'크래들', 사내 보고체계 구축부터 보고 시한 관리, 증거 기록까지 제품 보안사고 대응 전과정을 원스톱 지원
ACE LABS(주식회사 에이스랩스, 대표 노민석)은 7월 24일, EU 사이버복원력법(Cyber Resilience Act, 이하 CRA) 시행에 대응해, 제조사의 취약점·보안사고 보고 의무 이행을 처음부터 끝까지 전과정을 원스톱으로 지원하는 서비스형 제품보안대응(PSIRT-as-a-Service, Product Security Incident Response Team as a Service) 플랫폼인 'CRAdle(크래들)'을 발표했다.
크래들(CRAdle)은 CRA 제14조에서 요구하는 취약점 및 보안사고 보고 체계 구축부터 보고 일정 관리, 증적 관리, 제출 준비까지 전 과정을 지원하는 서비스다. 제조사가 규정된 기한 내에 보고를 완료할 수 있도록 업무 절차를 체계화하고, 대응 과정 전반을 관리할 수 있도록 설계됐다고 업체 측은 밝혔다.
9월 11일부터 CRA 제14조 보고 의무 시행…제조사 대응 부담 커져
EU CRA 제14조에 따른 보고 의무는 2026년 9월 11일부터 적용된다. 이에 따라 EU 시장에 디지털 요소를 포함한 제품을 공급하는 제조사는 악용되고 있는 취약점 또는 중대한 보안사고를 인지한 후 24시간 이내 조기 경보, 72시간 이내 상세 통지, 이후 최종 보고서를 제출해야 한다.
모든 보고는 유럽사이버보안청(ENISA)이 운영하는 단일 보고 플랫폼(Single Reporting Platform, SRP)을 통해 영어로 제출해야 한다. CRA는 이러한 의무를 위반할 경우 최대 1,500만 유로 또는 직전 회계연도 전 세계 연매출의 2.5% 중 더 큰 금액까지 과징금을 부과할 수 있도록 규정하고 있다.
그러나 국내 제조사의 경우 제품보안사고 대응 조직(PSIRT) 운영 경험이 부족한 곳이 많아, 보고 체계 구축과 내부 승인 절차 마련, 보고 문서 작성 등을 짧은 시간 안에 수행해야 하는 부담이 크다고 업체 측은 전했다.
에이스랩스(ACE LABS)는 다수의 국내 제조사를 대상으로 CRA 대응 컨설팅을 수행하는 과정에서 보고 프로세스 부재, 담당자의 경험 부족, 제한된 대응 시간 등의 공통적인 어려움을 겪고 있다는 점을 확인했으며, 이러한 현장의 요구를 반영해 크래들(CRAdle)을 개발했다. 서비스명은 규제(CRA)와 요람(Cradle)을 합친 것으로, 아직 준비되지 않은 제조사의 규제 대응을 처음부터 품어 성숙할 때까지 함께 키운다는 지향을 담았다는 설명이다.
에이스랩스, 규제를 잘 아는 전문가가 제조사 입장에서 지원
업체 측에 따르면, 에이스랩스 노민석 대표는 LG전자에서 20년간 근무하며 제조 현장의 생리를 누구보다 깊이 체득한 소프트웨어 개발 리더 출신이다. 재직 당시 Software Architect(설계), SDET(테스트), Security Specialist(보안전문가) 세 개 분야 인증을 LG전자 내에서 최초로 취득했다. 이후 글로벌 시험·인증기관 티유브이슈드(TUV SUD)에서 사이버보안 팀장과 상무를 역임하며 국제 사이버보안 규제와 인증 업무를 수행한 전문가다.
에이스랩스 노민석 대표는 "CRA 보고 의무는 제조사에게 낯설고 무거운 과제이지만, 처음부터 완벽하게 준비된 회사는 없다”며, “국내 제조업체를 컨설팅하며 동일한 문제를 반복적으로 마주쳤고, 그때마다 개별적으로 해결해온 방식을 어떤 기업이든 활용할 수 있는 체계와 시스템으로 전환할 수 있도록 지원하고자 크래들(CRAdle)을 개발하게 되었다"라고 말했다.
이어, "이를 통해 국내 제조 기업들이 규제 대응 체계 수립부터 첫 보고 완주까지 전 과정에서 시행착오를 줄이고 기한 내 보고를 완료할 수 있도록 지원하는 것이 목표"라고 강조했다.
ACE LABS는 인증기관이 아닌 독립 자문사로서 제조사의 규제 준비와 대응을 지원·자문하는 역할을 수행한다. 보고 의무의 법적 주체는 제조사이며, ENISA에 대한 최종 제출 역시 제조사가 직접 수행한다. CRAdle은 제출 시점까지의 모든 준비 과정을 지원하고 제출 절차를 안내한다.
<저작권자(c)스마트앤컴퍼니. 무단전재-재배포금지>
