전국 지자체 정보화 담당자 대상… N2SF·ISMS-P 규제 대응 CTEM 체계 소개
3D 보안 디지털 트윈으로 자산·취약점 현황 실시간 가시화… SBOM 구성요소까지 자산 관리
위드네트웍스(대표 안종업)는 지난 10일 제주썬호텔에서 열린 '2026 지자체 차세대 정보화 전략 IT 전시회'에서 국가망 보안체계(N2SF)와 ISMS·ISMS-P 인증 개편 대응 방안으로 지속적 위협 노출 관리(CTEM) 기반 자산·취약점 통합 관리 플랫폼 'withVTM'을 제시했다고 11일 밝혔다.
한국인터넷진흥협회(KISPA) 주최로 열린 이번 전시회에 전국 지자체 정보화 담당 공무원 300여 명이 참석했다.
위드네트웍스가 이들을 상대로 내건 화두는 규제 대응이다. 지난해 9월 시행된 N2SF가 자산을 C·S·O 세 등급으로 나눠 등급별 통제를 요구한 데 이어, 지난해 10월 범부처 정보보호 종합대책은 정보기술(IT) 자산 전수조사와 목록화를 명시했다. 내년 시행을 앞둔 ISMS·ISMS-P 개편안 역시 인증 범위를 외부 접점 자산까지 넓히고 취득부터 갱신까지의 상시 점검을 요건으로 뒀다. 요구 항목은 제각각이지만, 자산 인벤토리에서 출발해 상시 점검을 거쳐 증적으로 수렴한다는 점에서는 다르지 않다.
withVTM은 이 구조를 식별·분석·판단·조치·검증·증적 여섯 단계의 상시 운영 흐름으로 구현했다. 출발점은 자산 인벤토리다. 자체 스캐너 3종에 기존 스캐너와 CMDB·ITSM을 연동해 미식별 IP와 오픈 포트, 섀도우 IT·API를 하나로 통합하고, 외부 연결이 차단된 망분리 환경에서도 자산을 전수 식별한다. 이렇게 확보한 인벤토리를 기준으로 자산별 C·S·O 등급까지 산출해 N2SF 등급 관리로 연결한다.
이 흐름을 화면으로 드러내는 것이 3D 보안 디지털 트윈이다. 실제 자산과 네트워크 구성을 가상 공간에 그대로 재현해, 담당자는 어느 자산에 어떤 취약점이 있고 그 자산이 무엇과 연결돼 있는지를 한 화면에서 확인한다. 점검 때마다 새로 만드는 정적 목록과 달리 이 환경은 상시 동기화되기 때문에, 인벤토리에 없던 섀도우 IT나 새로 공개된 취약점도 확인되는 즉시 화면에 반영된다. 표시 단위 역시 서버와 IP에 그치지 않고 서비스와 API, 컨테이너, SBOM 구성요소까지 확장된다.
withVTM은 관리 범위를 SBOM(소프트웨어 구성 목록)까지 넓혔다. CycloneDX·SPDX 국제 표준으로 SBOM을 수집해 패키지와 라이브러리, 의존성을 각각 자산으로 등록하고 해시와 서명으로 무결성을 검증한다. 지난 3월 axios와 LiteLLM 공급망 침해처럼 악성 코드가 노출된 시간이 수십 분에 그쳐도 배포 파이프라인을 타고 확산되는 만큼, 신규 취약점이 공개되면 해당 패키지를 쓰는 자산과 담당 조직을 곧바로 특정할 수 있어야 한다는 것이다.
위험도는 CVSS 단일 점수 대신 AI가 산출하는 실제 위험 점수(VRS)로 판정한다. 실제 공격이 단일 취약점이 아니라 위협 조합에서 나온다고 봤기 때문이다. 외부에 노출된 API와 불필요하게 열린 포트, SBOM 내 취약 라이브러리, 기본 계정과 과도한 권한, 민감 데이터 접근 경로가 한 자산에서 겹치면 개별 점수가 낮아도 악용 가능성은 크게 올라간다. 그래서 자산 중요도와 외부 노출, EPSS·CISA KEV 등 악용 신호에 설정 결함과 권한 상태까지 자산 단위로 결합해 0에서 10 사이로 매긴다. 취약점 단위로 계산하는 CVSS로는 이런 조합이 드러나지 않는다.
점검과 조치 이력은 그대로 쌓여 정보보호 실태평가와 국가정보원 보안 감사 대응 자료가 된다는 게 위드네트웍스 설명이다. 위드네트웍스는 이렇게 정규화한 자산·취약점·노출·위협 데이터가 'AI 디펜스 기초 데이터셋'이 된다고 했다.
withREX는 위협 노출 진단 서비스다. 에이전트를 설치하지 않아 운영 중단 없이 전사 공격 표면을 단기간에 점검하며, 자산 목록에서 누락된 자산과 외부에 개방된 API를 식별하고 노출 수준을 등급화한다.
withVTM과 withREX는 조달청 디지털서비스몰에 등록돼 있으며, 위드네트웍스는 서울 본사와 대전·대구·호남·부산 지사를 통해 지역 공공 고객을 지원하고 있다.
안종업 위드네트웍스 대표는 “세 제도가 공통으로 요구하는 것은 보유 자산을 빠짐없이 목록에 올리고 상태를 상시로 확인하라는 것”이라며 “목록에 없던 자산과 그 위의 서비스·API·SBOM 구성요소까지 찾아내 조치 순서를 화면 하나로 보여주는 것이 withVTM의 역할”이라고 말했다.
이어“서울 본사와 4개 지사를 통해 지자체 현장에 맞춘 도입 지원을 이어가겠다”고 강조했다.
-
이경민 기자 kmlee@etnews.com
