미국 CISA SBOM 새 가이드라인 발표…공급망 투명성 규범화 돌입

CISA SBOM 신규 가이드라인 발표…소프트웨어 공급망 규제 표준화 가속

미국 CISA가 DarkReading 보도에 따라 신규 SBOM 가이드라인을 공개해 연방정부 조달 소프트웨어의 구성요소 목록 제출을 사실상 기본 요구사항으로 만들며, SBOM 형식과 활용 방법을 구체화해 민간과 공공 모두에 공급망 투명성 기준을 제시한 사건이다.
이번 가이드라인은 NIST·NTIA가 제시한 SBOM 최소 요소를 재정비해 소프트웨어 버전, 오픈소스 라이선스, 취약점 연계 정보 등을 구조화해 제출하도록 요구하며, 연방기관이 이를 활용해 위험 기반 자산관리와 취약점 우선순위화에 나서도록 정책적 사용 시나리오를 제시한 조치이다.
기사에 따르면 SBOM이 지나치게 방대해 실무 적용이 어렵다는 우려 속에서 CISA는 연방정부용 SBOM의 실용성을 위해 필수 필드와 포맷을 정리하고 기존 SPDX·CycloneDX 등 표준을 참고해 상호운용성을 강조했으며, 이는 한국 공공 조달에서도 국산 제품에 동일 수준 메타데이터 제공을 요구할 수 있는 근거가 된다.
미국이 SBOM을 연방 조달 규제 수단으로 활용하면서 글로벌 소프트웨어 공급망에서 ‘SBOM 대응력’이 시장 진입 장벽으로 부상하고 있어, 한국 보안 기업은 CISA 권고 수준 이상의 SBOM 자동 생성·취약점 매핑 기능을 선제 확보할 경우 미국·EU 공공시장 진출과 국내 공공 조달 고급화에 동시에 유리한 위치를 점할 수 있는 기회가 된다.
CISA 가이드라인은 SBOM만으로는 공격 차단이 불가능하다는 한계를 인정하면서도 공급망 공격 탐지·사후 분석의 기본 데이터 인프라로 규정하고 있어, 한국 정부가 국가·공공망 조달 규정에 SBOM 제출 의무와 활용 지침을 단계적으로 반영하면 국산 SW 생태계의 보안 수준 상향과 글로벌 규제 정합성을 동시에 달성할 수 있는 정책 레버리지로 작동한다.