SBOM 4장 카드뉴스

보안·윤리 분야에서 쓰이는 Software Bill of Materials(소프트웨어 자재명세서)의 약자로, 소프트웨어에 들어간 구성 요소와 그 의존 관계를 형식을 갖춰 적어 둔 목록입니다. 미국 행정명령 14028은 소프트웨어를 만드는 데 쓰인 여러 구성 요소의 상세 정보와 공급망 관계를 담은 공식 기록으로 정의합니다. 취약점이 공개됐을 때 우리 시스템에 그 부품이 들어 있는지 몇 분 안에 확인하려고 씁니다. SPDX와 CycloneDX가 대표 표준 형식입니다.

SBOM은 Software Bill of Materials, 소프트웨어 자재명세서입니다. 과자 봉지 뒷면의 원재료표를 떠올리면 됩니다. 땅콩 알레르기가 있으면 원재료표를 보고 바로 피할 수 있듯, 특정 오픈소스에 취약점이 터졌을 때 SBOM이 있으면 우리 제품에 그 부품이 들었는지 목록에서 찾으면 돼요.

케이스 1: 과학기술정보통신부·KISA — SBOM 기반 공급망 보안 관리체계 구축 지원사업 과기정통부와 KISA는 2025년 국내 8개 기업을 대상으로 SBOM 기반 공급망 보안 지원사업을 진행했습니다. 참여 기업의 소프트웨어에서 오픈소스 구성 요소를 추출해 취약점을 분석하고 5대 공급망 보안 모델을 도출했습니다. 결과는 2026년 4월 사례집으로 공개됐습니다. 도입효과: 분석한 오픈소스