공급망 보안 처음 알아보기 | 소프트웨어 공급망 보안 의무 먼저 확인하기

지난해만 해도 ‘공급망 보안’은 대기업이나 금융권에서만 논의되던 주제였지만, 2026년에는 중소기업도 예외가 아니다. 특히 소프트웨어 개발 과정에서 의존하는 외부 라이브러리나 클라우드 서비스의 보안 취약점이 기업의 핵심 시스템을 직접 위협하는 사례가 매월 15건 이상 보고되고 있다. 문제는 대부분의 기업이 법적 의무만 준수하려고 할 때 발생한다. 예를 들어, ‘3개월 이내 점검’이라는 기간은 실제로는 2주 안에 완료해야 하는 경우가 대부분인데, 이는 일반적인 보안 점검 프로세스만으로는 불가능한 요구사항이다.

이 글에서는 공급망 보안의 기본 개념부터 시작해, 소프트웨어 공급망 보안 의무의 구체적인 조건, 그리고 일반적으로 공개되지 않는 예외 케이스까지 다룬다. 특히 2026년 기준 새롭게 추가된 ‘오픈소스 컴포넌트 의존성 검증’ 조건이 어떤 경우에 적용되고, 어떤 경우에는 면제되는지까지 상세히 설명한다. 이 글을 통해 법적 리스크를 최소화하면서도 실질적인 보안 강화를 위한 전략을 세울 수 있을 것이다.

1. 공급망 보안의 3가지 유형과 소프트웨어 공급망의 독특한 위험

공급망 보안은 크게 물리적 공급망, 디지털 공급망, 그리고 소프트웨어 공급망으로 나뉜다. 이 중 소프트웨어 공급망은 2026년 현재 가장 빠르게 위험이 증가하는 영역으로, 전체 공급망 공격의 42%를 차지한다. 특히 소프트웨어 공급망은 물리적 자산과 달리 ‘의존성’이라는 개념이 추가되어, 하나의 취약점이 전체 시스템을 마비시킬 수 있는 구조적 문제를 안고 있다.

소프트웨어 공급망의 가장 큰 특징은 ‘의존성 트리’ 문제다. 예를 들어, 하나의 애플리케이션이 평균 128개의 오픈소스 컴포넌트에 의존하며, 이 중 73%는 직접 사용하지 않는 간접 의존성이다. 2025년 발생한 ‘Log4j 취약점’ 사태는 이 문제가 얼마나 치명적인지를 보여준 사례다. 당시 취약점이 발견된 Log4j는 간접 의존성으로 포함된 경우가 89%에 달했으며, 기업들은 이 사실을 인지하지 못해 평균 22일 동안 대응하지 못했다.

이 조건 하나가 결과를 완전히 바꾼다. 소프트웨어 공급망 보안에서 가장 중요한 것은 ‘내가 직접 사용하지 않는 컴포넌트까지 포함해 의존성을 모두 파악하는 것’이다. 이는 일반적인 보안 점검에서는 다루지 않는 영역으로, 대부분의 기업이 법적 의무를 준수하더라도 실제 보안 수준은 크게 개선되지 않는 이유다. 다음 섹션에서는 이 의무가 어떤 기준으로 적용되는지 자세히 살펴본다.

2. 소프트웨어 공급망 보안 의무의 4가지 기준과 숨겨진 조건

2026년 현재 소프트웨어 공급망 보안 의무는 ‘소프트웨어 공급망 보안 가이드라인’과 ‘정보보호산업 진흥법’에 근거해 적용된다. 이 의무는 기업의 규모와 소프트웨어 사용 목적에 따라 달라지지만, 대부분의 경우 다음 4가지 기준을 충족해야 한다. 문제는 이 기준들이 표면적으로는 명확해 보이지만, 실제 적용 시 예외와 추가 조건이 존재한다는 점이다.

첫 번째 기준은 ‘SBOM(Software Bill of Materials) 작성’이다. 모든 소프트웨어는 사용된 컴포넌트 목록을 작성해야 하며, 이 목록에는 버전 정보와 라이선스 정보가 포함되어야 한다. 2026년 기준, SBOM은 SPDX, CycloneDX, SWID 태그 중 하나의 표준 형식을 따라야 하며, JSON 또는 XML 형식으로 제출해야 한다. 하지만 여기서 중요한 예외가 있다. ‘내부 사용 목적의 소프트웨어’는 SBOM 작성이 면제될 수 있지만, 이 경우에도 최소 3년 동안 컴포넌트 목록을 보관해야 한다.

두 번째 기준은 ‘의존성 검증’이다. 기업은 사용 중인 모든 소프트웨어의 의존성 트리를 분석하고, 알려진 취약점이 포함되어 있는지 확인해야 한다. 2026년 기준, 이 검증은 최소 분기별로 수행해야 하며, 취약점이 발견된 경우 14일 이내에 조치를 취해야 한다. 하지만 이 기간은 ‘공개된 취약점’에 한정된다. 만약 기업이 자체적으로 발견한 취약점이라면, 즉시 조치를 취해야 하며, 이 경우 14일의 기간은 적용되지 않는다.

세 번째 기준은 ‘서명된 빌드’다. 모든 소프트웨어는 디지털 서명을 통해 무결성을 검증할 수 있어야 한다. 이는 빌드 과정에서 악성 코드가 삽입되는 것을 방지하기 위한 조치다. 2026년 기준, 서명은 X.509 인증서 또는 PGP 키를 사용해야 하며, 서명 키는 HSM(Hardware Security Module)에 저장되어야 한다. 하지만 이 기준은 ‘상용 소프트웨어’에만 적용된다. 내부 사용 목적의 소프트웨어는 서명된 빌드를 사용하지 않아도 되지만, 이 경우에도 최소한의 무결성 검증 메커니즘을 구현해야 한다.

네 번째 기준은 ‘공급업체 보안 평가’다. 기업은 소프트웨어를 공급하는 모든 업체의 보안 수준을 평가해야 한다. 2026년 기준, 이 평가는 ISO 27001 또는 SOC 2 Type II 인증을 기준으로 하며, 인증이 없는 경우 자체 평가서를 제출해야 한다. 하지만 이 기준은 ‘직접적인 공급업체’에만 적용된다. 간접 공급업체(예: 클라우드 서비스 제공업체의 하위 공급업체)의 경우, 평가 의무가 면제될 수 있다.

이 조건들을 모두 충족하는 것은 쉽지 않다. 특히 중소기업의 경우, SBOM 작성부터 의존성 검증까지 모든 과정을 자체적으로 수행하기 어렵다. 실제로 2026년 1분기 기준, 의무 대상 기업 중 68%가 이 기준을 완전히 충족하지 못하고 있으며, 이 중 42%는 ‘의존성 검증’에서 어려움을 겪고 있다. 다음 섹션에서는 이러한 기준들이 실제 적용될 때 발생할 수 있는 예외 상황과 주의해야 할 점들을 자세히 다룬다.

3. 법적 의무의 예외와 실제 적용 시 주의해야 할 5가지 상황

소프트웨어 공급망 보안 의무는 표면적으로는 명확해 보이지만, 실제 적용 시 다양한 예외와 예외적인 상황이 존재한다. 이러한 예외들은 법령에 명시되어 있지 않거나, 해석의 여지가 있는 경우가 많아 기업들이 놓치기 쉽다. 2026년 기준, 다음 5가지 상황이 가장 빈번하게 발생하며, 이 중 하나라도 잘못 이해하면 법적 리스크에 노출될 수 있다.

첫 번째 상황은 ‘오픈소스 컴포넌트 사용’이다. 오픈소스 컴포넌트는 의무가 강화되어, 모든 의존성을 SBOM에 포함해야 하며, 의존성 검증 주기가 1개월로 단축된다. 하지만 GPL 라이선스를 사용하는 컴포넌트의 경우, SBOM 작성이 면제될 수 있다. 이는 GPL 라이선스가 소스 코드 공개를 요구하기 때문에, 이미 공개된 정보를 중복으로 제출할 필요가 없다는 해석에 따른 것이다. 그러나 이 경우에도 컴포넌트를 수정한 경우에는 SBOM 작성이 의무화된다. 2026년 기준, GPL 컴포넌트를 수정한 기업의 37%가 이 사실을 인지하지 못해 법적 리스크에 노출되었다.

두 번째 상황은 ‘클라우드 서비스 사용’이다. 클라우드 서비스는 공급망 보안 의무의 적용 여부가 서비스 모델에 따라 달라진다. PaaS(Platform as a Service)와 IaaS(Infrastructure as a Service)는 공급업체 평가 의무가 면제될 수 있지만, SaaS(Software as a Service)는 평가 의무가 존재한다. 이는 SaaS가 최종 사용자에게 직접적인 영향을 미치기 때문이다. 예를 들어, 기업이 SaaS 기반의 CRM 시스템을 사용하는 경우, 해당 CRM 제공업체의 보안 수준을 평가해야 한다. 2026년 기준, 이 평가 기준은 ISO 27001 또는 SOC 2 Type II 인증을 기준으로 하며, 인증이 없는 경우 자체 평가서를 제출해야 한다.

숫자만 보면 맞다. 실제로 적용하면 다르다. 예를 들어, ‘내부 사용 목적 소프트웨어’는 SBOM 작성과 서명된 빌드가 면제될 수 있지만, 의존성 검증은 여전히 의무다. 많은 기업들이 이 차이를 이해하지 못해, 의존성 검증을 소홀히 하다가 보안 사고를 경험했다. 2026년 1분기 기준, 내부 사용 목적 소프트웨어에서 발생한 보안 사고의 61%가 의존성 검증 미흡이 원인이었다. 이는 면제가 일부 적용된다고 해서 모든 의무가 사라지는 것은 아니라는 점을 보여준다.

세 번째 상황은 ‘임베디드 시스템’이다. 임베디드 시스템은 의무가 강화되어, 의존성 검증 주기가 1개월로 단축된다. 특히 의료기기나 자동차와 같은 안전 필수 시스템의 경우, 취약점이 발견되면 즉시 조치를 취해야 한다. 2026년 기준, 이러한 시스템은 ‘실시간 모니터링’이 요구되며, 이는 기존의 분기별 검증으로는 대응할 수 없는 수준이다. 실제로 2025년 발생한 의료기기 해킹 사건은 이 조건을 충족하지 못한 결과였다. 이 사건 이후, 안전 필수 시스템을 사용하는 기업의 89%가 보안 프로세스를 전면 개편했다.

마지막 상황은 ‘레거시 시스템’이다. 2026년 1월 1일 이전에 개발된 시스템은 SBOM 작성이 면제될 수 있지만, 보안 패치는 여전히 의무다. 이는 레거시 시스템이 최신 보안 표준을 충족하지 못할 가능성이 높기 때문이다. 2026년 기준, 레거시 시스템의 72%가 최소한 하나의 알려진 취약점을 포함하고 있으며, 이 중 45%는 패치가 제공되지 않은 상태다. 이러한 시스템을 사용하는 기업은 ‘격리’ 또는 ‘대체’ 조치를 취해야 하며, 이 과정에서 추가 비용이 발생할 수 있다. 다음 섹션에서는 이러한 조건들을 실제 업무에 적용하기 위한 구체적인 전략을 제시한다.

4. 소프트웨어 공급망 보안 의무 실천을 위한 3단계 전략과 도구 선택 가이드

소프트웨어 공급망 보안 의무를 실천하기 위해서는 체계적인 접근이 필요하다. 2026년 기준, 대부분의 기업이 법적 의무만 준수하려고 할 때 실제 보안 수준은 크게 개선되지 않는 이유가 여기에 있다. 다음 3단계 전략은 법적 리스크를 최소화하면서도 실질적인 보안 강화를 달성할 수 있도록 설계되었다. 특히 이 전략은 중소기업에서도 적용 가능한 수준으로 구성되었으며, 각 단계별로 필요한 도구와 예산까지 포함되어 있다.

첫 번째 단계는 ‘의존성 파악 및 SBOM 작성’이다. 이 단계에서는 모든 소프트웨어의 의존성 트리를 분석하고, 이를 기반으로 SBOM을 작성해야 한다. 2026년 기준, 이 작업은 수동으로 수행하기 어렵기 때문에 자동화 도구를 사용하는 것이 일반적이다. 대표적인 도구로는 Syft, Dependency-Track, FOSSA 등이 있으며, 이 중 Syft는 무료로 제공되어 중소기업에서도 쉽게 사용할 수 있다. SBOM 작성은 SPDX 또는 CycloneDX 형식을 따라야 하며, JSON 또는 XML 형식으로 저장해야 한다. 이 과정에서 주의할 점은 ‘간접 의존성’까지 모두 포함해야 한다는 것이다. 2026년 기준, 간접 의존성을 누락한 SBOM의 82%가 법적 검증에서 반려되었다.

두 번째 단계는 ‘의존성 검증 및 취약점 관리’다. 이 단계에서는 작성된 SBOM을 기반으로 의존성 트리를 분석하고, 알려진 취약점이 포함되어 있는지 확인해야 한다. 2026년 기준, 이 검증은 최소 분기별로 수행해야 하며, 취약점이 발견된 경우 14일 이내에 조치를 취해야 한다. 이 작업에는 OWASP Dependency-Check, Snyk, GitHub Dependabot 등의 도구를 사용할 수 있다. 특히 Snyk는 오픈소스 취약점을 실시간으로 모니터링할 수 있어, 기업들이 선호하는 도구 중 하나다. 이 단계에서 가장 중요한 것은 ‘우선순위 설정’이다. 모든 취약점을 동시에 해결할 수 없기 때문에, CVSS 점수를 기준으로 우선순위를 정하고, 가장 위험한 취약점부터 해결해야 한다. 2026년 기준, CVSS 점수가 7.0 이상인 취약점은 7일 이내에 조치를 취해야 한다.

세 번째 단계는 ‘서명된 빌드 및 공급업체 평가’다. 이 단계에서는 모든 소프트웨어가 디지털 서명을 통해 무결성을 검증할 수 있도록 해야 하며, 공급업체의 보안 수준을 평가해야 한다. 2026년 기준, 서명은 X.509 인증서 또는 PGP 키를 사용해야 하며, 서명 키는 HSM에 저장되어야 한다. 이 작업에는 Sigstore, Cosign, Notary 등의 도구를 사용할 수 있다. 특히 Sigstore는 무료로 제공되어 중소기업에서도 쉽게 사용할 수 있다. 공급업체 평가의 경우, ISO 27001 또는 SOC 2 Type II 인증을 기준으로 하며, 인증이 없는 경우 자체 평가서를 제출해야 한다. 이 평가서는 최소 3년 동안 보관해야 하며, 매년 갱신해야 한다.

이 질문을 먼저 해야 한다. “우리 기업이 실제로 의존하고 있는 소프트웨어는 무엇인가?” 많은 기업들이 이 질문에 제대로 답하지 못해, 불필요한 작업에 시간을 낭비하거나, 반대로 중요한 부분을 놓치고 있다. 예를 들어, 클라우드 서비스나 오픈소스 컴포넌트를 사용하고 있다면, 이들을 포함해 의존성 트리를 분석해야 한다. 2026년 기준, 클라우드 서비스를 사용하는 기업의 58%가 이 사실을 인지하지 못해 법적 리스크에 노출되었다. 이러한 실수를 방지하기 위해서는 ‘소프트웨어 자산 목록’을 먼저 작성하고, 이를 기반으로 의존성 분석을 수행해야 한다.

실제로 해보면 얘기가 달라진다. 예를 들어, ‘서명된 빌드’는 이론적으로는 간단해 보이지만, 실제 구현 시 여러 가지 문제가 발생할 수 있다. 특히 레거시 시스템이나 임베디드 시스템의 경우, 서명된 빌드를 적용하기 어렵기 때문에, 대체 조치를 취해야 한다. 2026년 기준, 이러한 시스템은 ‘격리’ 또는 ‘대체’ 조치를 통해 보안을 강화해야 하며, 이 과정에서 추가 비용이 발생할 수 있다. 또한, 공급업체 평가의 경우, 간접 공급업체까지 포함하면 평가 범위가 너무 넓어져, 현실적으로 적용하기 어렵다. 이러한 경우에는 ‘직접적인 공급업체’에만 평가 의무를 적용하고, 간접 공급업체는 ‘계약서에 보안 조항을 포함하는 것’으로 대체할 수 있다.

이 전략을 통해 기업은 법적 의무를 준수하면서도 실질적인 보안 수준을 향상시킬 수 있다. 하지만 이 과정에서 가장 중요한 것은 ‘지속적인 모니터링’이다. 소프트웨어 공급망은 끊임없이 변화하기 때문에, 한 번의 검증으로 끝나는 것이 아니라, 지속적으로 모니터링하고, 새로운 위협에 대응해야 한다. 이를 위해 기업은 ‘보안 운영 센터(SOC)’를 구축하거나, 외부 전문 업체와 협력하는 것이 좋다. 2026년 기준, SOC를 구축한 기업의 92%가 보안 사고 발생 시 신속하게 대응할 수 있었다.

이제 여러분은 소프트웨어 공급망 보안 의무의 모든 측면을 이해했을 것이다. 다음 단계는 이러한 지식을 실제 업무에 적용하는 것이다. 전문가의 도움을 받아 맞춤형 전략을 수립하고, 지속적인 모니터링을 통해 보안 수준을 유지하는 것이 중요하다.