--- title: "한국 보안 정책을 글로벌 오픈소스 표준으로 연결할 OpenSSF 초대 앰버서더 선정" published: 2026-05-20T01:05:04.204Z canonical: https://jeff.news/article/2871 --- # 한국 보안 정책을 글로벌 오픈소스 표준으로 연결할 OpenSSF 초대 앰버서더 선정 고려대·경기대 겸임교수인 최윤성 교수가 리눅스재단 산하 오픈소스보안재단의 초대 앰버서더 13인에 한국인으로는 유일하게 이름을 올렸다. 핵심은 단순한 개인 선정 뉴스가 아니라, 한국에서 논의 중인 AI-SBOM과 코드 기반 컴플라이언스가 글로벌 오픈소스 보안 표준 논의와 직접 맞물리기 시작했다는 점이다. - 리눅스재단 산하 오픈소스보안재단(OpenSSF)이 초대 앰버서더 13인을 발표했는데, 최윤성 교수가 한국인으로는 유일하게 포함됨 - 최 교수는 고려대·경기대 겸임교수이자 국가AI전략위원회 분과위원으로 활동 중임 - 이번 앰버서더는 전 세계 개발자에게 오픈소스 보안의 중요성과 안전한 개발 프랙티스를 전파하는 역할임 - 같이 이름을 올린 멤버 구성이 꽤 빡셈 - TUF, in-toto 같은 글로벌 보안 프레임워크를 만든 저스틴 카포스 뉴욕대 교수도 포함됨 - 레드햇 수석 아키텍트 로만 주코프, JetBrains 커뮤니티 총괄 캐서린 드럭먼, Rust Foundation 보안 엔지니어 월터 피어스도 들어감 - 그러니까 단순 홍보대사 느낌이 아니라, 오픈소스 공급망 보안 쪽 실무·표준 플레이어들이 모인 그룹에 가까움 > [!IMPORTANT] > 포인트는 '한국인 1명 선정' 자체보다, 한국에서 논의되는 AI-SBOM과 보안 정책이 OpenSSF 같은 글로벌 표준 논의와 직접 연결될 수 있다는 점임. - 최 교수의 역할은 한국 보안 정책을 글로벌 오픈소스 생태계 언어로 번역해주는 쪽에 가까움 - 기사에서 강조된 키워드는 AI-SBOM, 코드 기반 컴플라이언스(Compliance-as-Code), VEX임 - 규제 문서만 만드는 게 아니라, 개발자가 실제로 적용할 수 있는 자동화된 자재명세서와 위험 평가 체계로 풀어내겠다는 흐름임 - 배경에는 2025년 11월 서울에서 열린 'OpenSSF 커뮤니티 데이 코리아'가 있음 - 최 교수는 당시 기조연설에서 '오픈소스 개발자의 보안 전략'을 다뤘음 - EU CRA(사이버복원력법) 같은 각국 법제화 흐름 속에서 자동화된 SBOM 관리와 VEX 기반 위험 평가를 강조했음 - 행사에는 과기정통부, OpenSSF 커뮤니티 매니저 람 이옝가, 리눅스재단 APAC 부사장 쥴리안 고든 등도 참석함 - 기사에서 제일 현실적인 대목은 '보안은 거창한 규제만으로 안 된다'는 메시지임 - 최 교수는 AI 시대 보안이 전 세계 오픈소스 생태계 구성원의 자발적 실천과 연대로 완성된다고 봄 - 한국에서 고민해 온 AI-BOM 같은 실용 프레임워크를 글로벌 개발 문화에 자연스럽게 녹이는 게 목표라고 밝힘 --- ## 기술 맥락 - SBOM이 중요한 이유는 취약점 대응의 출발점이 '우리 제품에 뭐가 들어갔는지 아는 것'이기 때문이에요. 라이브러리 하나가 터졌을 때 영향 범위를 찾는 데 하루씩 걸리면, 이미 운영 리스크가 커진 뒤거든요. - VEX는 SBOM의 다음 단계에 가까워요. 취약점 목록만 있으면 모든 항목이 위험해 보이지만, 실제 제품 구성에서는 악용이 불가능한 경우도 있어요. 그래서 '존재하는 취약점'과 '실제로 조치해야 하는 위험'을 나누는 게 중요해요. - Compliance-as-Code가 나오는 이유는 규제가 점점 개발 프로세스 안으로 들어오기 때문이에요. 문서로만 컴플라이언스를 관리하면 배포 속도와 안 맞고, 결국 자동 검사와 정책 코드로 옮겨야 팀이 버틸 수 있어요. - 이번 선정은 한국 보안 정책이 글로벌 오픈소스 커뮤니티와 맞물릴 수 있는 접점이라는 의미가 있어요. 특히 AI-SBOM처럼 아직 표준이 굳지 않은 영역에서는 초기에 어떤 실무 모델을 제안하느냐가 꽤 크게 작용해요. ## 핵심 포인트 - OpenSSF 초대 앰버서더 13인 중 한국인은 최윤성 교수가 유일하게 선정됨 - 저스틴 카포스, 레드햇, JetBrains, Rust Foundation 보안 전문가들과 함께 활동함 - AI-SBOM, VEX, 코드 기반 컴플라이언스를 글로벌 가이드라인과 조율하는 역할이 핵심임 - 한국 보안 정책을 단순 규제 대응이 아니라 오픈소스 생태계의 실천 방식으로 연결하려는 흐름임 ## 인사이트 오픈소스 보안은 이제 보안팀만의 일이 아니라 개발 조직의 공급망 관리 문제가 됐음. 한국 쪽 정책 논의가 글로벌 표준과 따로 놀지 않게 연결되는 건 꽤 중요한 신호임.