핵심 소프트웨어 정의: 바이든 사이버보안 행정명령 해설

NIST의 '핵심 소프트웨어' 정의 업데이트와 논란

바이든 대통령 지시에 따라 미국 국립표준기술연구소(NIST)가 공급망에서 흔히 발견되는 '핵심(Critical)' 소프트웨어 구성요소의 정의를 업데이트했습니다. 하지만 한 사이버보안 전문가에 따르면, 그 언어에는 궁금한 누락이 있습니다.

행정부의 핵심 공급망 검토·보안 행정명령 초기 이행 단계에 포함될 사이버보안 기술 측면을 제안하면서, NIST는 임베디드 소프트웨어와 펌웨어 구성요소를 제외했습니다. Finite State의 일반고문 에릭 그린왈드(Eric Greenwald)는 이렇게 지적합니다.

그러한 구성요소가 IT 시스템 보안에 '핵심'적임을 인정하면서도, NIST는 그것들이 초기 이행 단계에 포함하기엔 본질적으로 너무 복잡하다고 제안합니다.

NIST는 사이버보안·인프라보안국(CISA), 예산관리국, 국가정보국장실, 국가안보국(NSA) 등 다수 기관의 입력과 협의해 정의를 조율했다고 밝혔습니다. 국토안보부 산하 CISA는 NIST의 결과를 토대로 1단계 검토 범위에 속하는 소프트웨어 카테고리 자체 목록을 만들 것입니다.

NIST가 임베디드 소프트웨어와 펌웨어(장치 하드웨어의 기본 저수준 제어)가 즉시 다루기엔 너무 복잡하다고 주장하는 내용은 '자주 묻는 질문(FAQ)' 답변에 담겨 있습니다. 하지만 그린왈드는 이 짤막한 설명에 의문을 표합니다.

"그들이 무슨 뜻인지 모르겠다"며, NIST 정의가 클라우드 기반이 아닌 디바이스에 있다는 이유만으로 방화벽 같은 진정한 핵심 요소를 제외하는 효과를 낼 수 있다고 주장합니다.

그린왈드는 NIST가 칩셋에 임베디드된 소프트웨어를 초기 포함 대상에서 빼고 싶을 수 있음을 인정합니다. "하지만 운영체제나 애플리케이션 레이어 소프트웨어를 이야기할 때, 그것을 카테고리로 제외하는 건 내게 말이 안 된다. 디바이스 소프트웨어와 펌웨어 사이에 의미 있는 구분을 어떻게 내릴 수 있는지 이해하기 어렵다."

"복잡성(Complexity)"은 그 구분의 정당화가 될 수 없다고 그는 말합니다. "더 복잡할수록 더 높은 보안 기준을 적용하는 게 더 중요하다고 주장하겠다."

NIST가 임베디드 소프트웨어와 펌웨어에서 선을 그은 가능한 동기는 행정명령 초기 이행 단계에서 '감당할 수 있는 이상을 베어 물지 않으려(not to bite off more than they can chew)'는 욕구일 수 있다고 그린왈드는 인정합니다. 핵심 소프트웨어 정의를 과도하게 확장하면 민간 기술 기업의 연방 조달 참여를 저해할 위험이 있습니다. 그래도 그는 그게 초기 조치가 필요한 소프트웨어 클래스를 제외할 정당한 이유가 아니라고 말합니다.

이 구분이 일부에게는 학문적으로 보일 수 있지만, 어떤 기술 제공업체가 정부와 민간 부문 모두에 핵심 보안 시스템을 공급할 신뢰를 받을 수 있는지의 핵심으로 갑니다. 국방부(DoD)는 최근 자체 조달 기준을 강화해 사이버보안 성숙도 모델 인증(CMMC)을 발표했습니다. CMMC는 적격 계약자가 서드파티 인증을 받아야 국방부에 소프트웨어를 판매할 수 있도록 규정합니다.

그린왈드는 수만 명의 계약자를 엄격한 컴플라이언스 이니셔티브로 즉각 포섭하는 체제가 수립될 가능성을 봅니다. "누가 정확히 이 대상이 되어야 하는지에 대한 의문들이 있다. 명확성 부족이 악마이다."

하지만 명확성 부족은 NIST가 임베디드 소프트웨어와 펌웨어를 바이든의 신설 공급망 혼란 태스크포스가 즉시 주목해야 할 핵심 요소로 간주하지 않는 것에 대한 그린왈드의 우려이기도 합니다. 그는 기관이 곧 의도를 명확히 하거나, CISA가 논쟁 중인 카테고리를 적용 소프트웨어 확정 목록에 포함하길 바랍니다.

여전히 두 기관이 행정명령 1단계에서 해당 구성요소를 계속 배제한다면, "2단계에는 포함될 것이라 꽤 확신한다"고 그린왈드는 말합니다. 그들을 완전히 배제하면 어떤 사이버 위협으로부터도 시스템을 보호하려는 노력을 심각하게 위태롭게 할 것입니다.