EU 사이버 복원력 법(CRA) 하에서 소프트웨어 제조사가 제품에 오픈소스 구성요소를 통합하면 제13조 제5항에 명시된 실사(due diligence) 의무를 이행해야 하고, 이를 용이하게 할 보안 증명(Security attestation) 체계도 갖춰야 합니다.
EU 사이버 복원력 법(CRA)의 오픈소스 보안 증명 요구사항
EU CRA는 디지털 제품의 보안 수준을 높이기 위해 제조사에게 엄격한 적합성 요건을 부과합니다. 특히 오픈소스 소프트웨어의 통합 사용이 빈번한 현대의 소프트웨어 개발 환경을 반영해 오픈소스 구성요소에 대한 별도의 보안 증명 체계를 규정하고 있습니다.
1. 실사 의무와 보안 증명의 법적 근거
CRA 제25조는 ‘Security attestation of free and open-source software’라는 제목으로 제조자가 자사 제품에 무료 및 오픈소스 소프트웨어 구성요소를 통합하는 경우를 구체적으로 지목하고 있습니다. 이 조항의 핵심은 CRA 제13조 제5항이 규정하는 실사(due diligence) 의무를 제조사가 수월하게 이행하도록 돕는 데 있습니다.
2. 위임 입법으로 구체화
CRA 제25조에 따르면 유럽 위원회(Commission)는 구체적인 보안 증명 방식이나 세부 사항을 규정하기 위해 위임 입법(delegated acts)을 채택할 수 있는 권한을 가집니다. 이는 법률의 기본 틀에만 머무르지 않고 기술 변화에 유연하게 대응해 실무적인 보안 증명 기준을 마련하겠다는 의지로 읽힙니다.
OpenSSF Gemara 모델의 구조 및 자동화 거버넌스 구현
법적 요구사항이 구체화되는 흐름에 맞춰 기업들은 수동적인 문서 작업에서 벗어나 기계 판독이 가능한(machine-readable) 형태로 보안 증명을 자동화하려 하고 있습니다. OpenSSF의 Gemara가 대표적인 기술적 접근 모델로 제시됩니다.
1. Gemara의 논리 모델과 목적
Gemara는 거버넌스, 리스크, 컴플라이언스(GRC) 활동을 표준화된 공학적 규율로 변환하기 위해 설계된 모델입니다. 주요 특징은 다음과 같습니다.
- 7계층 논리 모델: GRC 활동을 체계적으로 구조화한 7계층 논리 모델을 제공합니다.
- CUE 기반 스키마: CUE-powered 스키마로 보안 도구 간 데이터 공유를 지원합니다.
- 재작업 최소화: ‘Minimizing rework for governance activities’라는 목표 아래 거버넌스 활동의 반복 작업을 줄이는 모델, 지원 자원, 스키마 및 CUE 기반 검증 방식을 안내합니다.
2. 보안 증명 자동화의 메커니즘
Gemara는 단순한 가이드라인이 아니라 실제 검증 가능한 스키마로 보안 상태를 증명하려는 시도입니다. 이는 CRA가 요구하는 실사 의무를 수행하는 과정에서 제조사가 오픈소스 프로젝트의 보안 상태를 정량적으로 확인하고 이를 증거로 남기는 프로세스를 자동화하는 데 기여합니다.
공급망 보안 도구와 Gemara의 연동 가능성
오픈소스 보안 실사에는 한 가지 도구로는 부족합니다. 기초 신호 점검부터 성숙도 평가, 컴플라이언스 검증까지 이어지는 다층적인 도구 체계가 필요합니다.
1. 분석 도구별 역할 및 특성
OpenSSF에서 제공하는 도구들은 저마다 목적이 다릅니다. 이를 Gemara 모델과 결합하면 전체적인 보안 가시성을 확보할 수 있습니다.
| 도구명 | 주요 역할 및 특성 | 비고 |
|---|---|---|
| Open Source Project Security Baseline | 프로젝트 성숙도 수준에 따른 충족 보안 요건 정의 | OpenSSF Security Baseline SIG가 유지 |
| OpenSSF Scorecard | archived probe 등을 통한 프로젝트 기초 신호 점검 | 확정적 보고서나 요구 사항이 아님을 명시 |
| Privateer | 보안 및 컴플라이언스 평가를 위한 플러그 기반 프레임워크 | Gemara Layer 2 스키마 활용 가능 |
2. Privateer와 Gemara의 통합 운영
Privateer는 보안 및 컴플라이언스 평가를 수행하는 프레임워크로, Gemara Layer 2 스키마 카탈로그를 활용해 플러그인 골격을 생성합니다. Gemara가 정의한 표준 스키마대로 실제 보안 점검 도구(Privateer)가 데이터를 수집하고 평가하는 구조를 만들어 실사 의무 이행의 기술적 토대를 제공합니다.
CRA 적용 타임라인 및 제조사 대응 전략
EU CRA는 모든 요건을 한 번에 강제하지 않고 단계적인 적용 기간을 두고 있습니다. 보안 담당자라면 아래 타임라인을 놓고 대응 전략을 세우게 됩니다.
1. 단계적 집행 일정
공급망 보안 및 취약점 관리에 관한 의무는 다음과 같은 일정으로 적용될 예정입니다.
- 취약점 관리 의무 적용: 2026년 9월부터 적용됩니다.
- 전체 적합성 요건 집행: 2026년 9월부터 2027년 12월까지 단계적으로 집행될 예정입니다.
2. 소프트웨어 제조사를 위한 제언
제조사가 2026년 9월부터 시작되는 취약점 관리 의무에 대비해 할 일은 분명합니다. 현재 사용하는 오픈소스 구성요소 목록(SBOM)을 최신화하고 각 프로젝트의 보안 성숙도를 점검하는 일입니다. CRA 제25조의 보안 증명 의무 이행을 위해서는 OpenSSF Scorecard와 같은 도구로 기초 신호를 확인하고, Gemara와 같은 표준화된 GRC 모델을 검토해 향후 위임 입법으로 확정될 증명 서식에 유연하게 대응할 수 있는 체계를 마련해 두는 것이 타당합니다.