시큐레이어, SK쉴더스와 AI 기반 KISA 공급망 보안 모델 구축

[이데일리 이윤정 기자] AI 기반 정보보호 솔루션 기업 시큐레이어가 SK쉴더스와 함께 소프트웨어(SW) 공급망 보안 관리 체계 구축에 나섰다. 시큐레이어는 과학기술정보통신부와 한국인터넷진흥원(KISA)이 주관하는 ‘2026년 SW 공급망 보안 모델 구축 지원사업’의 주관기관으로, SK쉴더스와 컨소시엄을 구성해 관련 기술 개발과 실증을 진행하고 있다.

시큐레이어의 SBOM기반 공급망 위협 통합 관리 및 자동 대응 체계 로드맵 (사진=시큐레이어)

이번 과제는 소프트웨어 구성요소를 식별·관리하는 소프트웨어 자재명세서(SBOM)를 기반으로 취약점 탐지와 위험 평가, 자동 대응, 사후 검증까지 통합 관리하는 체계를 구축하는 것이 목표다.

최근 오픈소스와 상용 소프트웨어 활용이 확대되면서 개발·배포 과정에서 발생하는 공급망 침해 위협에 대한 관리 필요성이 커지고 있다. 미국 행정명령 EO 14028과 유럽 사이버복원력법(CRA) 등 주요국의 관련 제도도 소프트웨어 구성요소와 취약점 관리의 중요성을 강조하고 있다.

컨소시엄은 SBOM 생성부터 취약점 분석과 대응까지 이어지는 보안 절차를 자동화하는 플랫폼을 개발하고 있다. 시큐레이어는 AI 기반 SBOM 분석 엔진과 취약점 자동 대응 플랫폼 개발을 담당하며, SK쉴더스는 보안 관제 인프라와 실제 운영 환경에서 기술을 검증하고 운영 모델을 최적화한다.

플랫폼에는 취약점 악용 가능성 정보 교환 표준인 VEX(Vulnerability Exploitability eXchange)도 연동했다. 이를 통해 SBOM에서 식별한 취약점이 실제 운영 환경에서 악용될 수 있는지 분석하고, 대응이 필요한 취약점을 선별하도록 설계했다. 양사는 SBOM과 취약점 연계 분석, 위험 가시화, 위협 조치 및 자동 보고 기능을 구현하고 운영 환경과 연계한 실증 평가를 진행하고 있다.

또한 개발·공급 단계에서 생성한 SBOM·VEX 정보가 운영 단계로 전달되고, 운영·관제 과정에서 확인한 위협과 완화 조치 결과가 다시 개발·공급망에 반영되는 양방향 관리 체계를 구축했다. 이를 통해 신규 오픈소스 취약점이 발견됐을 때 영향받는 자산을 추적하고 대응 조치를 적용할 수 있도록 한다는 계획이다.

시큐레이어는 향후 관리 범위를 AI 모델의 구성요소와 학습 데이터, 라이선스 정보 등을 포함하는 AI 자재명세서(AIBOM)와 소프트웨어·데이터·하드웨어 전반을 포괄하는 확장형 자재명세서(XBOM)로 넓힐 계획이다. 이를 바탕으로 설계 단계부터 공급망 전반의 보안을 고려하는 ‘AI-Native Supply Chain Security’ 전략을 추진한다.

시큐레이어는 지난 9월 16일 정보통신기획평가원(IITP)과 전자신문이 공동 주최한 ‘IT 메가비전 X IITP 테크&퓨처 인사이트 콘서트 2026’에서 전시 부스를 운영하고, 사업 추진 현황과 SBOM 기반 기술 로드맵을 소개했다.

컨소시엄은 연내 실제 플랫폼을 활용한 모의 침투 훈련과 위협 대응 시나리오 검증을 마무리하고 공급망 보안 레퍼런스 모델을 배포할 예정이다.

이재우 시큐레이어 대표는 “이번 실증 사업은 시큐레이어의 AI 데이터 분석 기술과 SK쉴더스의 보안 관제·운영 경험을 결합해 공급망 보안 모델을 구축한다는 데 의미가 있다”며 “향후 공공·민간 분야로 적용 범위를 넓히고 AIBOM과 XBOM으로 관리 영역을 확대해 나갈 계획”이라고 말했다.