라운드버드 Hexamind Platform
홈문서블로그도입 문의
제품

2026년 7월 24일 · 주식회사 라운드버드 · 약 7분

2027년 공공 SBOM 제출 제도화 — 기업이 지금 준비할 것들

범부처 정보보호 종합대책의 2027년 공공 SBOM 제출 제도화와 SW 공급망 보안 강화 로드맵(2026.6)의 연차별 일정을 정리하고, 기업이 준비해야 할 대응 체계를 안내합니다.

한국의 SW 공급망 보안 정책이 권고 단계를 지나 제도화 단계로 들어섰습니다. 2025년 10월 발표된 「범부처 정보보호 종합대책」 은 공공분야 IT 시스템·제품을 대상으로 SBOM(Software Bill of Materials, SW 구성요소 명세서) 제출을 2027년까지 제도화하고, 보안 문제가 확인된 제품은 조달 단계에서 도입을 제한하겠다는 방침을 담았습니다.1 이어 2026년 6월에는 연차별 이행 계획을 담은 「SW 공급망 보안 강화 로드맵」 이 발표되었습니다.23 이 글은 두 문서에서 기업에 실제로 적용되는 요구사항을 연차별로 정리하고, 지금 준비해야 할 대응 체계를 안내합니다.

무엇이 결정되었나

종합대책(2025-10-22) 은 국가안보실 중심의 관계부처 합동 대책으로, 공급망 보안과 관련해 세 가지를 명시했습니다.1

  • 공공분야 IT 시스템·제품에 대한 SBOM 제출을 2027년까지 제도화
  • 보안 문제가 확인된 IT 제품의 공공 조달 도입 제한 추진
  • 정보보호 전문서비스 기업 지정 범위를 보안컨설팅·관제에서 AI보안·SW공급망보안 분야로 확대

로드맵(2026-06-24) 은 과학기술정보통신부·국가정보원·한국인터넷진흥원이 제작한 본문 33면 분량의 실행 계획으로, "안전하고 책임 있는 공급망 보안 체계의 전환을 통한 사이버 복원력 확보"를 비전으로 제시합니다.2 공급망 위협 예방 역량 강화, 신속한 탐지·대응 체계 마련, 정책·제도적 기반 조성의 세 가지 전략 아래 SW 공급망 투명성 제고부터 법·제도 정비까지 9개 세부 과제를 2026년부터 연차별로 배치했습니다.2

배경에는 국제 규제 환경이 있습니다. 미국은 연방정부 납품 SW에 보안 개발 증명을, 의료기기에는 FDA 인허가 단계의 보안 요구를 이미 적용하고 있고,2 EU 사이버복원력법(CRA)의 본 의무는 2027년 12월부터 적용됩니다.4 로드맵도 국내 SBOM 항목을 해외 요구사항과 정합하도록 최소한으로 도출해 수출기업에 이중 규제가 되지 않도록 하겠다는 방향을 명시했습니다.2 미국·EU를 포함한 규제 전반의 흐름은 SW 공급망 보안 정책 정리 글에서 별도로 다뤘습니다.

연차별로 보는 변화

로드맵의 세부 과제 일정에서 기업에 직접 관련되는 항목을 추리면 다음과 같습니다.2

시기제도 변화기업 관점 변화
2026~생애주기별 공급망 보안 기준·실무 가이드라인 2.0 개발, SBOM 기반 관리 모델 적용·확산(수출기업·파급력 높은 분야 우선), 공공분야 SBOM 통합 관리 시스템 구축 착수, 보안적합성 검증에 공급망 보안 평가 기준 마련·반영확산 적용은 수출기업과 파급력이 높은 분야부터 우선 지원됩니다
2027~공공 정보화사업에 SBOM 제출·취약점 대응 절차 도입, 공급망 보안관리 검증·우수기업 확인서(가칭 SSS Verified) 시범운영, 보안적합성 검증 요건으로 SBOM 제출·안전한 SW 개발 방법론 준수 확인, 침해사고·보안취약점 발견 이후 후속 대응이 미흡한 기업·제품의 공공분야 도입 제재 강화공공 납품에서 SBOM 제출이 실질 요건이 되고, 사후 대응 이력이 도입 심사에 반영되기 시작합니다
2028~취약점 정보 DB 구축, AI 기반 취약점 발굴·확산방지 체계 운영, SW 공급망 위험 수준 진단·완화 지원상시 모니터링과 대응 이력 관리가 평가의 전제가 됩니다
참고

로드맵은 SBOM을 국내에서 "SW 구성요소 명세서, SW 자재명세서"로 부른다고 소개하며, 기존에 보안 취약점 발견과 조치에 수개월에서 수년까지 걸리던 것을 SBOM 활용으로 신속하게 단축할 수 있다고 기대효과를 설명합니다.2

기업에 요구되는 것 네 가지

두 문서의 요구에서 도출되는 실무 과제는 다음 네 가지로 수렴합니다.

  1. SBOM 생성·관리: 납품 제품·서비스마다 표준 형식의 SBOM을 만들고, 빌드마다 최신으로 유지해야 합니다. 일회성 문서가 아니라 상시 관리 대상입니다.
  2. 신뢰 가능한 전달·검증: 제출한 SBOM과 산출물이 위·변조되지 않았음을 수신 기관이 확인할 수 있어야 합니다.
  3. 취약점 상시 추적과 우선순위 판단: 로드맵은 민간 고위험 취약점 상시 관리체계(2026~)와 SBOM 생성·관리 기업 대상 공급망 위험 경보 시스템(2027~)을 예고했습니다.2 경보를 받는 것으로 끝나지 않고, 무엇부터 조치할지 판단하는 기준이 필요합니다.
  4. 납품 이후 사후관리: 로드맵은 개발·공급 이후에도 생명주기 전체에 걸쳐 보안 지원이 이어지도록 제도 개선을 예고했고,2 종합대책은 보안 문제가 확인된 제품의 공공 조달 도입 제한을 명시했습니다.1 납품 시점의 보안 상태만으로는 부족합니다.

Hexamind Platform의 대응

라운드버드의 Hexamind Platform은 위 네 가지 요구를 개별 도구의 조합이 아니라 하나의 흐름으로 지원합니다.

  • SBOM 생성부터 전달·사후관리까지: TrustBOM이 표준 형식의 SBOM 생성과 서명·전달을 처리하고, 수신 기관이 산출물의 무결성과 보안 상태를 직접 확인할 수 있게 합니다. 납품 이후 새로운 취약점이 발견되면 알림으로 이어져 사후관리 요구에 대응합니다.
  • 취약점 우선순위 판단: 공개 지표(CVSS·EPSS·KEV)에 조직의 운영환경 맥락을 더해, 실질 위험 기준으로 조치 순서를 정하도록 지원합니다. 공개 심각도의 순위가 곧 조치 순위는 아니기 때문입니다. 이 문제는 Log4Shell 회고 글에서 자세히 다뤘습니다.
  • 보고·증빙: Hexamind AI가 프로젝트 보안 데이터를 기반으로 분석과 보고서 작성을 도와, 공공 납품·감사 대응의 문서 부담을 줄입니다.

기능 상세와 사용 방법은 각 제품 문서에서 확인할 수 있습니다.

오늘 시작할 체크리스트

  • 공공 납품 대상 제품·서비스 목록과 각각의 SBOM 존재 여부를 확인했는가?
  • SBOM이 빌드 파이프라인에서 자동으로 갱신되는가?
  • 제출·전달 시 산출물의 무결성(서명)을 수신자가 검증할 수단이 있는가?
  • 신규 취약점이 SBOM과 자동 매핑되어 알림이 오고, 조치 우선순위 기준이 있는가?
  • 납품 이후 제품의 취약점 대응·패치 이력을 축적하고 있는가?
  • (수출기업) 미국 연방조달·FDA, EU CRA 요구와의 정합을 점검했는가?

마치며

2027년 공공 SBOM 제출 제도화까지 남은 기간은 준비에 충분하지 않을 수 있습니다. SBOM 생성부터 서명·전달, 취약점 우선순위 판단, 납품 이후 모니터링까지를 개별 도구로 조합하는 대신 하나의 흐름으로 운영하는 것이 로드맵이 요구하는 상시 관리 체계에 부합합니다. 도입 검토는 제품 문서에서 시작하거나, 도입 문의로 연락 주세요.

참고 자료

각주

  1. 관계부처 합동, 「범부처 정보보호 종합대책 발표」 보도자료 (2025-10-22, 2026-07-23 조회). 공공분야 SBOM 제출 '27년까지 제도화·공공 조달 도입 제한·전문서비스 기업 확대. ↩ ↩2 ↩3

  2. 관계부처 합동, 「AI 일상화 시대를 준비하는 SW 공급망 보안 강화 로드맵」 (2026-06-24, 한국인터넷진흥원 게시본 2026-07-24 조회). 원문이 공공누리 제4유형(출처표시·상업용금지·변경금지)이므로 본문 서술은 사실관계의 재서술이며, 비전 문구만 출처를 밝혀 짧게 인용했습니다. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9

  3. 과학기술정보통신부·국가정보원, 로드맵 보도자료 (2026-06-24, 공공누리 제1유형, 2026-07-23 조회). ↩

  4. EU 관보, Regulation (EU) 2024/2847, Art.71(2) (2026-07-23 조회). 본 의무 2027-12-11 적용. ↩

SBOM
공급망 보안
공공조달
TrustBOM

문의하기

도입 검토, 데모 요청, 기술 문의 등 어떤 내용이든 답변드립니다.

[email protected]
문의 페이지로 이동

구독하기

이메일을 남겨 주시면 새 글 소식을 보내드립니다.

← 이전 글

Log4Shell 회고 — CVE-2021-44228이 남긴 것

← 블로그 목록으로