과기정통부·국정원, AI 시대 SW 공급망 보안 로드맵 마련

과학기술정보통신부와 국가정보원이 24일 정책브리핑을 통해 ‘AI 일상화 시대를 준비하는 소프트웨어(SW) 공급망 보안 로드맵’을 마련했다고 밝혔다. 이번 로드맵은 인공지능을 활용한 공격 자동화와 복잡해진 소프트웨어 의존관계가 맞물리면서 공급망 보안이 국가 사이버안보 과제로 부상했다는 판단을 반영한다.

로드맵은 24일부터 25일까지 열리는 2026년도 공급망 보안 워크숍에서 과기정통부의 SBOM 기반 공급망 보안체계 구축 사업 성과와 함께 발표된다. SBOM은 소프트웨어를 구성하는 컴포넌트와 의존관계를 기술한 자재명세서다. 정부는 상세 내용을 국가사이버안보센터와 한국인터넷진흥원 누리집을 통해 확인할 수 있다고 안내했다.

정책브리핑에 따르면 과기정통부와 국정원은 이번 로드맵을 세 갈래로 추진한다. 먼저 개발·공급 단계부터 보안을 내재화하고, 공급망 보안 기준과 가이드를 마련해 사고 예방 역량을 높인다. 기업 보안 수준 점검, 개발 환경 전환 지원, SBOM을 활용한 관리 모델 확산도 포함됐다.

두 번째 축은 탐지와 대응 체계다. 정부는 버그바운티, 취약점 신고포상제, 조율된 취약점 공개 제도 등을 활용해 취약점 발굴 채널을 넓히고, AI 기반 공급망 방어체계 구축을 추진한다. 공공납품 정보통신제품의 안보 위해 여부를 검증하고 대응하는 방안도 마련한다.

세 번째 축은 정책 기반 조성이다. 범정부 SW 공급망 보안협의체를 만들고 공급망 보안 포럼을 운영해 민간 자율 활동을 지원한다. 민간과 공공 분야 보안 제도에 공급망 보안 요소를 반영하고, 보안적합성 제도의 대상 제품과 요구사항도 정비할 계획이다.

이번 발표는 국내 소프트웨어 개발사와 공공 납품 기업에도 직접적인 신호가 될 수 있다. 정부가 SBOM, 개발 단계 보안, 취약점 공개 절차, 공급망 위험관리 체계를 함께 언급한 만큼 향후 공공 조달과 보안 인증, 기업 보안 점검 기준에 공급망 관리 항목이 더 구체적으로 반영될 가능성이 있다.

다만 로드맵의 실제 효과는 세부 이행 일정과 적용 대상, 기업 부담을 줄이는 지원책에 달려 있다. AI 기반 방어체계와 자동화 연구도 기술적 검증과 운영 기준이 필요하다. 공급망 보안 강화가 개발 현장의 문서 부담으로만 남지 않으려면 SBOM 활용 방식, 취약점 접수·공개 절차, 공공·민간 협력 범위가 명확히 제시돼야 한다.

출처: 대한민국 정책브리핑 https://www.korea.kr/news/policyNewsView.do?newsId=148967046&pWise=sub&pWiseSub=C1 · 한국인터넷진흥원 https://www.kisa.or.kr/