저전력 무선 연결 솔루션 분야의 글로벌 리더 노르딕 세미컨덕터(Nordic Semiconductor)가 자사 클라우드 플랫폼인 nRF 클라우드(nRF Cloud)에 펌웨어 취약점 스캔(Firmware Vulnerability Scanning) 기능을 추가한다고 7일 밝혔다. 이번 기능 추가는 EU 사이버 복원력법(Cyber Resilience Act, CRA) 대응 역량 강화를 목적으로 하며, 커넥티드 기기 제조업체들이 자체 CVE 식별 시스템을 별도로 구축하지 않고도 규정 준수 요건을 충족할 수 있도록 지원한다.
개발자들은 소프트웨어 구성요소 목록(Software Bill of Materials, SBOM)을 nRF 클라우드에 업로드하면 펌웨어 취약점 스캔 기능이 SBOM에 포함된 공통 취약점 및 노출(Common Vulnerabilities and Exposures, CVE)을 자동으로 식별한다. 이와 함께 nRF 클라우드와 연결된 운영 중 기기 전체를 대상으로 각 취약점에 얼마나 노출되어 있는지를 분석할 수 있어, 보안 위협의 실질적인 영향 범위를 정확히 파악할 수 있다. 각 소프트웨어 버전의 SBOM을 업로드하면 이후 지속적인 자동 스캔이 이루어지는 구조로, 신규 CVE가 등록될 때마다 실시간으로 대응할 수 있다.
EU 사이버 복원력법은 커넥티드 기기의 전체 수명주기에 걸쳐 보안 유지를 법적으로 의무화한 규정이다. 기기 수명주기가 수년에 달하는 IoT 환경의 특성상, 제품 출시 이후에도 취약점 모니터링과 보안 패치 배포라는 지속적인 준수 의무가 발생한다. 노르딕은 이번 기능을 기존 nRF 클라우드의 FOTA(Firmware Over-the-Air) 서비스와 연동시켜, 현장에 구축된 기기에 보안 패치를 대규모로 원격 배포할 수 있는 구조를 완성했다. 취약점 식별부터 보안 패치 배포, 조치 완료 확인까지 전 과정이 완벽한 감사 추적(Audit Trail) 기능을 갖춘 단일 시스템에서 처리된다.
이로써 기기 제조업체들은 취약점 모니터링과 보안 업데이트 제공이라는 사이버 복원력법의 핵심 요건을 별도 인프라 없이 nRF 클라우드 하나로 충족할 수 있게 됐다. 노출 데이터를 기반으로 보안 조치 우선순위를 합리적으로 결정하고, 패치 배포 과정에서 취약점 해소 현황을 실시간으로 추적할 수 있어 제한된 리소스로도 규정 준수 의무를 효율적으로 이행할 수 있다. 노르딕은 이번 신기능을 통해 개발자들이 규정 대응 부담에서 벗어나 혁신적인 제품 개발에 더욱 집중할 수 있는 환경을 마련하겠다는 방침이다.
헬로티 김재황 기자 |
