“CRA 대응, 제품 납품 넘어 보안 전주기 관리로 전환해야”

핵심 요약

EU 사이버 복원력 법안(CRA)이 유럽 시장에 제품을 수출하는 국내 제조기업에 새로운 보안 과제로 부상하고 있습니다. CRA는 제품의 기능과 성능을 넘어 설계 단계부터 보안 내재화, 취약점 관리, 패치 업데이트, 사고 보고, 공급망 문서화 등 제품의 전 생애주기에 걸친 사이버보안 관리를 의무화합니다. 이는 기존의 제품 중심 사고방식에서 벗어나 보안을 핵심 요소로 통합해야 함을 의미합니다. IT 감사인과 CISO는 자사 또는 공급망 내에서 개발·운영되는 모든 IT 제품 및 서비스에 대해 설계 단계부터 폐기까지 보안 통제가 적절히 적용되고 있는지, 그리고 관련 법규 및 국제 표준을 준수하고 있는지 전반적인 프로세스 및 거버넌스 체계를 점검해야 하는 시사점을 얻습니다.

💡 개선 권고안

• ✔기술적 조치출시된 제품 및 서비스에 대한 정기적인 취약점 점검, 모의 해킹을 포함한 보안성 테스트를 수행하고, 발견된 취약점에 대한 패치 업데이트 및 개선 조치 프로세스를 강화할 것을 권고함.
• ✔관리적 조치제품 개발 생애주기(SDLC) 전반에 걸쳐 보안 요구사항을 명확히 정의하고, 설계 단계부터 보안을 내재화하는 '보안 바이 디자인(Security by Design)' 원칙을 수립 및 시행할 것을 권고함.
• ✔관리적 조치제품 관련 보안 사고 발생 시, 신속한 탐지, 분석, 대응 및 보고를 위한 침해사고 대응 계획(CSIRT)을 수립하고, 관련 법규 및 국제 규제 요구사항에 맞춰 사고 보고 체계를 강화할 것을 권고함.
• ✔관리적 조치ICT 공급망 내 서드파티 제품 및 서비스에 대한 보안 위험 평가 및 관리를 의무화하고, 소프트웨어 자재 명세서(SBOM) 등 공급망 보안 관련 문서화를 체계적으로 유지 관리할 것을 권고함.
• ✔관리적 조치EU CRA 등 국제 사이버보안 규제 동향을 지속적으로 모니터링하고, 자사 제품 및 서비스가 해당 규제를 준수할 수 있도록 선제적인 대응 전략을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문