소프트웨어보안

기조강연 : Understanding How Open Source Is Managed Professionally in 2024

한국은 삼성, 현대, LG전자와 같은 글로벌 기업들을 필두로 오랫동안 오픈소스 혁신의 중심지 역할을 해왔습니다. 개방형 혁신의 핵심인 오픈소스 분야는 점차 전문화되고 관리 가능한 형태로 성숙해 가고 있으며, 이제는 책임감 있고 지속 가능한 방향으로의 발전을 꾀하고 있습니다. 이러한 변화는 단순히 기술적인 진보를 넘어, 오픈소스를 공급망 관리의 핵심 요소로 인식하고 신뢰할 수 있는 구조를 구축하려는 노력에서 비롯됩니다. 한국의 활발한 커뮤니티는 이러한 글로벌 흐름 속에서 중요한 동력이 되고 있습니다. 오픈소스 관리의 첫 번째 과제는 불확실한 영역을 체계적인 관리 체계 안으로 가져오는 것입니다. 이를 위해 리눅스 재단과 같은 기관은 고수준 프로세스 관리 체계를 구축하고, 소프트웨어 자재 명세서(SBOM)와 같은 표준을 통해 공급망을 투명하게 가시화합니다. 특히 오픈소스 라이선스 준수를 위한 ISO 5230과 보안 보증을 위한 ISO 18974 표준은 기업이 신뢰할 수 있는 소프트웨어를 생산하고 유통하는 데 필수적인 기준점이 되고 있으며, 이는 공급망 전반의 신뢰를 확보하는 토대가 됩니다. 이러한 국제 표준은 특정 국가나 기업의 전유물이 아니라 전 세계적인 협력을 통해 만들어집니다. 한국, 중국, 일본, 독일 등 각국의 워킹그룹은 언어와 비즈니스 문화의 장벽을 넘어 표준 개발에 참여하고 있습니다. 정부 기관과 비영리 단체까지 아우르는 글로벌 협력은 표준의 실용성을 높이며, 누구나 쉽게 접근하고 아이디어를 공유할 수 있는 개방형 구조를 유지합니다. 이는 복잡한 공급망 속에서 공통의 언어를 확립하는 중요한 기반이 되며, 모든 지역의 기업이 표준의 혜택을 누릴 수 있게 합니다. 실제로 노키아, 삼성SDS, KT와 같은 선도 기업들은 국제 표준을 적극적으로 채택하며 공급망 전반에 긍정적인 영향을 미치고 있습니다. 이들 기업은 표준 채택 사례를 대외적으로 알림으로써 다른 기업들이 오픈소스 관리의 전문성을 확보하도록 영감을 줍니다. 특히 보안 표준의 채택은 오픈소스 보안 보증의 명확한 기준선을 제시하며, 공급망 내의 모든 참여자가 품질 관리에 동참하게 만드는 강력한 모멘텀으로 작용하고 있습니다. 이러한 리더십은 전 세계 공급망이 신속하게 정렬되도록 돕는 역할을 합니다. 표준의 도입과 실행을 돕기 위해 오픈체인 프로젝트는 방대한 규모의 참고 자료 라이브러리를 운영합니다. 여기에는 정책 템플릿, 교육 자료, 자체 인증 체크리스트 등이 포함되며, 특히 한국 커뮤니티의 기여로 풍부한 한국어 자료가 제공되고 있습니다. 또한 팬데믹 이후 구축된 대규모 웨비나 라이브러리는 AI 법적 환경이나 데이터 관리와 같은 최신 이슈를 다루며, 기업들이 변화하는 기술 환경에 신속하게 대응할 수 있도록 지원합니다. 이는 지식 공유를 통해 전체 생태계의 전문성을 상향 평준화하려는 노력의 일환입니다. 오픈소스 표준은 이제 기업의 조달 및 인수합병(M&A) 과정에서도 핵심적인 역할을 수행합니다. 조달 담당자들은 공급업체에 국제 표준 준수 여부를 확인하며 위험 관리를 강화하고 있으며, 인수합병 시에도 피인수 기업의 소프트웨어 품질과 보안을 평가하는 최소 기준으로 활용됩니다. 맞춤형 관리 방식 대신 검증된 국제 표준을 요구하는 이러한 추세는 공급망 관리를 더욱 효율적이고 안정적으로 만들며 비즈니스 의사결정의 신뢰도를 높입니다. 이는 표준이 단순한 권고안을 넘어 실질적인 비즈니스 도구로 안착했음을 보여줍니다. 미래의 오픈소스 생태계는 미국과 유럽의 강력한 규제 환경과 맞물려 더욱 공식화될 전망입니다. 미국의 행정 명령이나 유럽의 사이버 복원력 법안(CRA)은 기록 보관과 투명한 관리를 요구하며, 이는 오픈체인 표준의 방향성과 일치합니다. 결국 오픈소스는 기존의 자산 관리와 유사한 전문적인 영역으로 안착할 것이며, 이러한 표준화된 체계를 이해하고 활용하는 역량은 글로벌 시장에서 기업의 경쟁력을 결정짓는 중요한 척도가 될 것입니다. 지속적인 개선과 협력만이 변화하는 디지털 환경에서 생존할 수 있는 유일한 길입니다.

한국전자통신연구원오픈소스 테크데이

공학·기술

[EOST2023] 오픈소스, 자연스럽게

현대 소프트웨어 개발 환경에서 오픈소스는 선택이 아닌 필수적인 요소로 완전히 자리 잡았습니다. 오늘날 기업이나 개발자가 오픈소스를 전혀 활용하지 않고 제품이나 서비스를 개발하는 것은 사실상 불가능에 가까우며, 실제 오픈소스 사용률은 100%라고 단언할 수 있습니다. 과거에는 특정 영역에서만 제한적으로 사용되었으나, 현재는 프레임워크부터 개발 도구, 거대 플랫폼에 이르기까지 모든 기술 계층에 오픈소스가 깊숙이 침투해 있습니다. 이러한 변화는 비즈니스와 R&D 분야를 넘어 개인의 취미 활동까지 광범위하게 영향을 미치며 소프트웨어 산업의 근간을 이루고 있습니다. 전 세계 개발자들의 협업 공간인 깃허브(GitHub)의 가입자가 1억 명을 넘어섰다는 사실은 오픈소스 생태계의 거대한 규모를 증명합니다. 이는 단순히 수치상의 증가를 넘어, 소프트웨어를 개발하거나 관심을 가진 거의 모든 사람이 하나의 거대한 플랫폼으로 연결되어 있음을 의미합니다. 국내 상황도 이와 비슷하여 개발자 교육 플랫폼이나 관련 커뮤니티의 가입자 수가 급격히 늘어나는 추세입니다. 인구 대비 전문 개발자 비중이 높아짐에 따라, 우리나라도 오픈소스를 기반으로 한 기술 생태계가 양적, 질적으로 크게 팽창하며 새로운 기술적 전환점을 맞이하고 있습니다. 최근 인공지능 분야의 비약적인 발전, 특히 대규모 언어 모델(LLM)의 확산 과정에서도 오픈소스는 핵심적인 엔진 역할을 수행하고 있습니다. 수많은 오픈소스 대규모 언어 모델(LLM)과 데이터셋이 전격 공개되면서 특정 거대 기업이 기술을 독점하던 폐쇄적인 구조에 변화가 생기기 시작했습니다. 성능 면에서도 오픈소스 모델들이 상용 모델에 버금가는 결과물을 보여주면서, 시장의 초점은 모델 자체의 기초 개발보다는 이미 공개된 우수한 모델을 어떻게 창의적으로 활용하느냐로 이동하고 있습니다. 이는 기술의 민주화를 가속화하는 동시에 다양한 산업군에서 새로운 상업적 기회를 창출하고 있습니다. 오픈소스 생태계의 참여 주체와 보상 체계도 과거의 순수한 기여 중심에서 기업 주도의 비즈니스 모델로 변모하고 있습니다. 현재 전업으로 오픈소스에 기여하며 기업으로부터 급여를 받는 개발자들이 늘어나고 있으며, 기업들은 오픈소스를 관리형 서비스(Managed Service)로 전환하여 클라우드 환경에서 수익을 창출합니다. 이 과정에서 오픈소스 창시자와 대형 클라우드 사업자 간의 수익 배분 갈등이 발생하기도 하며, 이를 조율하기 위해 상업적 이용 범위를 제한하거나 새로운 형태의 라이선스를 도입하는 등 더욱 정교하고 현실적인 법적 대응이 이어지는 상황입니다. 국가 및 기업별 오픈소스 기여도를 살펴보면 구글이나 마이크로소프트 같은 글로벌 IT 거물들이 상위권을 차지하고 있으며, 최근에는 화웨이 등 중국 기업들의 공격적인 투자가 두드러집니다. 한국 기업들도 과거의 단순 활용 단계에서 벗어나 기여도를 점진적으로 높여가고 있으며, 정부 차원에서도 오픈소스 소프트웨어의 혁신 성장을 위한 정책적 지원을 강화하고 있습니다. 단순히 결과물을 가져다 쓰는 데 그치지 않고, 프로젝트의 핵심 개발 그룹에 참여하여 리뷰와 수정에 주도적으로 기여함으로써 국제적인 기술 영향력을 확보하려는 노력이 전방위적으로 이루어지고 있습니다. 오픈소스는 이제 단순한 무료 코드를 넘어 소프트웨어 산업의 혁신적인 개발 방법론으로 이해되어야 합니다. 비용을 절감하고 고품질의 기능을 빠르게 확보할 수 있는 검증된 체계로서의 가치가 더욱 커진 것입니다. 또한 저작권 중심이었던 과거의 논의에서 진화하여, 이제는 소프트웨어 공급망 보안(SBOM)과 같은 보안 관리 이슈가 조직의 핵심 과제로 다뤄지고 있습니다. 클라우드 시대에 접어들며 소유권과 공개의 철학이 비즈니스 논리와 충돌하는 면도 있지만, 이는 오픈소스가 산업 전반의 핵심 인프라로 성숙해가는 과정에서 겪는 필연적인 변화라 할 수 있습니다. 앞으로의 오픈소스 생태계는 AI 기술의 고도화로 인해 모델과 파라미터, 데이터셋의 공개 범위에 대한 법적·철학적 정의를 새롭게 요구받게 될 것입니다. 기술적 환경이 급변하고 자본의 논리가 생태계를 움직이는 강력한 힘이 되고 있지만, 그 중심에는 여전히 창의적인 의사결정을 내리는 개발자가 존재합니다. 기업과 개발자는 오픈소스 프로젝트가 개인의 성장과 산업적 가치를 동시에 실현할 수 있도록 투명한 소통 체계와 도전적인 개발 프로세스를 구축해야 합니다. 사용자의 요구를 정확히 포착하고 이를 빠르게 기술로 구현할 때, 오픈소스는 지속 가능한 기술 혁신의 원동력이 될 것입니다.

한국전자통신연구원오픈소스 테크데이

융합
공학·기술

EOST2022 패널토의: 개방형 오픈소스 SW 컴플라이언스 체계 구축 및 공급망 관리

현대 소프트웨어 개발 환경에서 오픈소스는 선택이 아닌 필수적인 요소로 자리 잡았습니다. 단순히 외부 코드를 활용하는 수준을 넘어, 기업들은 이를 체계적으로 관리하기 위한 전사적인 거버넌스 체계를 구축하고 있습니다. 오픈소스는 소스 코드 제공과 무상 사용, 수정 및 배포의 자유를 보장하지만, 그 이면에는 저작권과 특허라는 법적 독점권이 존재합니다. 만약 라이선스 조건을 위반할 경우 저작권 침해나 계약 위반으로 인해 손해 배상 청구 또는 제품 판매 금지라는 막대한 리스크에 직면할 수 있습니다. 따라서 기업은 라이선스 의무 사항을 철저히 지키는 컴플라이언스 절차를 수립하여 법적 분쟁을 사전에 방지해야 합니다. 과거에는 라이선스 준수가 관리의 중심이었다면, 최근에는 보안 취약점 대응이 핵심적인 화두로 떠오르고 있습니다. 오늘날의 소프트웨어는 수많은 서드파티 라이브러리와 API가 복잡하게 얽혀 있어 단일 프로그램만으로 구성되지 않습니다. 지난 2021년 발생한 Log4Shell 사태는 오픈소스의 보안 취약점이 어떻게 연쇄적인 위협으로 이어질 수 있는지 보여준 대표적인 사례입니다. 특정 오픈소스의 결함이 전체 시스템의 쉘 권한 탈취로 이어지는 등 심각한 사고를 유발할 수 있기 때문에, 기업들은 라이선스 관리를 넘어 보안 관점에서도 오픈소스를 상시 모니터링하고 신속하게 업데이트할 수 있는 체계를 갖추어야 합니다. 자동차 산업 역시 하드웨어 중심에서 SDV로 패러다임이 완전히 전환되며 오픈소스 관리의 중요성이 어느 때보다 강조되고 있습니다. 현대의 자동차는 수많은 제어 장치가 유기적으로 연결된 '바퀴 달린 컴퓨터'와 같으며, 소프트웨어의 신뢰성은 곧 고객의 생명 및 안전과 직결됩니다. 특히 자동차 공급망은 1차부터 수차 협력사까지 매우 복잡하게 얽혀 있어 어느 한 곳에서라도 오픈소스 관리에 실패하면 제품 전체의 안전성과 법적 지위가 위태로워질 수 있습니다. 따라서 제조사는 물론 모든 공급망 참여자가 높은 수준의 검증 기준을 공유하고 유기적으로 협력하여 소프트웨어의 투명성을 확보하는 것이 필수적입니다. 오픈소스 관리의 범위는 외부 배포용 제품을 넘어 기업 내부 시스템과 인프라 영역으로도 점차 확대되는 추세입니다. 그동안 내부망은 상대적으로 안전하다는 인식이 강했으나, 오픈소스 라이선스 정책의 갑작스러운 변경이나 잠재적인 보안 위협은 내부 시스템에도 치명적인 영향을 미칠 수 있습니다. 이를 효과적으로 관리하기 위해 소프트웨어 자재 명세서인 SBOM의 도입이 본격화되고 있습니다. SBOM은 소프트웨어 구성 요소를 투명하게 기록하여 투명성을 확보하고, 문제 발생 시 신속한 탐지와 대응을 가능하게 합니다. 이는 복잡해진 소프트웨어 공급망 내에서 기업 간 신뢰를 구축하는 핵심적인 수단으로 활용되고 있습니다. 글로벌 시장 진출을 노리는 기업들에게 오픈소스 관리는 이제 필수적인 규제 준수 요건이 되었습니다. 미국의 행정 명령이나 오픈소스 보안법 상정 등은 SBOM 제출을 의무화하며 투명한 소프트웨어 공급망 관리를 강력하게 요구하고 있습니다. 이러한 흐름은 비단 특정 국가에 국한되지 않고 글로벌 표준으로 확산되고 있으며, 국제 표준인 OpenChain ISO/IEC 5230 인증은 기업의 컴플라이언스 역량을 증명하는 중요한 척도가 되었습니다. 규제 당국과 고객사는 이제 제품의 기능뿐만 아니라 그 이면의 소프트웨어가 얼마나 투명하고 안전하게 관리되고 있는지를 엄격하게 평가하며 시장의 기준을 높이고 있습니다. 방대한 오픈소스와 복잡한 공급망을 수동으로 관리하는 것은 현실적으로 불가능하기 때문에, 기업들은 자동화 도구를 적극적으로 도입하고 있습니다. 실시간 검증 도구는 개발 단계에서 이슈를 즉시 발견하여 사후 수정에 드는 막대한 비용을 절감해 주며, 스캐닝 도구는 소스 코드 내의 라이선스 정보를 신속하고 정확하게 파악합니다. 특히 선도 기업들은 자체 개발한 관리 도구를 오픈소스로 공개하여 생태계 전반의 역량을 끌어올리는 데 기여하고 있습니다. 이러한 공유와 협력은 중소 규모의 기업들도 표준화된 관리 체계를 갖출 수 있도록 돕고, 결과적으로 소프트웨어 공급망 전체의 안전성과 신뢰성을 강화하는 선순환 구조를 만들어냅니다. 결국 오픈소스 관리의 성패는 개별 기업의 노력을 넘어선 연대와 커뮤니티 활동에 달려 있습니다. OpenChain 코리아 워킹 그룹과 같은 커뮤니티는 기업들이 실무적인 고충을 나누고 최신 기술 동향에 공동으로 대응하는 귀중한 장을 제공합니다. 정부와 공공 기관 역시 전문성이 부족한 조직을 위해 가이드라인을 제시하고, 서비스형 소프트웨어 형태의 관리 도구를 보급하는 등 생태계 지원을 강화해야 합니다. 오픈소스를 단순히 소비하는 주체에서 생태계에 기여하고 투명하게 소통하는 일원으로 거듭날 때, 우리 소프트웨어 산업은 더욱 견고한 신뢰를 바탕으로 혁신적인 성장을 지속할 수 있을 것입니다.

한국전자통신연구원오픈소스 테크데이

융합
공학·기술