SBOM·AI로 공급 단계부터 보안 내재화... 정부 ‘공급망 보안 로드맵’ 발표

기준·가이드 개발하고 전문인력 양성
AI 기반 공급망 방어체계 구축

[보안뉴스 강현주 기자] 정부가 소프트웨어 자재명세서(SBOM)과 AI를 활용해 개발과 공급 단계부터 보안을 내재화하는 소프트웨어(SW) 공급망 보안에 나선다.

과학기술정보통신부(부총리 겸 장관 배경훈)는 국가정보원(원장 이종석)과 함께 ‘AI 일상화 시대를 준비하는 소프트웨어(SW) 공급망 보안 로드맵’을 마련했다고 24일 밝혔다.

로드맵은 24일부터 이틀간 개최되는 2026년도 공급망 보안 워크숍(양재 aT센터 그랜드홀)에서 과기정통부의 소프트웨어 자재명세서(SBOM) 기반의 공급망 보안체계 구축 사업 성과와 함께 발표될 예정이다. 국가사이버안보센터와 한국인터넷진흥원 누리집에서도 상세 내용을 확인할 수 있다.

최근 소프트웨어(SW)는 제조, 교통, 의료 등 다양한 산업에 융합되며 디지털 전환의 핵심 요소로 자리 잡고 있다. 이에 따라 SW 공급망은 점차 확대되고 복잡화되고 있으며, 복잡해진 공급망의 취약점을 노린 새로운 유형의 위협이 여러 기관의 연쇄적 피해로 이어지는 사례가 발생하고 있다.

최근 대두되는 고성능 AI 기반의 공격은 광범위한 취약점 탐지와 자동화된 공격 수행을 통해 공격 속도와 규모를 크게 증대시키고 있어 기존 SW 공급망 보안 체계로는 방어에 한계가 있다.

이러한 공급망 위협에 대응하여 과기정통부와 국정원은 로드맵을 수립하고, 기업·기관 보안 역량 강화부터 공급망 공격 대응체계 마련과 정책 기반 조성을 아우르는 SW 공급망 보안 강화를 추진하고자 한다.

로드맵의 첫 번째 전략으로 SW 공급망 위협을 완화하기 위해 개발·공급 단계부터 보안을 내재화하고 SW 투명성을 제고해 사고 예방 역량을 강화한다.

공급망 보안 기준·가이드를 개발하고, 기업 보안 수준 점검과 개발 환경 전환 지원을 추진하며, SBOM을 활용한 공급망 보안 관리 모델을 확산한다. 또한 공급망 보안체계에 AI를 적용하여 자동화하기 위한 연구도 수행한다.

또 기업 내 공급망 보안 인식 제고와 공급망 보안 전문기업·인력을 양성함으로써 보안 중심 개발 문화를 정착한다.

두 번째 전략으로 기업의 연쇄 피해로 이어지는 특징을 갖는 공급망 위협의 빠른 탐지·대응을 위한 관리체계 마련으로 사고 발생 시 피해 확산을 최소화한다.

버그바운티, 취약점 신고포상제, 신고·조치·공개 제도(CVD/VDP) 등을 활용해 공급망 보안 취약점 발굴 채널을 확대하고, 신속한 공급망 위협 탐지와 조치를 위해 AI 기반 공급망 방어체계를 구축한다.

공공납품 정보통신제품의 안보위해 여부에 대한 검증·대응 방안을 마련한다. 민간·공공 분야별 공급망 보안 위험관리 체계를 각각 구축한 후 상호 협력을 통해 공급망 위협 확산 방지를 수행한다.

마지막 전략으로 개발·공급 단계부터 사후관리까지 SW 공급망 위협 관리를 위한 정책 추진체계를 구축하고 제도를 정비하여 보안 강화 기반을 조성한다.

범정부 SW 공급망 보안협의체를 마련하고, 공급망 보안 포럼 운영을 통한 민간 자율 활동을 지원한다. 민간·공공분야 보안 제도에 공급망 보안 요소를 포함하도록 정비하고, 보안적합성 제도의 대상 제품 확대와 요구사항을 세분화한다. 사이버보안 선도국과의 협력체계를 강화하고 국내 인증제도와 상호인정을 확대하는 등 기업의 해외진출을 지원한다.

과기정통부 임정규 정보보호네트워크정책관은 “복잡해지는 SW 공급망을 노린 사이버 위협이 증가하고 AI를 활용한 빠르고 광범위한 사이버공격이 본격화되는 상황에서 공급망 보안이 어느 때보다 중요해졌다”라며 “SW 공급망 보안 로드맵 발표를 기점으로 공급망 보안을 지속 강화해 나가겠다”라고 밝혔다.

국정원은 “SW 공급망 보안 로드맵이 국가와 기업의 사이버안보 수준을 한단계 끌어올리는 중요한 이정표가 될 것으로 기대한다”며 “민·관 협력을 통해 글로벌 공급망 위협에 선제적으로 대응하겠다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다