[디지털데일리 이종현기자] 미국을 중심으로 새로운 보안 방법론, ‘아무 것도 믿지 말라’는 의미의 제로 트러스트(Zero Trust)가 산업계의 표준이 되는 추세다. 인증 기술과 함께 소프트웨어의 구성요소 분석(SCA) 솔루션, 또 이를 바탕으로 한 소프트웨어 자재명세서(SBOM) 등이 함께 주목받고 있는 가운데 국내 기업이 미국 수술용 로봇 기업에 SBOM을 수출하는 쾌거를 이뤘다.

26일 국산 SCA 솔루션 개발사 래브라도랩스(구 아이오티큐브)는 국내 최초로 해외 시장에 SBOM을 생성하는 솔루션을 공급하는 계약을 체결했다고 밝혔다. 도입 기업은 수술용 로봇 기업인 인튜이티브 서지컬(Intuitive Surgical)이다.

인튜이티브 서지컬은 1995년 설립돼 1999년 미국 식품의약국(FDA)가 일반 복강경 수술 용도로 승인한 최초의 로봇 보조 수술 시스템 ‘다빈치 수술 시스템’을 출시한 기업이다.

미국은 조 바이든 대통령의 행정명령(EO) 14028에 따라 연방기관에 SW 제품을 납품할 경우 SBOM을 제출하는 것이 의무화됐다. FDA도 신규 의료기기에 대한 사이버보안 규정을 강화하면서 SBOM을 제공하는 자동화 도구의 사용이 요구되고 있고, 이에 인튜이티브 서지컬은 수차례의 개념검증(PoC) 등을 거쳐 래브라도랩스의 ‘래브라도 솔루션’을 채택했다.

김진석 대표와 함께 래브라도랩스 대표직을 역임하고 있는 이희조 고려대학교 정보대학 컴퓨터학과 교수는 “인튜이티브 서지컬과는 굉장히 오랜 기간 논의를 이어왔다. 2021년 연말부터 시작해 18개월 넘게 걸렸는데, 지난 주에 프리마켓의 개발단계에 쓰도록 설치가 완료됐다”고 말했다.

래브라도랩스의 이번 발표는 국내 사이버보안 기업 중 해외에서 성과를 내는 곳이 거의 없는 상황에서 나온 결과라 파급력이 클 것으로 전망된다. 이와 같은 해외 레퍼런스가 급성장이 예고된 국내 SBOM 시장에서도 유의미하게 작용할 수 있다는 관측이다. 래브라도랩스는 이미 국방부, 국가보안기술연구소, KT 및 국내 대표 금융기관 등에게 솔루션을 납품한 상태다.

래브라도랩스는 최근 SW 공급망에 대한 공격이 증가함에 따라 SBOM의 필요성이 크게 증가하고 있다고 강조했다. 실제 정부는 제로 트러스트 및 공급망 보안을 역점 과제로 지정, 한국형 제로 트러스트 마련을 위한 논의를 이어가고 있다. 머지 않은 시기에 국내에서도 SBOM 도입이 의무화될 것으로 예상된다.

SBOM 생성을 위해서는 정확한 SW 컴포넌트 분석이 중요하다. 래브라도랩스는 자사 솔루션의 경우 사용자 SW 내 오픈소스 SW를 분석해 정확한 SBOM을 생성해 문제를 해결할 수 있다고 밝혔다. 이와 함께 높은 취약점 탐지 정확도와 코드레벨 수정이 가능한 편리한 백포팅 패치 방법 제공 등도 강점으로 내세운다.

특히 3-레이어(Layer) 미세 분석 기술을 최대 강점이라고 전했다. 국내·미국에서 승인받은 핵심 특허 기술인 ‘CENTRIS’와 ‘VUDDY’ 알고리즘을 바탕으로 오탐이 많은 국내·외 타사 솔루션 대비 월등히 높은 SW 컴포넌트 탐지 정확도를 제공한다고 부연했다.

김진석 래브라도랩스 대표는 “이번 인튜이티브 서지컬과의 계약을 통해 래브라도랩스는 해외 솔루션들과의 경쟁에서 국내 최초로 글로벌 시장에 SBOM 솔루션을 수출한 기업이 됐다”며 “이번 계약을 계기로 글로벌 제조업 고객사 기반을 확보해 SBOM 시장을 선도하는 기업으로 도약할 것”이라고 피력했다.

한편 래브라도랩스는 2018년 고려대학교 SW 보안연구소(CSSA)에서 분사한 기업이다. 설립 이후 보안 취약점 및 라이선스 리스크를 탐지하고 쉽게 패치할 수 있는 SW 안전관리 플랫폼을 제공해왔다. 2021년 전 세계를 떠들썩하게 만든 log4j 사태 당시에는 log4j 취약점 점검 서비스(스캐너) ‘래브라도 OSS’를 무료로 배포한 바 있다.

2022년12월 금융감독원에서 발표한 ‘금융분야 오픈소스 활용･관리 안내서’의 오픈소스 SW 관리 절차별 점검 체크리스트에 부합하는 관리체계 수립도 지원한다. SBOM 툴 도입을 검토 중인 국내 금융권 기업 다수가 래브라도랩스의 솔루션에 관심을 보이는 중이다.