노르딕, nRF 펌웨어 취약점 스캔 기능으로 EU 보안법 대응

EU 사이버 보안 규제 비상, 스마트 기기 제조사 지원 강화

저전력 무선 연결 솔루션 분야의 글로벌 리더인 노르딕 세미컨덕터가 사물인터넷 기기 제조사들의 보안 관리 부담을 획기적으로 줄여줄 새로운 기술을 선보인다. 노르딕 세미컨덕터는 자사의 사물인터넷 관리 플랫폼인 nRF 클라우드(nRF Cloud)에 펌웨어 취약점 스캔(Firmware Vulnerability Scanning) 기능을 새로 추가한다. 이번 기능 강화는 유예기간을 거쳐 본격 시행을 앞둔 유럽연합(EU)의 사이버 복원력법(CRA; Cyber Resilience Act)에 전 세계 제조사들이 효과적으로 대응할 수 있도록 돕기 위해 마련됐다.

SBOM 업로드로 보안 취약점 자동 탐지

새로운 시스템의 작동 방식은 매우 간결하다. 개발자가 제품에 포함된 소프트웨어 구성요소 목록(SBOM; Software Bill of Materials)을 nRF 클라우드 시스템에 업로드하면 플랫폼 내에서 자동 분석 프로세스가 작동한다. nRF 클라우드는 업로드된 소프트웨어 목록을 분석하여 전 세계적으로 보고된 공통 취약점 및 노출(CVE; Common Vulnerabilities and Exposures) 데이터베이스와 실시간으로 대조한다. 이 과정을 통해 개발자가 미처 발견하지 못한 펌웨어 내부의 보안 약점을 자동으로 식별한다.

기지국이나 스마트홈 등 현장에서 실제로 작동 중인 전체 기기를 대상으로 취약점 노출 상태를 정밀하게 분석하는 일도 가능하다. 기기 제조사가 보안 취약점을 감시하기 위해 막대한 비용을 들여 자체적인 보안 감시 시스템을 구축하거나 유지 관리할 필요가 없다. 규제 기관이 요구하는 까다로운 취약점 모니터링 요건을 단일 플랫폼 안에서 해결할 수 있기 때문에 중소 제조사의 비용 부담이 크게 줄어든다.

탐지부터 무선 패치까지 단일 시스템 구현

유럽연합의 사이버 복원력법은 인터넷에 연결되는 모든 커넥티드 기기가 시장에 유통되는 전체 수명주기 동안 높은 수준의 보안을 유지하도록 강제한다. 사물인터넷 기기는 한 번 설치되면 수년 동안 작동하기 때문에 제품 출시 이후의 지속적인 보안 관리가 제조사의 생존을 가르는 핵심 요소다. nRF 클라우드는 취약점 탐지 기능과 무선 펌웨어 업데이트(FOTA; Firmware Over-the-Air) 서비스를 유기적으로 연동하여 이 문제를 해결한다.

개발자들은 시스템이 제공하는 정확한 노출 데이터를 기반으로 어떤 기기부터 보안 패치를 적용할지 우선순위를 명확하게 결정한다. 대규모 기기를 대상으로 무선 보안 업데이트를 배포한 이후에는 패치가 정상적으로 적용되었는지 실시간으로 모니터링한다. 보안 취약점의 식별부터 패치 배포와 조치 결과 확인까지 전 과정을 완벽한 감사 추적(Audit Trail) 기능이 탑재된 단일 시스템에서 처리한다. 이 새로운 기능은 수 주 안에 정식 출시될 예정이며 노르딕 세미컨덕터는 웨비나를 통해 실제 작동 모습을 공개할 계획이다.

용어 해설 (Glossary)

• nRF 클라우드 (nRF Cloud): 노르딕 세미컨덕터가 제공하는 사물인터넷 기기 전용 클라우드 플랫폼으로 기기의 연결, 위치 추적, 보안 업데이트 등을 원격으로 통합 관리하는 시스템이다.
• 사이버 복원력법 (CRA; Cyber Resilience Act): 유럽연합이 디지털 기기의 보안 강화를 위해 도입한 법안으로 제품의 설계 단계부터 출시 후 수명주기 전반에 걸쳐 보안 취약점 모니터링과 패치 제공을 의무화하는 규제다.
• 소프트웨어 구성요소 목록 (SBOM; Software Bill of Materials): 하나의 소프트웨어 제품을 구성하는 모든 부품과 오픈소스 라이브러리, 모듈 등의 상세 내역을 기록한 일종의 제품 명세서다.
• 공통 취약점 및 노출 (CVE; Common Vulnerabilities and Exposures): 전 세계 보안 전문가들이 발견하여 공개적으로 등록한 컴퓨터 소프트웨어나 하드웨어의 보안 취약점 고유 번호 목록이다.
• 무선 펌웨어 업데이트 (FOTA; Firmware Over-the-Air): 기기에 케이블을 직접 연결하지 않고 무선 통신망을 이용해 원격으로 기기의 핵심 제어 프로그램인 펌웨어를 최신 버전으로 업데이트하는 기술이다.
• 감사 추적 (Audit Trail): 시스템 내에서 발생한 모든 작업 기록과 변경 이력을 시간 순서대로 기록하여 향후 보안 문제나 규정 준수 여부를 검증할 수 있도록 하는 증적 자료다.