직라인4NX’를 공격한 사례도 발생한 바 있다. 앞서 미국과 유럽연합(EU)은 ICT 공급망 위협의 심각성을 인식하고 올해부터 공공기관에 ICT 제품을 납품할 때 제품별 세부 사항을 제출하도록 의무화했다.
국정원과 과기정통부는 “공급망 보안 분야에서 관계부처는 물론 민·학·연과도 지속적으로 협력해 제도를 마련하겠다”면서 “디지털 공간에서도 대한민국이 글로벌 중추국가로 자리매김하도록 노력할 것”이라고 설명했다.
