SBOM 기반 취약점 자동 식별 및 운영 기기 노출 현황 분석...FOTA 연계로 보안 패치 배포부터 감사 추적까지 통합 지원
노르딕 세미컨덕터가 nRF 클라우드(nRF Cloud)에 펌웨어 취약점 스캔(Firmware Vulnerability Scanning) 기능을 추가하고, 기기 제조업체의 EU 사이버 복원력법(CRA) 대응 지원을 강화한다고 밝혔다.
업체 측에 따르면, 새롭게 추가된 기능은 개발자가 소프트웨어 구성요소 목록(SBOM)을 nRF 클라우드에 업로드하면 공통 취약점 및 노출(CVE)을 자동으로 식별하고, 실제 운영 중인 연결 기기 가운데 해당 취약점에 노출된 기기를 분석할 수 있도록 지원한다.
노르딕은 이를 통해 제조업체가 자체 취약점 관리 시스템을 구축하지 않고도 사이버 복원력법이 요구하는 취약점 모니터링 요건을 보다 효율적으로 충족할 수 있을 것으로 기대했다는 설명이다.
특히 이번 기능은 nRF 클라우드의 FOTA(Firmware Over-the-Air) 서비스와 연동돼 보안 패치를 대규모 기기에 원격 배포할 수 있으며, 패치 적용 현황과 취약점 해결 여부를 지속적으로 확인할 수 있다고 업체 측은 전했다.
EU 사이버 복원력법은 커넥티드 기기의 전체 수명주기에 걸쳐 보안 유지와 취약점 관리 체계를 요구한다. 이에 따라 제품 출시 이후에도 지속적인 취약점 모니터링과 보안 업데이트 제공이 필수적인 요소로 자리 잡고 있다는 것이다.
노르딕은 개발자가 nRF 클라우드의 취약점 탐지 기능과 FOTA 서비스를 활용하면 제품 개발에 집중하면서도 출시 이후의 보안 유지와 규정 준수를 지속적으로 수행할 수 있어 제품 출시 기간 단축에도 도움이 될 것이라고 밝혔다.
또한 개발자는 각 소프트웨어 버전의 SBOM을 등록하면 시스템이 지속적으로 취약점을 스캔하며, 실제 운영 중인 기기 가운데 영향을 받는 기기의 규모를 확인할 수 있다. 이를 기반으로 보안 조치의 우선순위를 결정하고 패치 진행 상황도 실시간으로 모니터링할 수 있다.
이번 기능은 취약점 식별부터 보안 패치 배포, 적용 결과 확인까지 전 과정을 하나의 플랫폼에서 수행할 수 있도록 지원하며, 감사 추적(Audit Trail) 기능도 제공한다.
노르딕은 이를 통해 기기 제조업체가 사이버 복원력법의 핵심 요구사항인 지속적인 취약점 관리와 보안 업데이트 의무를 보다 효율적으로 수행할 수 있을 것으로 기대했다.
펌웨어 취약점 스캔 기능은 향후 수주 내 제공될 예정이며, 개발자는 전용 웨비나를 통해 기능과 출시 일정을 확인할 수 있다. nRF 클라우드는 현재 이용 가능하며 무료 개발자 계정으로 주요 기능을 사용할 수 있다.
<저작권자(c)스마트앤컴퍼니. 무단전재-재배포금지>
