정부, SW 개발 시 ‘시큐어코딩’ 의무화

정보시스템 구축·운영 지침 개정안 행정예고

[보안뉴스 호애진] 오는 12월부터 행정기관 등에서 추진하는 개발비 40억원 이상 정보화사업에 소프트웨어 개발보안 적용이 의무화된다.

행정안전부는 사이버공격의 주요 원인인 소프트웨어 보안약점을 개발단계부터 제거하기 위해 ‘소프트웨어 개발보안’을 의무화하는 ‘정보시스템 구축·운영 지침’ 개정안을 마련해 행정예고 한다고 밝혔다.

이번 개정안은 행정기관 및 공공기관이 정보화사업을 추진함에 있어 소프트웨어 개발보안을 적용·점검하기 위한 기준과 절차 등을 규정한 것이다.

우선, 오는 12월부터 행정기관 등에서 추진하는 개발비 40억원 이상 정보화사업에 소프트웨어 개발보안 적용을 의무화하고, 단계적으로 의무 대상을 확대해 ‘15년에는 감리대상 전 정보화사업에 소프트웨어 개발보안을 적용한다. 다만, 상용소프트웨어는 소프트웨어 개발보안 적용대상에서 제외된다.

소프트웨어 개발사업자가 반드시 제거해야 할 보안약점은 SQL 삽입, 크로스사이트스크립트 등 43개이다.

감리법인은 정보시스템 감리 시 검사항목에 보안약점 제거여부를 반드시 포함해야 하며, 효과적인 보안약점 진단을 위해 진단도구를 사용할 경우 국정원장이 인증한 보안약점 진단도구를 사용해야 한다. 또 개발보안분야 감리 시 전문성 제고를 위해 행정안전부장관이 자격을 부여한 개발보안 진단원을 우선적으로 배치할 수 있다.

장광수 행정안전부 정보화전략실장은 “사이버공격에 효과적으로 대응하기 위해서는 인프라 투자도 필요하지만 소프트웨어 개발단계부터 근본원인인 소프트웨어 보안약점을 제거하는 것이 매우 중요하다”고 강조하면서, “지난 4월말 선정된 소프트웨어 개발보안 연구센터(고려대)를 통해 새로운 보안약점을 발굴하는 등 지속적으로 개발보안을 강화해 나갈 예정”이라고 밝혔다.

[호애진 기자(boan5@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다