소프트웨어 자재 명세서(SBOM)란? 보안과 투명성을 위한 활용 가이드

EDB Team | 2026년 1월 8일

오늘날의 소프트웨어는 오픈 소스 라이브러리, 서드파티 패키지, 플러그인, 커스텀 코드 등 수많은 컴포넌트로 구성됩니다. 이러한 구조는 개발 속도를 높이는 데 도움이 되지만, 동시에 공급망 취약점이나 오래된 종속성(Dependency)과 같은 리스크를 발생시킬 수 있습니다.

여기서 소프트웨어 자재 명세서(SBOM, Software Bill of Materials)가 활용됩니다. SBOM은 소프트웨어를 구성하는 컴포넌트의 상세 목록으로, 소프트웨어의 ‘성분 표시 라벨’과 같은 역할을 합니다. 이를 통해 애플리케이션 내부에 어떤 컴포넌트가 포함되어 있는지 파악할 수 있습니다.

이 글에서는 SBOM이 현대 엔터프라이즈 환경에서 왜 중요한지, 어떻게 생성하는지, 그리고 주요 활용 분야는 무엇인지 살펴봅니다. 또한 EDB Postgres® AI(EDB PG AI)가 PostgreSQL 및 엔터프라이즈 데이터 스택에 대한 SBOM 도입을 어떻게 지원하는지 알아봅니다.

SBOM 도입의 비즈니스적 가치

SBOM은 소프트웨어 개발, 배포, 조달 과정에서 보안과 리스크 관리를 강화하는 데 활용할 수 있습니다. 또한 규정 준수(Compliance)를 지원하고 소프트웨어 구성 요소에 대한 상세한 자산 목록을 제공합니다.

1. 공급망 투명성 확보

대부분의 애플리케이션은 기존 코드, 프레임워크, 소프트웨어를 재사용합니다. 개발자는 오픈 소스 소프트웨어(OSS) 패키지와 라이브러리에 의존하며, SBOM이 없다면 코드와 컴포넌트의 출처를 파악하기 어려울 수 있습니다. SBOM은 버전 번호와 종속성을 포함한 전체 인벤토리를 제공하여 각 컴포넌트의 출처를 추적할 수 있게 합니다.

2. 취약점 관리

새로운 CVE(Common Vulnerabilities and Exposures, 보안 취약점)가 공개되었을 때, SBOM을 보유한 조직은 영향을 받는 컴포넌트가 자사 시스템에 존재하는지 확인할 수 있습니다. 이를 바탕으로 패치와 업데이트의 우선순위를 보다 신속하게 결정할 수 있습니다.

3. 컴플라이언스 및 규제 대응

각국 정부와 관련 기관에서는 소프트웨어 투명성에 대한 요구를 강화하고 있습니다. 미국의 행정명령 14028호를 비롯해 NIST나 ISO 같은 산업 표준 기구에서도 SBOM과 관련된 지침과 표준을 제시하고 있습니다. SBOM을 준비하는 것은 이러한 글로벌 규제 및 표준 변화에 대응하는 데 도움이 됩니다.

4. 투자자 및 고객 신뢰 구축

오픈 소스 사용 현황을 확인하려는 고객이나 리스크 관리를 중요하게 보는 투자자에게 SBOM은 조직의 소프트웨어 구성과 관리 현황을 보여주는 자료가 될 수 있습니다. 이를 통해 보안과 컴플라이언스에 대한 조직의 관리 체계를 보다 투명하게 제시할 수 있습니다.

SBOM을 생성하는 5단계

SBOM은 단순한 종속성 목록을 넘어 지속적으로 유지·관리하고 개발 프로세스에 통합할 수 있는 문서여야 합니다.

1. 요구사항 정의 (Define your needs)

먼저 SBOM이 필요한 목적을 파악해야 합니다. 규제 준수, 취약점 대응, 고객 요구 충족 또는 보안 현대화 중 무엇이 목표인지 확인한 후 범위를 설정합니다. 어떤 컴포넌트, 프레임워크, 서드파티 코드를 포함할지 결정하고 정책을 수립하면 일관된 관리에 도움이 됩니다.

2. 표준 포맷 선택 (Choose a standard)

도구 간 상호운용성을 위해 표준화된 포맷을 사용할 수 있습니다.

• SPDX (Software Package Data Exchange): 리눅스 재단(Linux Foundation) 표준으로 라이선싱 및 컴플라이언스 문서화에 널리 사용됩니다.
• CycloneDX: OWASP 프로젝트의 일환으로, SBOM 자동화 및 CI/CD 워크플로우와 보안 사용 사례에 활용됩니다.

3. 자동화 도구 활용 (Use automation tools)

복잡한 소프트웨어의 SBOM을 수동으로 작성하기는 어렵기 때문에 정확성과 반복성을 높이기 위해 자동화 도구를 활용할 수 있습니다.

• 오픈 소스: Syft, SPDX tools, CycloneDX CLI
• 엔터프라이즈 솔루션: Grype, Anchore, JFrog Xray (취약점 스캔 및 파이프라인 통합 기능 제공)

4. CI/CD 워크플로우 통합 (Integrate into CI/CD workflows)

빌드 프로세스에 SBOM 생성을 포함하여 릴리스마다 최신 SBOM이 생성되도록 할 수 있습니다. Maven, npm, Gradle 같은 빌드 도구의 플러그인을 활용하고, 생성된 SBOM을 Trivy나 Grype 등으로 스캔한 후 보관할 수 있습니다.

5. 유지 및 업데이트 (Maintain and update)

SBOM은 소프트웨어의 변경 사항을 반영할 수 있도록 지속적으로 관리해야 합니다.

• 빌드 시 또는 종속성 변경 시마다 재생성
• 소스 코드와 함께 버전 제어 시스템에 저장
• 감사를 위해 버전 간 변경 사항 추적 가능성 확보

리스크 감소를 위한 SBOM 활용 사례

SBOM은 규정 준수뿐 아니라 소프트웨어 관련 리스크를 파악하고 관리하는 데 활용할 수 있습니다.

• 사고 대응 (Incident Response): 새로운 취약점 발생 시 보안팀은 영향을 받는 시스템을 신속하게 식별할 수 있습니다.
• 서드파티 소프트웨어 관리: 벤더와 파트너로부터 SBOM을 제공받아 프로프라이어터리(Proprietary) 도구의 구성을 파악하고 투명성을 확보할 수 있습니다.
• M&A 및 실사: 제품 인수나 매각 전, SBOM을 통해 오래된 라이브러리나 라이선스 충돌 등 소프트웨어 자산의 리스크를 파악하고 의사결정에 활용할 수 있습니다.
• 규제 준비: 감사 및 인증을 위한 문서화에 활용할 수 있습니다.

PostgreSQL 스택에서의 SBOM 관리

SBOM은 애플리케이션 코드뿐 아니라 데이터베이스 환경에서도 중요합니다. PostgreSQL과 EDB PG AI 같은 제품은 코어 바이너리, 확장 모듈(Extensions), 플러그인, 지원 도구 등 여러 레이어로 구성됩니다. 각 레이어에는 보안 취약점이나 라이선스 이슈와 관련된 종속성이 포함될 수 있습니다.

미션 크리티컬한 애플리케이션을 구동하는 데이터베이스에서도 사용 중인 컴포넌트를 파악하는 것이 중요합니다. SBOM을 통해 어떤 컴포넌트가 사용되고 있는지 확인하고 CVE 패치나 라이선스 요구사항을 관리하는 데 활용할 수 있습니다.

EDB PG AI의 투명성 지원

EDB는 오픈 소스 PostgreSQL과 엔터프라이즈급 확장을 지원하며 다음과 같은 투명성을 제공합니다.

• 명확한 컴포넌트 가시성을 포함한 패치 및 업데이트 배포
• 지원되는 확장에 대한 대시보드 및 문서 제공
• 관리형(Managed) PostgreSQL 환경에 SBOM 모니터링 통합 지원

PostgreSQL을 위한 SBOM 생성 전략

• 자체 구축(Self-hosted): 설치된 바이너리, 확장 모듈 등을 스캔하는 것으로 시작합니다.
• 관리형 서비스(Managed DB): 벤더의 투명성이 중요합니다.
  • 벤더에 투명성 요구: 데이터베이스 엔진 및 확장에 대한 SBOM 공개를 요청합니다.
  • 컨테이너 이미지 스캔: Syft나 CycloneDX CLI를 사용해 배포된 컨테이너 이미지를 스캔합니다.
  • 확장 및 플러그인 포함: 설치된 확장 기능도 SBOM에 포함합니다.
  • 지속적 모니터링: 벤더의 패치 주기에 맞춰 SBOM을 갱신하여 현재 환경과 일치하도록 관리합니다.

안전한 소프트웨어 수명주기를 위한 Do’s and Don’ts

SBOM을 지속적으로 관리하기 위해 다음 사항을 고려할 수 있습니다.

Do (권장 사항):

• 조기 통합: SDLC(소프트웨어 개발 생명주기) 초기 단계부터 SBOM 생성을 통합합니다.
• 표준 준수: 상호운용성을 위해 SPDX나 CycloneDX 같은 표준 포맷을 사용합니다.
• 자동화 및 저장: 코드와 함께 SBOM을 자동 생성하고 저장하여 버전 이력을 관리합니다.
• 취약점 스캔 병행: 정기적인 CVE 스캔과 SBOM을 함께 활용하여 문제를 확인합니다.

Don’t (피해야 할 사항):

• 일회성 작업으로 취급: 모든 빌드와 릴리스마다 지속적으로 업데이트해야 합니다.
• 추이적 종속성(Transitive dependencies) 무시: 취약점은 직접 사용하는 라이브러리가 참조하는 다른 라이브러리에 존재할 수도 있습니다.
• 라이선스 분석 간과: 호환되지 않는 오픈 소스 라이선스로 인한 법적 리스크를 확인해야 합니다.

EDB PG AI를 활용한 데이터베이스 보안 관리

소프트웨어는 점점 더 복잡해지고 있습니다. SBOM은 소프트웨어를 구성하는 요소를 파악하고, 보안과 컴플라이언스에 필요한 추적성과 투명성을 확보하는 데 활용할 수 있습니다.

특히 PostgreSQL 데이터베이스를 운영하는 기업에서는 데이터베이스를 구성하는 컴포넌트를 정확하게 파악하는 것이 중요합니다. 이를 바탕으로 데이터 보호와 규정 준수에 필요한 관리 체계를 마련할 수 있습니다.

PostgreSQL 스택에 SBOM 투명성을 확보할 준비가 되셨습니까? EDB PG AI의 보안 팩과 지원 서비스를 통해 CI/CD 파이프라인에 SBOM 모니터링을 통합하고 개발 보안을 강화하는 방법을 문의해 주십시오.

메일: salesinquiry@enterprisedb.com