[NetSec-KR 2026] 기업 전체가 함께 봐야 할 공급망 보안...CEO·CISO·법무...

상명대학교 유지연 교수

KISA 주최 한국정보보호학회 주관 NetSec-KR 2026 제32회 정보통신망 정보보호 컨퍼런스가 4월 16일부터 17일까지 서울 삼성동 코엑스 컨퍼런스룸(남) 3·4층에서 열렸다. 이번 행사에서 상명대학교 유지연 교수는 ‘글로벌 공급망 보안 신전략: 전주기 공급망 신뢰 구축과 규제 대응 최적화’를 주제로 강연했다. 강연은 공급망 보안을 단순한 취약점 점검이 아니라, 기업의 경영과 수출 경쟁력, 국가 안보까지 연결된 문제로 봐야 한다는 점을 강조했다.

유지연 교수는 먼저 최근 공급망 공격의 성격이 크게 바뀌고 있다고 설명했다. 과거에는 소프트웨어의 취약점을 찾아 막는 방식이 중심이었다면, 이제는 개발 과정과 관리 체계, 신뢰 관계 전체를 노리는 공격이 늘고 있다는 것이다. 대표 사례로 언급된 XZ Utils 백도어 사태는 오랜 기간 쌓인 신뢰가 한 번의 공급망 침해로 무너질 수 있음을 보여준 사건으로 제시됐다. 유지연 교수는 이를 통해 공급망 보안의 핵심이 단순한 기술 결함 대응을 넘어, 신뢰를 어떻게 만들고 유지할 것인가의 문제로 바뀌고 있다고 설명했다.

취약점 대응에서 생태계 위험 관리로

이날 강연은 공급망 보안의 패러다임이 ‘대응 중심’에서 ‘생태계 기반 위험 관리’로 이동하고 있다는 점을 강조했다. 즉, 문제가 생긴 뒤 막는 방식만으로는 부족하며, 소프트웨어가 만들어지고 배포되고 운영되는 전체 과정에서 어떤 위험이 숨어 있는지 미리 봐야 한다는 뜻이다. 특히 공급망 공격은 한 기업만의 문제가 아니라 연결된 협력사, 오픈소스, 외부 라이브러리, 클라우드 서비스까지 이어질 수 있기 때문에 더 넓은 시야가 필요하다는 것이다.

유 교수는 이어 각국의 공급망 보안 정책이 이미 빠르게 구체화되고 있다고 설명했다. 미국, 유럽연합, 일본, 영국, 싱가포르, 캐나다, 호주, 한국 등 주요 국가들은 공급망 보안을 국가 차원의 법과 제도로 다루고 있었다. 미국은 SBOM 가이드라인, FDA의 의료기기 사이버보안 지침, FCC의 중국·러시아 인증 장비 규제, OMB 메모 등을 통해 공급망의 출처와 배경을 더 엄격하게 따지는 흐름을 보이고 있었다. 유럽연합은 사이버 회복력 법과 NIS2 지침을 중심으로 제품의 설계, 개발, 생산, 유통, 폐기에 이르는 전 생애주기 보안을 요구하고 있었다.

일본과 영국 역시 공급망 보안을 제조사와 운영 주체의 책임으로 보고 관리 범위를 넓히고 있었다. 싱가포르는 클라우드와 서비스형 소프트웨어 확산에 맞춰 해외 서비스 공급업체까지 규제 시야를 넓히고 있었고, 캐나다는 특정 제조사 제품을 직접 금지할 수 있는 법적 기반을 강화하고 있었다. 호주는 국가 안보와 연결된 핵심 자산에 대해 공급망 검증을 강화하고 있었으며, 한국도 소프트웨어 공급망 보안 가이드와 국가 망 보안 체계 가이드라인 등을 통해 관련 대응 체계를 정비하고 있다고 설명했다.

유럽은 규범, 미국은 출처…갈라지는 전략

유지연 교수는 글로벌 공급망 보안 전략이 크게 두 흐름으로 갈리고 있다고 설명했다. 유럽연합은 ‘어떻게 안전하게 만들었는가’를 따지는 규범 중심 모델을 택하고 있었다. 문서와 절차, 보안 요구사항 이행 여부를 통해 시장 접근 자격을 판단하는 방식이다. 반면 미국은 ‘누가 어디서 만들었는가’를 더 중요하게 보는 지정학적 모델을 강화하고 있었다. 이는 적성국의 기술과 자본을 공급망에서 배제하고, 출처 기반으로 위험을 줄이려는 접근이다.

유럽연합의 경우 NIS2와 사이버 회복력 법을 통해 서비스 운영 회복력, 공급망 리스크 관리, 초기 경보와 사고 보고, 전 생애주기 보안 요구사항, SBOM 작성, CE 마크 의무 등을 요구하고 있었다. 문서로 보안을 증명하지 못하면 시장에서 퇴출될 수 있는 구조다. 반면 미국은 클린 공급망 구축과 출처 기반 통제를 강화하는 흐름을 보이고 있었다. 강연에서는 적성국 하드웨어, 외국 자본 출처 기업, 국가 코드 기반 요소가 실제 시장 접근 제한의 대상이 될 수 있다고 설명했다.

유지연 교수는 특히 한국 기업이 이 두 흐름 사이에서 이중 부담을 안게 될 수 있다고 진단했다. 유럽 시장을 겨냥하면 취약점 보고 체계와 문서화, SBOM 작성과 분석 역량을 갖춰야 하고, 미국 시장을 겨냥하면 원산지와 자본 배경, 공급망 구조까지 더 면밀하게 점검해야 한다는 것이다. 이를 ‘샌드위치 리스크’로 설명하며, 한국 기업이 규제 준수와 디리스킹을 동시에 준비해야 한다고 강조했다.

SBOM만으로 부족…기업 전체의 협업 필요

이어 그는 SBOM의 한계도 전했다. SBOM은 소프트웨어를 구성하는 요소와 버전, 취약점, 라이선스 정보를 정리하는 데 도움이 되지만, 그 자체가 곧 안전을 뜻하지는 않는다는 설명이다. 실제 현장에서는 많은 데이터가 쏟아져도 분석 인력과 시간이 부족해 중요한 위험을 놓치는 경우가 생길 수 있다. 문서상으로는 규정을 맞춘 것처럼 보여도, 실질적인 위협 식별에는 실패할 수 있다는 뜻이다.

이 한계를 보완하기 위해 유지연 교수는 ‘지정학적 SBOM’ 개념을 제시했다. 기존 기술 중심 SBOM에 국적 추적, 자본 출처, 권한 변경 이력, 제재 목록 대조 같은 정보를 추가해 실제 위험을 더 입체적으로 보자는 접근이다. 단순히 어떤 구성요소가 들어갔는지만 보는 것이 아니라, 그 뒤에 있는 조직과 자본, 국가적 배경까지 함께 봐야 한다는 설명이었다. 이는 최근 공급망 보안이 코드 자체보다 사람과 관계, 출처와 신뢰를 함께 따져야 하는 문제로 바뀌고 있다는 점과도 이어있다.

또 VEX 활용 필요성도 강조했다. SBOM으로 수집한 취약점 정보 가운데 실제 악용 가능성이 낮은 항목은 걸러내고, 실제 공격 가능성이 큰 위험에 대응 우선순위를 두는 방식이다. 강연에서는 SBOM 자동 생성, VEX 매칭, 위협 인텔리전스 연동, 우선순위 패치 자동화로 이어지는 흐름도 함께 제시됐다. 이는 보안팀이 모든 취약점을 같은 수준으로 대응하는 비효율을 줄이고, 더 현실적인 보안 운영 체계를 만드는 방법으로 제시됐다.

마지막으로 유지연 교수는 공급망 보안은 더 이상 보안팀만의 업무가 아니라고 강조했다. CEO와 이사회는 벤더 출처와 법적 책임을 판단해야 하고, CISO는 기술 정보 체계와 SBOM·VEX 통합 관리를 맡아야 하며, 구매 부서는 파트너사의 신원과 자본 배경을 확인해야 한다고 설명했다.

법무는 해외 규제와 계약 책임을 검토하고, 통상·해외영업 부서는 수출 대상국의 규제와 비관세 장벽까지 함께 봐야 한다는 점도 지적했다. 또한 1차 협력사뿐 아니라 2차, 3차, 그 이후 하청 구조까지 가시성을 확보해야 한다며, 다계층 매핑과 실시간 모니터링, 계약 조건 명시, 연쇄 고리 차단 같은 대응이 필요하다고 설명했다.

인공지능 전환이 빨라질수록 더 많은 소프트웨어와 서비스가 서로 연결되고, 그만큼 보안도 더 넓고 깊게 봐야 한다.  결국 앞으로의 공급망 보안은 ‘어떤 취약점이 있나’를 넘어서 ‘누가 만들었고, 어떤 경로로 들어왔으며, 얼마나 믿을 수 있나’를 함께 따지는 방향으로 갈 수밖에 없다고 유 교수는 강조했다.