Summary

  • GAO-26-107530에서 24개 연방 기관 중 17곳의 고위 정보기술·조달 담당자가 OMB와 NIST의 서로 다른 지침 때문에 소프트웨어 자재명세서(SBOM)의 수집·보관에 어려움이 있다고 보고했다. 이는 기관이 말한 조달상의 장애이며 침해 사고 건수가 아니다.
  • 과거 OMB 각서 M-22-18은 SBOM 수집을 선택 가능한 정적 증빙에 가깝게 다뤘고, NIST는 출시 버전별 부품 데이터를 취약점 관리에 활용하도록 강조했다. OMB는 2026년 1월 옛 각서를 폐기했다. 현행 M-26-05는 계약에 따라 최신 SBOM을 요청할 수 있게 하고 기관장에게 책임을 둔다.
  • GAO는 사이버보안·인프라보안국(CISA)에 조달, 개발, 위험 관리에서 SBOM을 생성·수령·분석하는 실무 지침을 권고했다. 다음 검증 대상은 파일 수가 아니라 운영 중인 버전에서 조치 책임자까지 이어지는 정보의 길이다.

창고에 쌓이는 목록과 현장에서 쓰는 목록

SBOM에는 소프트웨어 한 버전을 구성하는 부품이 적힌다. 조달에는 공급자가 계약상 자료를 냈다는 증거가 된다. 보안 운영에는 새 취약점이 발견된 부품이 지금 기관이 사용하는 버전에 들어 있는지 확인할 재료가 된다. 첫 업무는 자료를 접수하면 끝날 수 있다. 두 번째는 버전을 식별하고 데이터를 최신으로 유지하고 담당자가 대응을 결정할 때 비로소 끝난다. 같은 파일을 두고 서로 다른 시계를 보고 있는 셈이다.

GAO가 2026년 6월 23일 발표한 클라우드 조달 보고서는 그 시계가 맞지 않는 현장을 기록했다. 24개 기관의 고위 정보기술·조달 담당자 중 17개 기관이 OMB와 NIST 지침의 충돌을 SBOM 수집과 보관의 문제로 꼽았다. 이 보고서에는 클라우드 비용 관리에 어려움을 겪었다는 기관도 17곳 나온다. 숫자는 같지만 조사 문항과 문제는 다르다. 두 집단을 한 사건으로 합치면 감사의 내용이 달라진다.

GAO 보고서 전문은 충돌의 지점을 세분한다. 옛 OMB 지침에서 SBOM 수집은 선택 사항이었고 기관은 수집 절차를 마련해야 했다. NIST는 생산자가 버전마다 부품을 추적하고 표준화된 형태로 공유하는 데 무게를 뒀다. OMB 쪽의 목록은 정적인 준수 자료로 읽히기 쉬웠고, NIST 쪽의 데이터는 취약점 검사와 위험 관리에 쓰여야 했다. 계약서에 목록 한 부를 요구하는 문장만 넣으면 자료의 버전, 전달 시점, 실제 이용자는 여전히 비어 있다.

다섯 기관은 연방 고객마다 양식과 절차가 달라 여러 기관에 납품하는 생산자에게 부담이 된다고 GAO에 말했다. 또 다른 다섯 기관은 생산자로부터 SBOM을 받기 어렵다고 했는데, 재판매업자가 사이에 있는 거래도 포함됐다. 두 집단은 겹칠 수 있으므로 열 기관의 별개 문제로 셀 수 없다. 중요한 것은 자료를 만드는 곳, 계약을 맺는 곳, 취약점에 대응할 곳이 계약의 한 선으로 연결되지 않았다는 점이다.

옛 각서는 사라졌지만 책임은 현장에 남았다

OMB의 2026년 1월 23일자 M-26-05는 M-22-18과 M-23-16을 폐기했다. 옛 각서는 갈등의 배경이지 지금 적용되는 명령이 아니다. 새 정책은 완전한 소프트웨어·하드웨어 목록, 위험에 따른 관리, 기관장의 책임을 계속 요구한다. 기관은 계약에서 필요할 때 최신 SBOM을 제공하도록 정할 수 있다. 클라우드 서비스라면 실제 운영 중인 생산 환경의 SBOM을 계약 조건에 명시해야 한다.

선택권이 넓어진 만큼 판단을 미룰 장소는 줄었다. 기관은 구매마다 같은 증빙을 요구할 필요가 없다. 그러나 SBOM을 요구하기로 했다면 어느 버전의 데이터를 언제, 누구에게서, 어떤 경로로 받아 누가 처리할지 정해야 한다. GAO는 새 각서가 책임을 명확히 했지만 현장의 문제를 해결하지는 못했다고 봤다. 운영 환경과 맞지 않는 오래된 목록은 새로운 취약점이 나타난 순간 근사한 종이 증거가 될 뿐이다.

NIST의 소프트웨어 공급망 자료는 부품 정보를 보안 업무에 쓰는 기술적 맥락을 제시한다. CISA가 2025년 9월 발표한 공동 비전은 SBOM의 생성, 수령, 분석을 위험 관리와 개발 절차에 넣자고 한다. GAO는 이 비전만으로는 기관이 데이터를 도구와 업무에 어떻게 접목할지 알 수 없다고 판단했다. 목적지는 쓰여 있지만 배달 주소가 빠진 것이다.

다음 지침은 배달 주소를 써야 한다

GAO는 국토안보부에 CISA의 추가 시행 지침을 권고했다. 조달, 개발, 위험 관리에서 SBOM을 만들고 받아 분석하는 방법을 담으라는 요구다. 국토안보부는 동의했고 회신에서 2026년 9월 30일을 예상 완료일로 제시했다. 예상일은 발행된 지침 자체가 아니다. 이 글을 위해 확인했을 때 GAO의 공개 권고 항목은 여전히 Open으로 표시됐다.

구체적인 지침이라면 생산자가 어느 출시 버전 또는 현재 클라우드 운영 환경의 부품을 설명하는지 밝히고, 계약은 필요할 때 자료를 받을 통로를 열며, 기관은 자료를 읽어 취약점과 대조하고 조치를 기록하게 해야 한다. 재판매업자를 통해 샀다면 통로의 책임을 더욱 명확히 해야 한다. 서류를 보유한 기관과 위험을 다룰 수 있는 기관은 같은 기관일 수도, 아닐 수도 있다.

CISA가 발행한 날짜와 내용이 확인되는 시행 지침, 그리고 최신 부품 데이터가 계약과 실제 업무를 거쳐 사용됐다는 기관의 기록이 이 평가를 바꿀 증거다. 17개 기관은 충돌 지점을 이미 알려 줬다. 워싱턴의 다음 할 일은 목록 한 장을 더 주문하는 것이 아니라, 그 목록이 도착해야 할 사람을 정하는 일이다.

Sources