자율 시스템, 오래된 OpenSSL 취약점 발견

핵심 요약

OpenSSL에서 수년 동안 존재했던 12가지 취약점이 최근 업데이트를 통해 수정되었습니다. 이러한 취약점은 TLS/SSL 통신을 사용하는 다양한 시스템에 영향을 미칠 수 있으며, 오랜 기간 미발견 상태로 존재했다는 것은 소프트웨어 공급망 보안 및 취약점 관리 프로세스의 미흡함을 시사합니다. 이는 OWASP Top 10의 'A06:2021 – 취약하고 오래된 구성요소'와 관련이 깊습니다. IT 감사인은 조직 내 OpenSSL 사용 현황을 파악하고, 최신 보안 패치 적용 여부 및 취약점 관리 절차의 실효성을 중점적으로 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직 내 모든 시스템 및 애플리케이션에서 사용 중인 OpenSSL 라이브러리의 버전을 즉시 파악하고, 최신 보안 패치가 적용된 버전으로 업데이트할 것을 권고함.
• ✔기술적 조치소프트웨어 구성 분석(SCA) 도구를 도입하여 오픈소스 컴포넌트의 취약점을 지속적으로 모니터링하고, SBOM(Software Bill of Materials)을 구축하여 소프트웨어 공급망 보안을 강화할 것을 권고함.
• ✔관리적 조치취약점 관리 정책 및 절차를 재검토하고, 오픈소스 라이브러리를 포함한 모든 소프트웨어 컴포넌트에 대한 정기적인 취약점 스캔 및 패치 적용 주기를 명확히 정의하며, 이에 대한 이행 여부를 주기적으로 점검할 것을 권고함.
• ✔관리적 조치개발 및 운영 단계에서 사용되는 모든 오픈소스 라이브러리에 대한 보안 검토 프로세스를 강화하고, 알려진 취약점 데이터베이스(CVE)를 활용하여 잠재적 위험을 사전에 식별하고 조치하는 체계를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문