통신 및 네트워크 장비 제조업체를 위한 사이버 보안
라우터, 스위치, 액세스 포인트, 무선 장비는 임베디드 Linux 배포판, 칩 공급업체 SDK, 수백 개의 오픈 소스 패키지로 빌드한 펌웨어를 탑재해 출시됩니다. 규제 당국과 통신 사업자는 이제 각 릴리스에 무엇이 들어 있는지 묻습니다. CRACI는 펌웨어 빌드를 실행하고 들어가는 모든 구성 요소를 기록합니다.
세 가지 체계, 하나의 질문
라우터, 스위치, 액세스 포인트, 무선 장비는 현재 EU 무선기기 법규, 2027년 12월부터는 Cyber Resilience Act의 중요 제품 규칙, 그리고 NIS2에 따라 공급업체를 점검해야 하는 통신 사업자의 요구에 대응합니다. 세 가지 모두 결국 같은 질문으로 모입니다. 각 펌웨어 릴리스에 무엇이 들어 있는가 하는 질문입니다.
- 무선기기 지침의 사이버 보안 요건이 인터넷에 연결되는 무선 장비에 적용됩니다.
- 적극적으로 악용되는 취약점과 심각한 사고에 대한 Cyber Resilience Act 보고 의무가 적용됩니다.
- Cyber Resilience Act가 전면 적용되고, 무선 장비 사이버 보안 규칙은 폐지됩니다.
무선기기 지침: 위임 규정 (EU) 2022/30
이 위임 규정은 무선기기 지침 제3조(3)(d), (e), (f)의 필수 요건, 즉 네트워크에 해를 끼치지 않을 것, 개인 데이터와 프라이버시 보호, 사기로부터의 보호를 적용합니다. 대상은 인터넷에 연결되는 무선 장비와 육아용 장비, 장난감, 웨어러블 같은 일부 다른 범주입니다. 당초 계획보다 1년 늦은 2025년 8월 1일부터 적용되고 있습니다. Wi-Fi 라우터와 액세스 포인트는 대표적인 인터넷 연결형 무선 장비이며, 유선 전용 스위치는 무선 장비가 아닙니다. 자사 제품의 분류를 직접 확인하세요.
EN 18031-1, -2, -3
EN 18031-1, -2, -3:2024는 (d), (e), (f)에 대한 조화 표준입니다. 그 참조는 2025년 1월 관보에 다음과 같은 제한과 함께 게재되었습니다.
- "rationale" 및 "guidance" 섹션은 적합성 추정을 부여하지 않습니다.
- 제품이 사용자에게 비밀번호를 설정하거나 사용하지 않는 것을 선택하게 하는 경우 추정이 부여되지 않습니다(6.2.5.1항 및 6.2.5.2항).
- EN 18031-2의 경우, 부모 또는 보호자 접근 제어가 없는 육아용 장비와 장난감에는 추정이 부여되지 않습니다.
- EN 18031-3의 경우, 6.3.2.4의 보안 업데이트 평가 기준으로는 추정이 부여되지 않습니다.
실무에서는 이러한 선택지 중 하나를 사용하는 제품은 해당 요건에 대해 제3자 평가가 필요합니다.
CRA로의 전환
위임 규정 (EU) 2026/339는 CRA가 전면 적용되는 2027년 12월 11일부로 2022/30을 폐지합니다. CRA의 필수 요건이 RED 제3조(3)(d), (e), (f)의 모든 내용을 포함하기 때문입니다. 2025년 8월 1일부터 2027년 12월 10일 사이에 시장에 출시된 무선 장비에 대해서는 무선기기 지침에 따른 시장 감시가 계속됩니다. CRA는 자체 표준을 마련할 때 EN 18031 작업을 고려하도록 요구하지만, EN 18031이 그 자체로 CRA 표준이 되지는 않습니다. 따라서 2027년 12월 10일까지 시장에 출시되는 무선 장비는 위임 규정에 따라 평가되고, 2027년 12월 11일부터는 CRA가 적용됩니다.
네트워크 장비의 CRA 클래스
CRA 부속서 III는 중요 제품을 나열합니다. 클래스 I에는 라우터, 인터넷 연결용 모뎀, 스위치, 네트워크 관리 시스템, VPN 제품, 물리 및 가상 네트워크 인터페이스, 운영 체제가 포함됩니다. 클래스 II에는 방화벽과 침입 탐지 및 방지 시스템이 포함됩니다. 핵심 제품을 다루는 부속서 IV에는 라우터나 스위치가 없습니다.
클래스 I 제품은 조화 표준, 공통 사양 또는 보증 수준 "substantial"의 유럽 사이버 보안 인증 제도를 완전히 적용한 경우에만 자체 평가할 수 있습니다. 그렇지 않으면 인증 기관(notified body)이 관여합니다(EU 형식 시험과 형식 적합성, 또는 완전 품질 보증). 클래스 II 제품은 항상 이러한 경로 중 하나 또는 인증 제도가 필요합니다. 이러한 클래스에 대한 CRA 조화 표준이 공표될 때까지 클래스 I 제조업체는 제3자 평가를 염두에 두고 계획해야 합니다.
CRA 보고
2026년 9월 11일부터 제조업체는 적극적으로 악용되는 취약점과 심각한 사고를 보고합니다. 24시간 이내의 조기 경보, 72시간 이내의 통지, 그리고 최종 보고서입니다. 최종 보고서는 취약점의 경우 수정이 제공된 후 14일, 심각한 사고의 경우 통지 후 1개월입니다.
고객에게 적용되는 NIS2
NIS2, 지침 (EU) 2022/2555에 따라 공중 전자통신 네트워크 및 서비스 제공자는 규모와 관계없이 적용 대상입니다. 제21조는 이들에게 공급망 보안과 취약점 처리를 관리하고, 각 직접 공급업체의 취약점, 제품의 전반적인 품질, 보안 개발 관행을 고려하도록 요구합니다. 통신 사업자가 장비 제조업체에 보안 설문과 SBOM 요청을 보내는 이유입니다. NIS2 의무는 장비 제조업체가 아니라 통신 사업자에게 있습니다.
| 제품 | 2027년 12월 10일까지 위임 규정 2022/30 | 2027년 12월 11일부터 CRA 클래스 | 고객이 흔히 요구하는 것 |
|---|---|---|---|
| Wi-Fi 라우터 | 예: 인터넷 연결형 무선 장비 | 중요, 클래스 I(라우터) | 펌웨어 릴리스별 SBOM, CVE별 "영향을 받습니까?" |
| 유선 전용 엔터프라이즈 스위치 | 아니요: 무선 장비가 아님 | 중요, 클래스 I(스위치) | SBOM, 통신 사업자의 보안 설문 |
| 방화벽 어플라이언스 | 확인 필요: 무선 기능이 있는 경우에만 | 중요, 클래스 II(방화벽) | 취약점 처리 프로세스, SBOM, 업데이트 정책 |
| 네트워크 관리 소프트웨어 | 아니요: 무선 장비가 아님 | 중요, 클래스 I(네트워크 관리 시스템) | SBOM, 보안 개발 증거 |
| 무선 액세스 장치 | 확인 필요: 제품에 따라 다름 | 확인 필요: 기능에 따라 다름 | SBOM, 취약점 처리, 공급업체 설문 |
| CPE 모뎀 | 예, Wi-Fi가 있는 경우 | 중요, 클래스 I(인터넷 연결용 모뎀) | 펌웨어 릴리스별 SBOM, 업데이트 지원 기간 |
이는 일반적인 정보이며 법률 자문이 아닙니다. 자사 제품의 분류를 직접 확인하세요.
네트워크 장비를 추적하기 어려운 이유
펌웨어의 대부분은 다른 사람의 코드입니다. 임베디드 Linux 배포판, SoC 공급업체의 SDK와 커널 패치, 네트워크 스택, 수백 개의 오픈 소스 패키지, 그리고 최신 플랫폼에서는 Rust와 Go 서비스까지 있습니다. 각각이 자체 종속성을 가져옵니다.
하나의 코드베이스, 많은 플랫폼, 많은 릴리스. 같은 펌웨어가 여러 하드웨어 플랫폼용으로 빌드되고, 많은 릴리스가 동시에 현장에서 사용됩니다. 릴리스마다 구성 요소 조합이 다릅니다.
완성된 이미지의 스캔은 추측입니다. 펌웨어 이미지 스캔은 내용을 추론할 뿐이며, 컴파일되어 들어간 것을 놓칩니다. Yocto 자체 SBOM은 레시피에 대해서는 철저하지만, 비교한 빌드에서는 Rust crate에 패키지 URL을 부여하지 않아 보안 권고와 대조할 수 없었습니다. CRACI에서 Yocto 빌드를 자세히 알아보세요. SBOM 스캐너가 Yocto 빌드의 내용을 놓치는 이유도 확인하세요.
고객 문의는 주목받는 CVE가 나올 때마다 늘어납니다. 제품 보안팀들에게 듣기로는, 모든 문의는 "영향을 받습니까?"로 시작하며, 각각 제품별, 버전별 답변이 필요합니다.
"영향을 받습니까?"의 예시
널리 쓰이는 압축 라이브러리에서 취약점이 공개됩니다(설명을 위한 가상의 예). 두 제품 보안팀이 통신 사업자 고객에게서 같은 질문을 받습니다.
| 단계 | 모든 빌드의 SBOM과 빌드 기록이 있는 경우 | 완성된 이미지 스캔에 의존하는 경우 |
|---|---|---|
| 구성 요소 찾기 | 기록된 SBOM에서 해당 라이브러리와 버전 검색 | 현장에 있는 이미지를 찾을 수 있다면 다시 스캔 |
| 릴리스 찾기 | 빌드 기록이 직접 또는 전이적으로 이를 포함한 빌드를 나열 | 스캔 결과를 릴리스 노트와 수작업으로 대조 |
| 기간 찾기 | 취약한 버전이 들어간 첫 빌드와 마지막 빌드가 노출 기간을 알려 줌 | 이미지가 빌드된 시점으로 추정 |
| 고객에게 답변 | 영향받는 제품과 버전, 그리고 영향받지 않는 것의 목록 | 단서가 붙은 최선의 추측 |
"영향을 받습니까?"에 답하는 방법을 자세히 알아보세요.
단계별 준비 방법
비밀번호 처리나 보안 업데이트 같은 제품 보안 기능은 기기의 일부입니다. 아래 단계는 그 펌웨어에 들어가는 것을 다룹니다.
- 제품별 분류. 제품별로 2027년 12월까지 위임 규정상 무선 장비에 해당하는지, 그 이후에는 어떤 CRA 클래스가 적용되는지 판단하세요. 클래스에 따라 적합성 평가 경로가 정해집니다.
- 모든 릴리스 빌드에서 SBOM 생성. 이미지가 설치하는 패키지만이 아니라, 각 펌웨어 빌드의 커널, SDK, 가져온 소스, 모든 패키지를 기록하세요. 모든 팀과 파이프라인에 하나의 SBOM 정책을 적용하려면 엔지니어링 팀 전반의 SBOM 생성을 확인하세요.
- 어떤 릴리스가 무엇을 언제 출시했는지 기록. 모든 릴리스, 그 구성 요소, 출시일입니다. 이 기록이 있으면 "영향을 받습니까?"는 조회 한 번으로 답할 수 있습니다.
- 공급업체와 칩 공급업체 SBOM 추가. 칩 공급업체 SDK와 라이선스한 스택도 펌웨어의 일부입니다. 그 SBOM을 요청하고 자사 SBOM과 함께 모니터링하세요.
- 지속적인 모니터링과 영향 없음 판단 기록. 새로운 취약점이 공개될 때마다 모든 릴리스를 다시 확인하고, 취약한 구성 요소가 제품에 영향을 주지 않는 이유를 VEX로 기록하세요.
- CRA 보고 프로세스 마련. 적극적으로 악용되는 취약점과 심각한 사고에 대한 보고 의무는 2026년 9월 11일부터 적용되고 있습니다. 누가 분류하고, 누가 보고를 결정하며, 누가 고객에게 답할지 정하세요. PSIRT의 작동 방식도 확인하세요.
- 빌드 잠그기. 기본 거부 이그레스 정책을 갖춘 격리 환경에서 빌드하고, 알려진 불량 버전을 차단해 업데이트를 통해 다시 들어오지 않게 하세요.
CRACI의 역할
CRACI는 GitHub Actions 펌웨어 빌드를 자체 러너에서 실행하고 각 릴리스에 무엇이 들어가는지 기록하므로, 규제 당국이나 통신 사업자에 대한 답변이 빌드에서 나옵니다.
무엇이 들어갔는지 기록하는 펌웨어 빌드
Yocto 및 기타 임베디드 Linux 빌드를 CRACI의 GitHub Actions 러너에서 최대 32 vCPU로, x86-64 또는 네이티브 ARM64에서 실행하세요. 빌드가 실행되는 동안 CRACI는 호스트 패키지, Git 소스, GitHub Actions, 그리고 어떤 레시피나 잠금 파일에도 없는 다운로드를 포함해 빌드가 가져오는 모든 패키지와 파일을 기록합니다. core-image-sato 빌드에서 CRACI의 SBOM은 Yocto 자체 SBOM의 모든 구성 요소에 더해 Yocto가 놓친 88개를 포함했으며, 653개 Rust crate 버전 각각에 패키지 URL이 있었습니다. CRACI에서 Yocto 빌드를 자세히 알아보세요.
자사 코드와 나란히 놓는 공급업체 코드
칩 공급업체와 기타 공급업체의 SBOM을 추가하면, 구매한 구성 요소가 자사에서 빌드하는 펌웨어와 함께 모니터링됩니다. 다음 SDK 취약점이 발표되면 공급업체의 코드가 자사 코드와 같은 기록 안에 있습니다.
분류, VEX, 정책 게이트
보안팀은 각 발견 사항을 분류해 수정을 담당하는 팀에 전달합니다. CRACI는 취약점이 제품에 어떻게 영향을 주는지 기록하는 VEX를 지원하며, 정책 게이트로 특정 CVE가 이후 모든 빌드에 들어오지 않게 할 수 있습니다.
필요한 곳에만 접근할 수 있는 빌드
각 작업은 기본 거부로 설정할 수 있는 이그레스 정책 아래에서 자체 격리된 가상 머신으로 실행되며, 정책은 작업 시작 전에 검증되고 실패 시 차단됩니다. 기본 거부 정책에서는 빌드에 필요 없는 호스트로의 연결이 차단되고 알림이 발생합니다.
CRACI가 답이 아닌 경우
CRACI는 직접 빌드하는 펌웨어와 소프트웨어에 맞습니다. 다음 경우에는 맞지 않습니다.
- 자사 네트워크를 보호하거나 자사 운영에 대해 NIS2를 충족하려는 통신 사업자에게는 맞지 않습니다. CRACI는 장비와 소프트웨어 제조업체를 위한 것이며, 통신 사업자에게는 그 공급업체에 더 나은 증거를 제공함으로써만 도움이 됩니다.
- GitHub Actions 밖에서 빌드하는 펌웨어, Windows 또는 macOS에서 빌드하는 펌웨어, 사내에 두어야 하는 빌드 팜에는 맞지 않습니다. GitLab CI와 Jenkins, Windows 및 macOS 러너, 고객 호스팅 러너는 로드맵에 있습니다.
- 직접 빌드하지 않은 이미지에는 맞지 않습니다. CRACI는 바이너리나 서드파티 펌웨어를 스캔하지 않습니다. 이런 경우에는 공급업체의 SBOM이나 바이너리 분석 도구가 필요합니다(CRACI vs ONEKEY 및 임베디드 보안 도구 비교 참조).
- 완전한 PSIRT 케이스 관리 또는 보안 권고 게시 시스템이 아닙니다. CRACI는 외부 취약점 보고를 케이스로 접수하거나 보안 권고를 게시하지 않으며, 도달 가능성 분석도 하지 않습니다. PSIRT 도구 비교를 확인하세요.
- 적합성 평가, EN 18031 시험, 또는 비밀번호 처리, 보안 업데이트, 접근 제어 같은 제품 보안 기능이 아닙니다. CRACI는 펌웨어에 서명하지 않습니다.
네트워크 장비 보안 해설
장비 제조업체를 위한 RED, EN 18031, CRA, NIS2에 관해 자주 묻는 질문
CRA에서 중요 제품에 해당하는 네트워크 장비는 무엇이며, 어떤 클래스입니까?
부속서 III의 클래스 I에는 라우터, 인터넷 연결용 모뎀과 스위치, 네트워크 관리 시스템, VPN 제품, 물리 및 가상 네트워크 인터페이스, 운영 체제가 포함됩니다. 클래스 II에는 방화벽과 침입 탐지 및 방지 시스템이 포함됩니다. 라우터와 스위치는 부속서 IV의 핵심 제품이 아닙니다.
RED 사이버 보안 요건은 언제부터, 어떤 무선 장비에 적용되었습니까?
2025년 8월 1일부터입니다. 위임 규정 (EU) 2022/30은 무선기기 지침 제3조(3)(d), (e), (f)를 인터넷에 연결되는 무선 장비와, 육아용 장비, 장난감, 웨어러블 같은 일부 다른 범주에 적용합니다. 이 날짜는 이후의 위임 규정에 의해 2024년 8월 1일에서 변경되었습니다.
EN 18031-1, -2, -3은 적합성 추정을 부여합니까?
예, 제한이 있습니다. rationale 및 guidance 섹션은 추정을 부여하지 않습니다. 사용자가 비밀번호를 설정하거나 사용하지 않기로 선택할 수 있는 경우에는 추정이 없습니다. EN 18031-2의 경우 부모 또는 보호자 접근 제어가 없는 육아용 장비와 장난감에는 추정이 없고, EN 18031-3의 경우 6.3.2.4의 보안 업데이트 기준으로는 추정이 없습니다. 이러한 경우에는 제3자 평가가 필요합니다.
CRA가 적용되면 RED 위임 법령과 EN 18031은 어떻게 됩니까?
위임 규정 (EU) 2026/339는 CRA가 전면 적용되는 2027년 12월 11일부로 2022/30을 폐지합니다. 2027년 12월 10일까지 시장에 출시된 무선 장비는 계속 RED 시장 감시 대상입니다. EN 18031은 CRA 자체 표준에서 고려될 예정이지만, 그 자체로 CRA 표준이 되지는 않습니다.
NIS2는 통신 사업자의 공급업체에 어떤 영향을 줍니까?
간접적인 영향을 줍니다. NIS2는 통신 사업자에게 의무를 부과하며, 통신 사업자는 공급망 보안을 관리하고 각 직접 공급업체의 취약점, 제품 품질, 보안 개발 관행을 고려해야 합니다. 통신 사업자는 이를 보안 설문, SBOM 요청, 계약 조건으로 공급업체에 전달합니다. 장비 제조업체 자체의 법적 의무는 RED와 CRA에서 나옵니다.
라우터나 스위치 제조업체는 CRA에 따라 자체 평가할 수 있습니까?
조화 표준, 공통 사양 또는 보증 수준 substantial의 유럽 사이버 보안 인증 제도를 완전히 적용하는 경우에만 가능합니다. 라우터와 스위치는 클래스 I 중요 제품이기 때문입니다. 그렇지 않으면 인증 기관이 관여합니다. 이러한 제품에 대한 CRA 조화 표준이 공표될 때까지는 제3자 평가를 염두에 두고 계획하세요.
CRACI는 Yocto와 함께 사용할 수 있습니까?
예. Yocto 및 BitBake 빌드는 CRACI 러너에서 실행되며, CRACI는 빌드가 실행되는 동안 작업의 SBOM을 기록합니다. Yocto 자체의 SPDX 출력에는 적용된 패치나 레시피가 수정됨으로 표시한 CVE처럼 CRACI가 기록하지 않는 레시피 메타데이터가 여전히 담겨 있으므로, 이를 활용한다면 create-spdx를 계속 켜 두세요.
CRACI는 어떤 CI 시스템과 빌드 머신을 지원합니까?
CRACI는 x86-64 및 ARM64 Linux 러너에서 1~32 vCPU로 GitHub Actions 작업을 실행합니다. GitLab CI와 Jenkins 같은 다른 CI 시스템과 Windows 및 macOS 러너는 로드맵에 있습니다.