EU의 사이버 복원력법(Cyber Resilience Act, CRA)은 디지털 요소가 포함된 제품의 사이버 보안을 강화하기 위해 제품의 설계·개발부터 출시 이후 유지보수까지 전 수명주기에 걸쳐 보안 요구사항을 적용하는 규제입니다.

2027년 12월 전면 적용에 앞서 일부 주요 의무는 이미 2026년부터 단계적으로 시작됩니다. 특히 2026년 9월 11일부터 취약점 보고 의무가 적용되는 만큼, 기업은 CRA 대응을 장기 과제가 아닌 현재 준비해야 할 규제로 바라볼 필요가 있습니다.

CRA는 단순히 취약점을 점검하는 수준을 넘어, 소프트웨어 구성 요소에 대한 가시성과 추적성 확보, 지속적인 취약점 관리, 보안 업데이트 체계를 요구합니다.

주요 체크포인트는 다음과 같습니다.

• 2026년부터 시작되는 주요 의무
  적합성 평가와 취약점 보고 등 전면 적용 이전부터 대응 필요 
• 제품 전 수명주기 보안 관리
  설계·개발부터 출시 이후 유지보수까지 지속적인 보안 체계 요구  
• 소프트웨어 공급망 가시성 확보
  오픈소스 및 소프트웨어 구성 요소를 식별하고 위험을 지속적으로 관리 
• 미준수에 따른 규제 리스크
  위반 수준에 따라 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5%에 해당하는 벌금 부과 기능 

CRA 대응의 핵심은 규제 시행 직전에 준비하는 것이 아니라, 현재의 소프트웨어 개발 및 공급망 보안 프로세스에 필요한 통제 체계를 미리 구축하는 것입니다. 

Black Duck과 함께 CRA 주요 요구사항과 기업이 준비해야 할 대응 방안을 확인해보세요. 

Root·Admin과 같은 특권 계정은 주요 시스템과 중요 데이터에 높은 수준의 접근 권한을 보유하고 있어, 계정 탈취나 권한 오남용 시 큰 보안 위험으로 이어질 수 있습니다.

특히 클라우드·원격 업무·외부 협력사 접근이 확대되고 서비스 계정, Bot, AI Agent 등 Non-Human Identity까지 관리 대상이 넓어지면서, 특권 접근 보안 역시 보다 폭넓은 관점에서 점검할 필요가 있습니다.

「Privileged Access Security Self-Assessment Checklist」는 아래와 같은 주요 영역을 10가지 질문으로 간단하게 점검할 수 있도록 구성했습니다.

• 특권 계정 및 Credential 식별·관리
• Identity Attack Path 가시성
• 특권 세션 및 원격 접근 관리
• Lease Privilege 및 JIT Access 적용
• Identity 기반 공격 탐지
• Non-Human Identity 가시성
• PAM · Secrets Management · Identity Security 통합 관리 

AI 코딩 어시스턴트는 개발 속도를 크게 높이고 있지만, 생성된 코드가 기본적으로 안전한 것은 아닙니다. Black Duck은 AI 기반 개발이 확대될수록 취약한 코드가 더 빠르게 배포될 수 있으며, 기존보다 촘촘한 보안 검증 체계가 필요하다고 강조합니다.

특히 AI는 기업의 보안 정책이나 전체 시스템 구조, 기존 의사결정 맥락을 완전히 이해하지 못한 채 코드를 생성할 수 있습니다. 또한 존재하지 않는 오픈소스 패키지를 제안하는 Slop Squatting, 프롬프트 인젝션, AI 에이전트의 과도한 권한 행사 등 새로운 공격 표면도 등장하고 있습니다.

이에 따라 AI 기반 개발 환경에서는 다음과 같은 다층 보안 전략이 중요합니다.

• 기업 보안 정책과 개발 표준을 AI에 명확히 적용
• AI 생성 코드에 대한 위협 모델링 및 지속적인 테스트
• SAST·SCA·DAST를 CI/CD 보안 게이트에 통합
• AI 자동 검토와 전문가의 Human Review 병행
• 운영 환경의 모니터링과 이상 행위 탐지 강화