[서울=뉴시스]윤정민 기자 = 스패로우가 금융·제조·유통업계 보안 책임자들을 한자리에 모아 주요국의 규제 강화에 맞춰 소프트웨어 자재명세서(SBOM)를 체계적으로 관리해야 한다고 강조했다.

장일수 스패로우 대표는 27일 오전 서울 영등포구 페어몬트 앰배서더 서울에서 열린 '애플리케이션 시큐리티 서밋 2026'에서 "주요국의 SBOM 요구 수준이 계속 높아지고 있다. SBOM 정확도와 신뢰성을 확보하고 생성부터 검증·유통까지 체계적으로 관리할 기반을 갖춰야 한다"며 이같이 밝혔다.

이 행사는 스패로우가 매년 개최하는 기업 최고정보책임자(CIO)·최고정보보호책임자(CISO) 대상 조찬 세미나다. 올해 행사에는 금융과 제조, 유통 등 여러 산업 분야의 기업 리더 30여명이 참석했다.

장 대표는 이날 기조연설에서 주요국의 소프트웨어 공급망 보안 규제 동향과 기업의 대응 방안을 소개했다.

SBOM은 하나의 소프트웨어를 구성하는 오픈소스와 외부 라이브러리, 버전, 라이선스 등의 정보를 정리한 명세서다. 특정 구성요소에서 보안 취약점이 발견되면 해당 부품을 사용한 제품과 서비스를 신속하게 찾아내는 데 활용된다.

장 대표는 기업이 SBOM을 단순히 생성하는 데 그치지 않고 소프트웨어 개발·유통 과정에서 지속해서 관리해야 한다고 강조했다. 구체적인 실행 전략으로 ▲SBOM 생애주기 관리 ▲SBOM 기반 취약점 대응 체계 구축 ▲디지털 서명과 검증을 통한 안전한 유통 등을 제시했다.

여구용 스패로우 사업총괄은 정부 로드맵에 대응하려면 개발부터 테스트·운영에 이르는 소프트웨어 생명주기 전반에 보안을 적용해야 한다고 설명했다.

이어 스패로우의 애플리케이션 보안 테스트 통합 플랫폼으로 오픈소스 구성요소의 사용 현황과 취약점을 지속해서 관리하는 고객 사례를 공유했다. SBOM 공유 이력을 토대로 공급사와 수요사 간 관계를 파악해 공급망 전반의 가시성을 확보하는 방안도 제시했다.

윤종원 스패로우 최고기술책임자(CTO)는 취약한 오픈소스 구성요소가 개발 환경에 들어오는 것을 사전에 차단하고, 발견된 취약점은 실제 위험도와 영향도를 고려해 대응 순서를 정해야 한다고 말했다.

스패로우는 인공지능(AI)으로 자산의 중요도와 취약점 위험도 등을 분석해 조치 우선순위를 제안하는 기능을 제공하고 있다.

취약점이 특정 제품에 실제 영향을 미치는지를 나타내는 취약점 영향정보(VEX) 기능도 최근 추가했다. 앞으로 취약점의 공격 악용 가능성을 예측하는 EPSS와 실제 공격에 이용된 취약점 목록인 KEV 정보도 제공할 계획이다.


◎공감언론 뉴시스 alpaca@newsis.com