ISO 18974 오픈소스 내부 감사 및 모니터링 체계가 소프트웨어 공급망 인증 유지에 미치는 영향
신동명 연구소장 (엘에스웨어(주))
AX(AI Transformation) 시대가 도래하면서 생성형 AI, 자동화 배포 시스템, 그리고 MLOps와 같은 기술들이 기업의 소프트웨어 개발과 운영 환경에서 일상화되었다. 이와 함께 기업들이 개발하고 배포하는 소프트웨어의 구성 요소는 더욱 다양해지고 복잡해졌다. 실제 조사에 따르면 상업용 소프트웨어의 85~97%가 오픈소스 컴포넌트를 포함하고 있고, 응용 프로그램의 96% 이상은 오픈소스를 최소 하나 이상 사용한다고 한다. 또한 90% 이상의 IT 기업이 오픈소스를 인프라 핵심 요소로 사용하며, 평균 코드베이스의 80%가 오픈소스로 구성되어 있다는 연구 결과도 있다. 그러나 이러한 의존도에도 불구하고 현실적인 문제로 인해 62.4%의 조직만이 SBOM을 모니터링하며, SCA·SAST 도구는 약 60% 수준, 컨테이너 스캔은 35% 수준에 머무르고 있다. 이러한 오픈소스의 관리 부족 현상은 자동화된 코드 생성 기술과 외부 패키지 의존성이 확대되는 맥락 속에서 소프트웨어 공급망의 보안 위협이 급격히 증가하고 있다는 점을 여실히 보여준다. 이러한 시대적 상황에서 기업의 공급망 보안을 강화하고, 지속가능성을 확보하기 위해 ISO/IEC 18974 표준이 중요한 실천적 프레임워크로 부상하고 있다.
ISO/IEC 18974는 2023년 12월 리눅스 재단 산하 OpenChain 프로젝트에서 정식 발표된 국제 표준이다. 이 표준은 오픈소스 소프트웨어의 안전한 활용을 위한 '보안 보증(Security Assurance)'을 핵심으로 하고 있다. 소프트웨어 구성 요소의 식별, 취약점 대응, 감사 체계 등 소프트웨어 공급망의 전체 라이프사이클에 걸쳐 구조적이고 체계적인 관리를 요구하고 있으며, 기존의 오픈소스 라이선스 컴플라이언스 표준인 ISO 5230과 병행하여 적용될 때 더 큰 효과를 발휘할 수 있다.
최근 공급망 공격 사례들을 보면 이 표준의 필요성을 더욱 명확히 알 수 있다. xz Utils 백도어 사건은 리눅스 기반 시스템에 깊숙이 침투하여 수많은 시스템을 위험에 빠뜨릴 수 있었고, npm 패키지를 악용한 북한 연계 해킹은 개발 환경 자체를 악성코드 유포 경로로 활용했다. 또한 2024년 NullBulge 사건은 생성형 AI 모델의 학습 데이터셋에 백도어를 심어 모델을 오작동하게 만들 수 있음을 보여주었다. 이처럼 AI와 오픈소스 생태계를 겨냥한 공격은 점점 더 정교해지고 있으며, 무심코 사용한 하나의 패키지 또는 데이터셋이 전체 시스템의 보안 취약점으로 이어질 수 있다.
ISO/IEC 18974는 이러한 위협에 대응하기 위해 다음과 같은 네 가지 핵심 영역을 제시한다.
첫째는 정책 및 절차 수립이다. 오픈소스를 도입하고 활용할 때의 검토 절차를 명확히 문서화하고, 배포 이후 업데이트 방식까지 명시하는 것이 필수이다. 오픈소스 승인 절차, 코드 리뷰 기준, 변경 이력 관리 정책 등은 모두 사전에 정립돼 있어야 한다.
둘째는 전담 조직과 교육 체계의 구축이다. 오픈소스 보안 위험을 전담할 조직을 구성하고, 개발자들이 이를 인지하고 대응할 수 있도록 체계적인 교육을 제공해야 한다.
셋째는 SBOM(Software Bill of Materials)의 작성과 취약점 대응이다. 소프트웨어에 사용된 오픈소스 구성 요소를 정확히 파악하고, 새로운 취약점 발생 시 즉시 대응할 수 있는 프로세스를 마련해야 한다.
넷째는 내부 감사 체계 구축이다. 연간 최소 1회 이상 전체 프로세스를 점검하여 미흡한 부분을 개선하고, 이를 문서화하여 반복되는 리스크를 방지해야 한다. 내부 감사는 단순 점검이 아니라 인증 유지의 핵심 수단이기도 하다.
이러한 핵심 보안 관리 절차를 위한 ISO 18974의 인증 절차는 총 다섯 단계로 이루어진다. 사전 진단, 체계 및 문서화 구축, 외부 심사, 시정 조치, 사후 관리가 그것이다. 특히 인증 후에도 최소 18개월 이상 감사 기록을 유지하며 지속적인 개선이 이루어져야 한다는 점은 이 표준이 인증 그 자체가 아닌 지속가능한 보안 관리 체계를 구축하는 데 중점을 두고 있음을 보여준다. 더 나아가 ISO 5230과 병행하여 도입할 경우, 오픈소스 사용에 따른 법적 리스크와 기술적 리스크를 모두 체계적으로 관리할 수 있다. ISO 5230은 소프트웨어 내 사용된 오픈소스의 라이선스 준수 여부를 보장하는 거버넌스 관리를 위한 정책 표준으로 ISO 18974와 함께 적용할 때 전체적인 공급망 거버넌스의 수준을 높일 수 있다.
국내에서도 ISO 18974 도입 및 인증 사례가 빠르게 늘어나고 있다. 대기업에서 우선적으로 적용 및 인증, 운영하고 있으며, 다양한 기업으로 확장되고 있는 추세이다. 카카오뱅크는 금융권 최초로 ISO 18974 인증을 획득했으며, OSS 승인률 100% 달성, 취약점 대응 평균 3일이라는 실질적 성과를 보여주었다. KT는 ISO 5230과 18974를 동시에 적용한 통합 관리 체계를 구축했고, LG전자와 NHN도 ISO 18974 인증을 획득하며 오픈소스 공급망 보안 선도 기업으로 자리매김하고 있다. 해외에서는 리눅스 기반의 openEuler 프로젝트가 세계 최초로 커뮤니티 차원에서 ISO 18974 인증을 받아, 오픈소스 생태계 전체의 신뢰성과 보안 수준을 한 단계 끌어올렸다.
ISO 18974는 단순히 인증 취득을 위한 표준이 아니다. 지속적으로 변화하는 공급망 보안 위협에 능동적으로 대응하고, 법적·기술적 리스크를 효과적으로 관리할 수 있도록 기업과 조직의 체질을 근본적으로 개선하는 도구로 활용되어야 한다. 특히 CTO와 보안 책임자는 이 표준을 통해 자사의 소프트웨어 공급망 보안 상태를 상시 점검하고, 지속적으로 성장시키는 기반을 마련해야 한다. 감사 체계와 SBOM, 정책 문서화는 모두 비용이 아닌 조직 신뢰성을 높이는 투자임을 인식해야 한다.
자동화된 개발 환경, AI 중심 아키텍처, 오픈소스 중심 공급망. 이 세 가지가 우리의 현재라면, ISO 18974는 그 속에서 우리가 안전하게 혁신을 이어가기 위한 기본 골격이다. ISO 18974는 그 기본을 가장 실용적이고 실천적인 방식으로 제공하고 있으며, ISO 5230과 함께 적용될 때 기업의 소프트웨어 공급망은 더욱 신뢰 가능한 체계로 발전할 수 있다.
지금이야말로 오픈소스를 활용한 SW공급망에서 보안이 경쟁력이 되는 시대에, 조직의 기술적 성장과 신뢰성을 동시에 확보하기 위한 공급망 보안 보증체계를 마련해야 할 시점이다.
