노르딕, nRF 클라우드에 펌웨어 취약점 스캔 추가…EU 사이버 복원력법 대응 노림

• 노르딕 세미컨덕터가 nRF 클라우드에 펌웨어 취약점 스캔 기능을 추가함

  • 목적은 EU 사이버 복원력법(Cyber Resilience Act, CRA) 대응임
  • 커넥티드 기기 제조사가 자체 CVE 식별 시스템을 따로 만들지 않아도 규정 준수에 필요한 기본 체계를 갖추게 하겠다는 방향임

• 동작 방식은 소프트웨어 구성요소 목록(SBOM)을 올리면, 그 안에 포함된 공통 취약점 및 노출(CVE)을 자동으로 찾아주는 구조임

  • 개발자가 각 소프트웨어 버전의 SBOM을 nRF 클라우드에 업로드함
  • 이후 시스템이 지속적으로 자동 스캔을 돌림
  • 신규 CVE가 등록될 때마다 해당 펌웨어가 영향을 받는지 실시간으로 확인할 수 있음

• 단순히 “취약점 있음”만 보여주는 기능이 아니라, 실제 운영 중인 기기의 노출 범위까지 분석함

  • nRF 클라우드에 연결된 현장 기기 전체를 대상으로 어떤 취약점에 얼마나 노출됐는지 볼 수 있음
  • 제조사는 제한된 보안 리소스를 어디에 먼저 써야 할지 우선순위를 잡을 수 있음
  • 이게 중요한 이유는 IoT 기기가 한 번 팔리고 끝나는 게 아니라, 수년 동안 현장에서 계속 살아 있기 때문임

• 노르딕은 이 기능을 기존 nRF 클라우드의 펌웨어 무선 업데이트(FOTA) 서비스와 연결함

  • 취약점을 찾고 끝나는 게 아니라, 현장에 배포된 기기에 보안 패치를 대규모로 원격 배포할 수 있음
  • 취약점 식별, 보안 패치 배포, 조치 완료 확인까지 한 시스템에서 처리함
  • 전 과정에는 감사 추적(Audit Trail)이 남아서, 나중에 “우리가 언제 무엇을 조치했는지” 증명할 수 있음

• 제조사 입장에서는 별도 인프라 없이 nRF 클라우드 하나로 CRA의 핵심 요구사항을 처리하는 그림이 됨

  • 취약점 모니터링
  • 보안 업데이트 제공
  • 운영 중 기기의 노출 현황 추적
  • 패치 배포와 조치 완료 확인

• 이건 특히 저전력 무선 기기, 산업용 IoT, 장기간 현장에 깔리는 커넥티드 제품 개발팀에 꽤 실무적인 이슈임

  • 보안 규제가 강해질수록 “펌웨어 만들고 납품하면 끝”이라는 모델은 점점 어려워짐
  • SBOM, CVE 추적, FOTA, 감사 로그가 제품 운영의 기본 구성요소로 들어오는 흐름임

---

기술 맥락

• 노르딕이 고른 방식은 SBOM을 기준점으로 삼는 거예요. 펌웨어에 어떤 오픈소스 라이브러리와 구성요소가 들어갔는지 알아야 신규 CVE가 나왔을 때 영향을 받는 제품과 버전을 빠르게 찾을 수 있거든요.

• 여기서 중요한 건 취약점 탐지와 패치 배포를 분리하지 않았다는 점이에요. 스캔만 제공하면 제조사가 다시 배포 시스템을 따로 붙여야 하는데, nRF 클라우드는 FOTA와 연결해서 현장 기기에 바로 보안 패치를 밀어 넣는 흐름을 만들어요.

• EU 사이버 복원력법 때문에 제조사는 제품 출시 후에도 계속 책임을 져야 해요. IoT 기기는 수명이 몇 년씩 가는 경우가 많아서, 출시 당시에는 문제가 없던 펌웨어도 나중에 등록된 CVE 때문에 갑자기 리스크가 될 수 있어요.

• 감사 추적이 들어간 것도 규정 대응 관점에서 중요해요. 실제로 취약점을 고쳤는지, 어느 버전에 패치를 배포했는지, 어떤 기기가 조치됐는지를 남겨야 나중에 컴플라이언스 증빙이 가능하거든요.