- 제조사 대상 PSIRT-as-a-Service…사내 보고체계 구축부터 보고 시한 관리, 증거 기록까지 제품 보안사고 대응 전과정을 원스톱 지원
- CRA 제14조 취약점·사고 보고 의무, 9월 11일 시행 앞두고 대응 체계 미비한 국내 제조사 지원
- 위반 시 최대 1,500만 유로 또는 전 세계 연매출 2.5% 과징금 부과 가능
사이버보안 전문 자문사 에이스랩스(ACE LABS)는 유럽연합(EU) 사이버복원력법(Cyber Resilience Act·CRA) 시행에 대응해 제조사의 취약점·보안사고 보고 의무 이행을 지원하는 서비스형 제품보안사고대응(PSIRT-as-a-Service) 플랫폼 'CRAdle(크래들)'을 출시했다고 24일 밝혔다.
CRAdle은 CRA 제14조에서 요구하는 취약점 및 보안사고 보고 체계 구축부터 보고 일정 관리, 증적 관리, 제출 준비까지 전 과정을 지원한다. 제조사가 규정된 기한 내 보고를 완료할 수 있도록 업무 절차를 체계화하고 대응 과정을 관리할 수 있도록 설계됐다.
CRA 제14조에 따른 보고 의무는 오는 9월 11일부터 적용된다. EU 시장에 디지털 요소를 포함한 제품을 공급하는 제조사는 악용되고 있는 취약점이나 중대한 보안사고를 인지한 후 24시간 이내 조기 경보, 72시간 이내 상세 통지, 이후 최종 보고서를 제출해야 한다.
모든 보고는 유럽사이버보안청(ENISA)이 운영하는 단일 보고 플랫폼(Single Reporting Platform·SRP)을 통해 영어로 제출해야 한다. 관련 의무를 위반할 경우 최대 1500만유로 또는 직전 회계연도 전 세계 연매출의 2.5% 중 더 큰 금액까지 과징금이 부과될 수 있다.
에이스랩스는 국내 제조사를 대상으로 CRA 대응 컨설팅을 수행하면서 △보고 프로세스 부재 △담당자의 경험 부족 △제한된 대응 시간 등의 공통적인 어려움을 확인하고 이를 반영해 CRAdle을 개발했다. CRAdle은 규제 명칭인 'CRA'와 요람을 뜻하는 'Cradle'을 결합한 이름이다.
CRAdle의 주요 기능은 사내 보고체계 수립, 사고·취약점 검토, 증거 기록 관리 등이다.
먼저 기업 조직에 맞춰 역할과 책임(R&R)을 배정하고 규제 대응에 필요한 내부 보고 절차를 구축할 수 있도록 지원한다. 전용 보고절차서를 생성해 수립된 절차가 실제 사고 발생 시 작동할 수 있도록 시스템화한다.
사고나 취약점 발생 시 해당 사안이 CRA상 보고 대상인지 판단하는 과정도 지원한다. 몇 가지 질문을 통해 해당 사안이 사고(Incident)인지 취약점(Vulnerability)인지, 규제상 신고 대상에 해당하는지를 검토해 담당자가 초기 대응 방향을 설정할 수 있도록 돕는다.
사고 대응 과정은 감사 가능한 기록으로 축적한다. 누가 언제 어떤 업무를 수행했는지 기록해 향후 규제기관 점검이나 감사 과정에서 정해진 절차에 따라 대응했다는 점을 입증할 수 있도록 했다.
국내 제조사의 업무 환경을 고려해 한국어 기반 사용자 환경과 국내 기업의 의사결정 절차를 반영한 것도 특징이다. 취약점이나 사고 정보가 외부에 불필요하게 노출되지 않도록 고객이 허용한 범위에서만 데이터를 처리하는 보안 구조도 적용했다.
노민석 에이스랩스 대표는 LG전자에서 20년간 소프트웨어 개발 분야에서 근무한 뒤 글로벌 시험·인증기관 티유브이슈드(TUV SUD)에서 사이버보안 팀장과 상무를 역임했다. 국제 사이버보안 규제와 인증 분야에서 쌓은 경험을 바탕으로 현재 국내 제조사의 제품보안 규제 대응을 지원하고 있다.
노 대표는 “CRA 보고 의무는 제조사에 낯설고 무거운 과제지만 처음부터 완벽하게 준비된 회사는 없다”며 “국내 제조업체를 컨설팅하며 반복적으로 마주한 문제와 해결 방식을 기업들이 활용할 수 있는 체계와 시스템으로 전환하기 위해 CRAdle을 개발했다”고 말했다.
이어 “국내 제조기업들이 규제 대응 체계 수립부터 첫 보고까지 전 과정에서 시행착오를 줄이고 기한 내 보고를 완료할 수 있도록 지원하는 것이 목표”라고 덧붙였다.
에이스랩스는 인증기관이 아닌 독립 자문사로 제조사의 규제 준비와 대응을 지원한다. CRA 보고 의무의 법적 주체와 ENISA에 대한 최종 제출 주체는 제조사이며, CRAdle은 최종 제출에 필요한 준비 과정과 제출 절차를 지원한다.
향후에는 CRA 보고 대응을 시작으로 취약점 상시 모니터링과 SBOM(Software Bill of Materials)·VEX(Vulnerability Exploitability eXchange) 관리, 표준 개정 대응 등으로 서비스 영역을 확대할 계획이다. EU CRA는 2027년 12월 11일 전면 시행된다.
임민지 기자 minzi56@etnews.com
