유럽 진출 위해 꼭 알아야 할 사이버 보안법 ‘EU CRA’ 톺아보기

핵심 요약

유럽연합(EU)이 디지털 제품의 사이버보안 강화를 위한 사이버복원력법(CRA)을 시행하며, 이는 EU 시장에 진출하는 국내 기업들에게 새로운 보안 의무를 부과합니다. CRA는 미라이 봇넷과 같은 과거 대규모 사이버 공격 사례를 교훈 삼아, 디지털 제품의 설계 단계부터 보안을 내재화하고 기본 패스워드 사용 금지 등 강력한 보안 요구사항을 명시합니다. 이는 제품의 전 생애주기 동안 보안 취약점을 관리하고, 공급망 보안을 강화하며, 사고 발생 시 신속한 보고를 의무화하는 것을 목표로 합니다. IT 감사인 및 CISO는 EU 시장 진출 계획이 있는 조직의 경우, 제품 개발 및 운영 프로세스가 CRA의 보안 요구사항을 충족하는지 사전에 점검하고, 관련 법규 준수 체계를 구축해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치디지털 제품에 기본 패스워드 사용을 금지하고, 다단계 인증(MFA) 등 강력한 인증 메커니즘을 적용하며, 사용자 계정 관리 및 접근 통제 정책을 강화할 것을 권고함.
• ✔기술적 조치제품에 사용되는 모든 소프트웨어 컴포넌트(오픈소스 포함)에 대한 SBOM(Software Bill of Materials)을 구축하고, 알려진 취약점(CVE)을 지속적으로 모니터링하며, 최신 보안 패치를 신속하게 적용하는 취약점 관리 체계를 수립 및 적용해야 함을 권고함.
• ✔관리적 조치EU 시장에 디지털 제품을 출시하는 모든 조직은 EU CRA의 세부 요구사항을 면밀히 분석하고, 이를 준수하기 위한 전사적 보안 정책 및 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치제품 개발 생애주기(SDLC) 전반에 걸쳐 보안을 내재화하는 '보안 내재화(Security by Design)' 원칙을 적용하고, 개발 초기 단계부터 보안 요구사항을 정의하며, 각 단계별 보안 활동을 의무화할 것을 권고함.
• ✔관리적 조치제품 공급망 내 서드파티 벤더 및 오픈소스 라이브러리에 대한 보안 위험 평가를 정기적으로 수행하고, 계약서에 CRA 준수 의무를 명시하는 등 공급망 보안 관리 체계를 강화할 것을 권고함.
• ✔관리적 조치제품 출시 전 독립적인 보안 취약점 점검(모의해킹, 코드 분석 등)을 의무화하고, 발견된 취약점에 대한 개선 조치 및 재점검을 통해 제품의 보안 완성도를 확보할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문