CISA, SBOM 2025 가이드라인 발표…투명성 강화지만 현실적 과제 여전

📦 SBOM, 다시 뜨거운 감자로

미국 사이버보안 및 기반시설 보안국(CISA)이 최근 연방 기관을 대상으로 한
SBOM(Software Bill of Materials, 소프트웨어 자재 명세서) 가이드라인 2025년판을 공개했습니다.

SBOM은 소프트웨어가 어떤 구성 요소로 이루어져 있는지를 보여주는 ‘부품표’ 같은 개념입니다.
예를 들어, 자동차 매뉴얼에 엔진, 브레이크, 전자 장치가 어떤 회사 부품인지 나오듯,
SBOM은 소프트웨어 안에 포함된 라이브러리와 오픈소스, 라이선스 정보 등을 투명하게 보여줍니다.

개념은 좋지만, 업계에서는 오랫동안 “현실성이 부족하다”는 불만이 많았습니다.
2021년 첫 연방 최소 요구안이 나왔을 때도 “좋은 아이디어지만 실제 보안팀이 활용하기 어렵다”는 지적이 쏟아졌고,
4년이 지난 지금도 여전히 비슷한 고민이 이어지고 있습니다.

---

🔑 이번 업데이트의 핵심 변화

CISA의 이번 2025년 업데이트는 단순히 리스트를 나열하는 수준을 넘어,
SBOM을 실제 보안 운영에 쓸 수 있도록 보강하는 데 초점을 맞췄습니다.

1. 필수 항목 강화
   • 구성요소 해시(Hash) 값
   • 라이선스 정보
   • SBOM 생성 도구 이름
   • 타임스탬프와 추가 식별자
   → 이 정보들이 있어야 나중에 소프트웨어가 변조되었는지 검증 가능
2. 머신 리더블 포맷 의무화
   • SPDX, CycloneDX 같은 표준 포맷 요구
   • 자동화 도입을 위한 기반 마련
3. 암호학적 해시 필수화
   • SBOM 발행 시점 이후 코드가 변조됐는지 확인 가능
   • DigiCert 소프트웨어 신뢰 책임자인 Dave Roche는 “이제 SBOM이 진짜 검증 도구가 될 수 있다”며 긍정적으로 평가

---

⚠️ 여전히 남아있는 문제들

그러나 업계 전문가들은 여전히 우려를 제기합니다.

• 표준화 부족: 기업마다 SBOM을 작성하는 방식이 달라 공유나 협업이 어려움
• 실무 활용 한계: SBOM은 존재하지만, 실제 위협 헌팅이나 취약점 관리에 연결되지 않는 경우 많음
• 리소스 부담: 보안팀 인력이 제한적인 상황에서 또 하나의 ‘체크박스’ 의무로 전락할 수 있음
• 맥락 부족: 단순히 해시와 라이선스 정보만 나열되면 보안팀이 우선순위를 잡기 힘듦

Radian의 CISO인 Donna Ross는 “산업계 반응은 긍정적이지만 여전히 조심스럽다”며 “자동화, 인센티브 정렬, 복잡성 축소, 규제와 현실성의 균형이 필요하다”고 말했습니다.

---

🧩 실무자들이 바라는 추가 지원

전문가들은 이번 가이드라인이 방향은 옳지만, 좀 더 구체적인 실행 가이드가 필요하다고 지적합니다.

• 산업별 맞춤형 가이드라인
• SBOM 활용 플레이북
• 신뢰 모델과 공유 모델 정의
• SaaS 및 AI 환경까지 포함하는 가이드
• SBOM 검증을 도와주는 툴 지원

즉, “SBOM을 만들라”는 명령만이 아니라, 어떻게 활용해 리스크를 줄일 수 있는지 구체적 로드맵이 필요하다는 이야기입니다.

---

🛠️ 앞으로의 과제: SBOM의 ‘운영화’

궁극적으로 SBOM이 보안에 기여하려면 단순 문서에서 끝나는 것이 아니라,
자동화된 취약점 관리와 위협 인텔리전스에 연결되어야 합니다.

예를 들어,

• SBOM에 포함된 해시와 라이선스를 자동으로 취약점 DB와 매칭
• 위협 인텔리전스 피드와 연결해 악용 가능성이 높은 구성요소를 우선순위로 알림
• 보안팀이 즉시 패치나 차단 조치를 실행할 수 있는 워크플로 제공

Anthropic이 언급한 AI·SaaS 영역과도 연결해,
차세대 SBOM은 단순 부품표가 아니라 ‘보안 운영 대시보드’로 진화해야 할 것입니다.

---

✨ 정리하며

CISA의 SBOM 2025 가이드라인은 분명히 한 단계 진전된 변화입니다.
해시값, 라이선스, 생성 도구, 표준 포맷 요구 등은 SBOM을 실질적인 보안 도구로 만들 수 있는 기반을 제공합니다.

하지만 여전히 표준화, 자동화, 실무 적용성, 리소스 부담 같은 오래된 문제들이 해결되지 않았습니다.
보안 전문가들의 말처럼, SBOM이 진정한 효과를 발휘하려면 단순 규제가 아니라,
실무자들이 당장 활용할 수 있는 툴과 플레이북, 자동화 체계가 반드시 따라야 합니다.

🚨 결론: SBOM은 이제 선택이 아니라 필수지만, “작성”에서 “운영”으로의 전환이 진짜 과제입니다.