EU ‘24시간 사이버 신고’ 시작…삼성 대응 체계 구축 분주

유럽연합(EU) 사이버복원력법(CRA)의 신고 의무가 시행되면서 국내 전자·제조업계에 ‘24시간 대응’이 새로운 과제로 떠올랐다. 취약점을 찾아내는 기술보다 발견된 사안이 신고 대상인지 판단하고 조직 내부에서 신속하게 의사결정을 내리는 역량이 규제 대응의 관건이라는 분석이 나온다.

EU 집행위원회에 따르면 CRA 제14조의 취약점·보안사고 신고 의무는 지난 11일부터 적용됐다. 제조사는 실제 악용된 취약점이나 제품 보안에 영향을 미치는 중대한 사고를 인지하면 24시간 내 조기경보, 72시간 내 본 신고를 해야 한다. 실제 악용 취약점은 수정·완화조치가 마련된 뒤 14일 이내 최종보고가 뒤따르며, 중대한 사고는 본 신고 후 1개월 이내 최종보고해야 한다. 위반 시 최대 1500만유로 또는 전 세계 연매출의 2.5%까지 과징금이 부과될 수 있다.

현장에서는 ‘탐지 이후’가 병목으로 꼽힌다. 대기업 상당수가 제품의 보안 취약점을 자동으로 찾아내고 공개된 취약점 정보를 추적하는 시스템은 갖추고 있지만, 발견된 문제가 CRA상 신고 대상인지 판단해 개발·보안조직에서 법무·경영진까지 올리는 절차는 상대적으로 미흡하다는 것이다.

한 보안 컨설팅업계 관계자는 “취약점 탐지 자체보다 신고 대상 여부를 판단하고 24시간 안에 경영진과 법무조직까지 보고해 의사결정을 내리는 내부 보고 절차가 병목”이라며 “제품에 어떤 오픈소스가 들어갔는지는 SCA(소프트웨어 구성 분석) 도구로 상당 부분 확인할 수 있지만, 협력사가 공급한 통신모듈이나 펌웨어까지 포함해 어느 부품에 어떤 취약점이 들어갔는지 끝까지 추적하는 체계는 아직 초기 단계”라고 말했다.
삼성전자는 이에 대응한 내부 체계를 구축했다. 삼성전자 관계자는 “24시간 조기경보와 72시간 후속 신고 의무에 대응하기 위한 내부 체계를 마련했고 기존 EU 판매 제품도 관리 대상에 포함하고 있다”고 밝혔다. 공급망 관리체계도 운영 중이며 내년 12월 CRA 전면 시행에 맞춰 대상 제품의 사이버보안 요구사항 충족과 CE 마킹을 준비하고 있다.

공급망은 남은 변수다. 완제품을 EU에 직접 수출하는 대기업과 달리 중소 협력사는 자체 취약점 모니터링·통보 체계가 상대적으로 미흡하다는 게 업계의 대체적인 평가다. 이에 대기업을 중심으로 협력사 계약에 보안 요구사항을 명시하거나 제품에 어떤 소프트웨어가 들어갔는지 정리한 소프트웨어 자재명세서(SBOM) 제출을 요구하는 움직임도 나타나고 있다. 기존 판매제품은 구성요소 목록이 현행 기준에 맞춰 정리되지 않았거나 단종돼 패치가 어려운 경우도 있어 신제품보다 관리 부담이 크다.

국내 지원체계도 갖춰지고 있다. 한국정보통신기술협회(TTA)는 8월 21일 EU CE인증기관 넴코그룹으로부터 CE인증 공인시험소로 지정됐다. 같은 날 열린 CRA 대응 세미나에는 전자·통신 분야 50여개 기업에서 150여명이 참석했다.

CRA의 주요 제품보안 의무가 전면 적용되는 시점은 내년 12월이다. 업계에서는 이번 24시간 신고체계 가동이 제품 생애주기와 협력망 전반의 보안관리 수준을 점검하는 사실상의 예행연습이 될 것으로 보고 있다.


이다현 글로벌이코노믹 기자 dh2@g-enews.com