레드펜소프트, 개발부터 운영까지 묶는 소프트웨어 공급망 보안 플랫폼 출시

• 레드펜소프트가 소프트웨어 공급망 보안 플랫폼 X스캔 시큐어 애셋을 출시함

  • 개발부터 운영까지 소프트웨어 자산을 하나의 워크플로우로 관리하는 제품임
  • 2026 상반기 기술파트너 세미나에서 X스캔 제품군의 브랜드 체계와 사업 방향도 같이 공개함

• 핵심 문제의식은 이제 오픈소스 취약점 스캔만으로는 부족하다는 것임

  • 기업은 외부에서 소프트웨어를 반입하고, 내부 시스템에 설치하고, 운영 서버에 배포하고, 실행 중에도 계속 변경을 겪음
  • 그래서 “개발할 때 봤던 구성요소”와 “운영 서버에서 실제로 도는 구성요소”가 같은지 확인해야 함

• 기사에서 강조한 키워드는 SBOM, VEX, 배포 SBOM, 런타임 SBOM임

  • SBOM은 소프트웨어 구성요소 명세서로, 어떤 라이브러리와 구성요소가 포함됐는지 식별하는 기반임
  • VEX는 발견된 취약점이 실제 위험한지 여부를 판단하는 데 쓰임
  • 배포 SBOM과 런타임 SBOM은 운영 환경에서 실제 배포·실행 중인 구성요소를 확인하는 쪽에 초점이 있음

• X스캔 제품군은 역할별로 세 갈래로 정리됨

  • X스캔 서플라이 체인은 개발·반입 소프트웨어의 공급망 검증을 담당함
  • X스캔 서버 런타임은 운영 서버 자산과 실행환경의 보안 가시성을 확보함
  • X스캔 시큐어 애셋은 개발·반입·운영환경을 하나의 워크플로우로 통합하는 오픈소스 자산관리 플랫폼임

• 레드펜소프트는 이 시장을 특정 개발 단계의 보안 문제가 아니라 기업 전체 소프트웨어 자산 신뢰성 문제로 보고 있음

  • 배환국 대표는 모든 소프트웨어 자산의 신뢰성과 운영 안정성을 확보하는 과제로 확대되고 있다고 설명함
  • 파트너사와 기술·영업 협력을 강화해 통합 소프트웨어 공급망 보안 시장을 넓히겠다는 계획도 밝힘

• 개발팀과 보안팀 입장에서는 “운영 중인 서버에 실제로 뭐가 떠 있나”를 보는 게 점점 중요해짐

  • 빌드 시점 보고서만 들고 있으면 배포 후 바뀐 구성요소나 서버별 노출 상태를 놓칠 수 있음
  • 특히 여러 팀이 각자 배포하는 환경에서는 런타임 기준 자산 가시성이 없으면 우선순위 판단이 꽤 고통스러워짐

---

기술 맥락

• 이 제품이 잡으려는 문제는 공급망 보안을 개발 단계의 스캔 결과로만 보지 말자는 거예요. 실제 회사 환경에서는 외부 소프트웨어를 들여오고, 서버에 올리고, 운영 중에 패치하거나 설정을 바꾸기 때문에 처음 만든 목록만 믿기 어렵거든요.

• SBOM은 출발점으로는 좋지만 그것만으로 충분하지 않아요. 어떤 구성요소가 들어 있는지는 알려줘도, 그 취약점이 실제 우리 제품 경로에서 실행되는지까지 말해주지는 않기 때문이에요. 그래서 VEX와 런타임 기준 정보가 같이 필요해져요.

• 런타임 SBOM이 중요한 이유는 운영 서버가 개발자의 의도와 다르게 변할 수 있기 때문이에요. 이미지가 바뀌거나 패키지가 추가되거나 서버별 배포 상태가 어긋나면, 개발 시점의 보안 판단이 운영 환경에서는 틀릴 수 있어요.

• 레드펜소프트가 제품군을 공급망 검증, 서버 런타임, 통합 자산관리로 나눈 것도 이 흐름과 맞아요. 보안팀이 정말 필요한 건 취약점 수치 하나가 아니라, 어떤 자산이 어떤 위험에 노출됐고 지금 무엇을 먼저 고쳐야 하는지 보는 관점이에요.