공공 시스템 오픈소스 3만7000개…취약점 패치까지 평균 87일

정부와 공공기관이 운영하는 정보시스템에 쓰인 오픈소스 구성요소가 3만7200여 개로 집계됐다. 보안 취약점이 공개된 뒤 실제 패치가 적용되기까지는 평균 87일이 걸렸다. 정부는 공공 소프트웨어 사업 계약 단계에서 '소프트웨어 자재명세서(SBOM)' 제출을 의무화하는 방안을 추진하기로 했다.

조사 대상은 중앙부처·공공기관이 운영 중인 정보시스템 1240개다. 시스템 한 곳당 평균 30개의 오픈소스 구성요소가 쓰였고, 이 중 22.4%는 개발사가 보안 업데이트를 중단한 지원 종료(EOL) 버전이었다. 오픈소스 취약점을 악용한 국내 침해사고 신고는 지난해 412건으로 전년(217건)의 1.9배로 늘었다. 이 가운데 63건은 이미 패치가 배포된 지 6개월이 넘은 취약점이 원인이었다.

의무화 방안에 따르면 신규 구축·고도화 사업은 계약 체결 시 구성요소 목록과 버전, 라이선스, 알려진 취약점 현황을 담은 명세서를 함께 내야 한다. 2027년부터는 이미 운영 중인 시스템으로 대상을 넓히고, 유지보수 계약 갱신 때마다 갱신본을 제출하도록 할 방침이다. 명세서를 내지 않거나 허위로 작성하면 사업자 평가에서 감점된다.

보안업계에서는 실효성을 높이려면 목록 제출 이후가 중요하다는 지적이 나온다. 한 정보보호 업계 관계자는 "명세서는 재료 목록일 뿐이고, 취약점이 뜨면 어느 시스템이 영향을 받는지 자동으로 대조해 주는 체계가 없으면 서류만 쌓인다"고 말했다. 중소 개발사의 부담을 우려하는 목소리도 있다. 공공기관 정보화 담당자는 "명세서 자동 생성 도구를 갖춘 곳은 대형 사업자 위주"라며 "소규모 업체가 수작업으로 목록을 만들면 정확도가 떨어질 수밖에 없다"고 했다.

정부는 하반기 40개 기관을 대상으로 시범사업을 벌인 뒤 결과를 반영해 관련 고시를 개정할 계획이다. 중소기업에는 명세서 생성 도구를 무상 지원하고, 취약점 정보를 시스템별로 매칭해 통보하는 공용 플랫폼도 내년 상반기 가동을 목표로 구축하기로 했다.