앱에도 성분표가 필요할까? 소프트웨어 공급망 보안의 뜻

01무슨 일인가

늘 쓰던 앱의 보안 업데이트 안내를 보면, 왜 멀쩡히 잘 돌아가는 프로그램을 또 고치나 싶죠. 화면이 잘 뜨는 것과 안쪽 구성요소에 보안 문제가 없는 것은 완전히 다른 일이거든요. 프로그램은 직접 짠 코드뿐 아니라 외부에서 가져온 구성요소까지 함께 쓰는데, 그 안의 부품을 낱낱이 파악하는 일이 바로 소프트웨어 공급망 보안의 출발점이에요.

9월 17일 국내 보안업계의 해외 전시회 참가 소식에서도 코드 검사와 SBOM을 함께 다루는 기술이 소개됐어요. SBOM, 소프트웨어 구성요소 명세서는 프로그램에 포함된 부품을 목록으로 정리한 자료고요. 식품 성분표가 재료를 알려주듯, 프로그램 안에서 어떤 구성요소와 버전을 썼는지 확인하는 용도로 쓰여요.

한국인터넷진흥원도 올해 공급망 보안 모델 구축 지원사업에서 SBOM의 생성·관리·분석과 위협 모니터링을 지원 대상으로 삼았어요. 공고에 편성된 지원 예산은 총 28억 원인데, 이건 사업 규모일 뿐 보안 사고로 발생한 피해액이나 모든 기업이 받는 지원금은 아니에요.

02왜 이렇게 됐나

소프트웨어 공급망이란 프로그램을 개발하고, 전달하고, 실제로 사용하는 과정에 얽힌 구성요소와 주체들을 통틀어 부르는 말이에요. 오픈소스, 공개된 소스코드를 정해진 조건에 따라 활용하는 소프트웨어 같은 외부 부품을 쓰면 그 부품의 관리 상태까지 제품 보안에 그대로 얽혀 들어와요. 제품 이름만 봐서는 안쪽에서 어떤 부품이 쓰이는지 전혀 드러나지 않고요.

같은 이름의 부품이라도 버전, 수정·배포된 판이 다르면 적용되는 취약점 정보부터 달라져요. 취약점은 공격에 악용될 수 있는 약점을 뜻하고요. 구성요소의 이름과 버전, 서로 의존하는 관계까지 기록돼 있으면 새 취약점 정보가 나왔을 때 내 제품에 관련 부품이 있는지 곧바로 대조해볼 수 있어요. 그러면 제품 전체를 막연히 의심하는 대신, 영향을 받을 부분을 콕 짚어낼 단서가 생기는 셈이죠.

다만 목록을 만든다고 취약점이 저절로 사라지지는 않아요. SBOM은 구성 정보를 알려주는 자료일 뿐, 실제 위험 분석과 수정은 별도 작업이거든요. 프로그램이 바뀌면 목록도 그때마다 갱신돼야 하고, 오래된 목록으로 최신 제품을 확인하면 이미 교체된 부품이나 새로 추가된 부품을 놓치게 돼요.

03나한테 뭐가 달라지나

일반 이용자가 모든 앱의 부품 목록을 직접 읽어야 한다는 뜻은 아니에요. 개발사와 서비스 운영 조직이 어떤 부품을 쓰는지 파악하고, 위험이 발견되면 곧바로 대응하는 관리 과정을 갖췄는지가 중요하다는 뜻이죠. 보안 설명에 'SBOM이 있다'는 말과 '취약점을 수정했다'는 말은 서로 다른 내용을 알려주고요.

업무용 프로그램을 도입하는 조직이라면 목록이 있는지뿐 아니라 관리 범위와 갱신, 대응 체계까지 나눠서 봐야 해요. 한국인터넷진흥원의 지원사업도 개발·공급 기업의 관리체계와 도입·운영 기업의 모니터링 체계를 따로 다루고요. 만들 때 한 번 확인하는 일과, 쓰는 동안 새로 나오는 위험을 계속 추적하는 일 둘 다 필요하기 때문이에요. 안전은 한 번 받은 명세서가 아니라, 그 정보를 계속 관리하고 조치하는 과정에 달려 있어요.