블랙덕, 오픈소스 리스크 웨비나서 ‘코드베이스당 취약점 581건’ 다룬다

• 블랙덕과 KMS테크놀로지가 7월 9일 오후 2시 오픈소스 보안 리스크 웨비나를 엶

  • 주제는 ‘2026 OSSRA 리포트로 보는 오픈소스 보안 리스크와 대응 전략’임
  • 디지털데일리 웨비나 플랫폼에서 진행되고, 국내 기업이 적용할 대응 전략을 다룰 예정임

• 행사 홍보 기사이긴 한데, 공개된 수치가 꽤 빡셈

  • 블랙덕에 따르면 코드베이스당 취약점 수가 지난해보다 107% 늘어 평균 581건으로 나타남
  • 고위험 취약점을 가진 코드베이스 비율은 78%임
  • 라이선스 충돌이 있는 코드베이스는 68%로 조사됨
  • 2년 이상 관리가 중단된 ‘좀비 컴포넌트’를 포함한 코드베이스는 93%까지 올라감

• 웨비나 1부는 최신 오픈소스 리스크 지형을 훑는 세션임

  • 오픈소스 취약점 증가, 코드베이스 복잡성, 라이선스 이슈, 공급망 공격을 다룸
  • 유지보수 부채도 핵심 주제로 들어감
  • 클라우드, 데브옵스, 인공지능 기반 개발 환경 확산으로 오픈소스 사용 범위가 더 넓어진 배경도 깔려 있음

• 2부는 실무 점검 항목과 실행 로드맵 쪽에 초점이 맞춰짐

  • 인공지능 생성 코드 유입을 어떻게 관리할지 다룸
  • 소프트웨어 구성요소 명세서 관리, 좀비 오픈소스 퇴출, 외주·협력사 산출물 검증이 포함됨
  • 전사 오픈소스 거버넌스 구축도 주요 의제임

• KMS테크놀로지가 강조하는 메시지는 “개발 부서만의 일이 아니다”임

  • 보안팀은 취약점과 공급망 공격을 봐야 함
  • 법무팀은 라이선스 충돌을 봐야 함
  • 구매·사업 조직은 외주 산출물과 협력사 리스크까지 같이 봐야 함
  • 결국 오픈소스 관리는 개발 편의성 문제가 아니라 회사 전체 리스크 관리 문제가 됨

• 국내 개발팀 입장에서는 당장 점검할 포인트가 분명함

  • 제품별 의존성 목록이 최신인지 확인해야 함
  • 2년 이상 관리가 끊긴 라이브러리를 계속 쓰는지 봐야 함
  • 외주나 협력사가 넘긴 코드의 오픈소스 출처와 라이선스를 검증해야 함

---

기술 맥락

• 이 기사에서 핵심은 오픈소스를 쓰느냐 마느냐가 아니라, 조직이 오픈소스를 얼마나 알고 쓰느냐예요. 평균 취약점 581건이라는 숫자는 의존성 목록이 없으면 대응할 대상도 못 찾는다는 뜻에 가까워요.

• SBOM이 자꾸 나오는 이유도 여기에 있어요. 제품 안에 어떤 라이브러리와 버전이 들어갔는지 명세화해야, 새 취약점이 공개됐을 때 영향 범위를 빠르게 좁힐 수 있거든요.

• 좀비 컴포넌트는 기능이 잘 돌아간다는 이유로 방치되기 쉬워요. 하지만 유지보수가 끊긴 라이브러리는 취약점 패치가 늦거나 아예 안 나올 수 있어서, 시간이 지날수록 교체 비용과 보안 리스크가 같이 커져요.

• 전사 거버넌스가 필요한 이유는 리스크 종류가 하나가 아니기 때문이에요. 개발팀은 빌드와 호환성을 보고, 보안팀은 취약점을 보고, 법무팀은 라이선스를 봐야 해서 한 팀의 체크리스트만으로는 구멍이 생겨요.