EU 사이버복원력법(Cyber Resilience Act, CRA)은 디지털 요소가 포함된 제품을 EU 시장에 판매할 때 지켜야 할 보안 의무를 규정한 법으로, 컨테이너와 Kubernetes를 다루는 팀에도 직접 영향을 줍니다. 2026년 9월부터 보고 의무가 시작되고 2027년 12월부터 전면 시행되는데, 기업들은 기본적으로 안전한 설정을 적용하고, 소프트웨어 구성 요소 목록(SBOM)을 관리하며, 취약점이 실제로 악용되면 24시간 안에 신고해야 합니다. 또 제품 출시 후 최소 5년간 보안 업데이트를 지원해야 해서, 오래된 컨테이너 이미지도 계속 재빌드하고 관리할 파이프라인이 필요합니다. 전문가들은 최소한의 구성요소만 담은 컨테이너 이미지 사용, 런타임까지 포함한 소프트웨어 구성요소 추적, 이미지 배포 전략 점검, 공급망 가시성 확보 등을 미리 준비할 것을 권고합니다.
EU 사이버복원력법(CRA)이 컨테이너와 Kubernetes를 사용하는 클라우드 네이티브 환경에도 적용되는 보안 규제로 시행된다.
EU 시장에 상용 지원되는 컨테이너 이미지, Kubernetes 오퍼레이터, Helm 차트를 제공하는 조직은 보안 설계, 취약점 관리, 장기 보안 업데이트 의무를 지게 된다.
디지털 요소가 포함된 제품 전반에 걸쳐 보안을 '권고사항'이 아닌 '법적 의무'로 규정하려는 EU 차원의 규제 강화.
SBOM 생성 및 지속적 취약점 모니터링, 실제 악용 취약점의 24시간 내 ENISA 신고, 최소 5년간 보안 업데이트 지원 체계를 구축해야 한다.
지금부터 최소 구성 컨테이너 이미지 사용, SBOM/RBOM 자동화, 이미지 배포 전략 점검, 의존하는 이미지 유지관리자의 보안 대응 역량 파악 등을 준비해야 2027년 전면 시행에 대비할 수 있다.
본문
2024년 12월 10일 전면 발효된 EU 사이버복원력법(Cyber Resilience Act, CRA)은 EU 시장에서 판매되는 디지털 요소를 포함한 모든 제품에 대해 의무적인 사이버보안 요구사항을 정의하는 규정(EU 2024/2847)입니다. 보고 의무는 2026년 9월 11일부터 시작되며, 전면 시행은 2027년 12월 11일부터 적용됩니다. CRA는 클라우드 네이티브 애플리케이션이 수명주기 전반에 걸쳐 어떻게 빌드되고, 배포되고, 유지관리되는지에 대해 컨테이너 및 Kubernetes를 다루는 팀들에게 새로운 요구사항을 부과합니다.
클라우드 네이티브 환경에서의 CRA 적용 범위
CRA는 배포 조직이 어디에 위치해 있든, EU 고객에게 제공되는 상용 지원이 포함된 모든 컨테이너 이미지, Kubernetes 오퍼레이터, Helm 차트를 대상으로 합니다. 이 규정은 그 적용 범위를 EU 시장에서 제공되는 "디지털 요소를 포함한 제품"으로 정의하며, 여기에는 클라우드 네이티브 스택의 상당 부분이 포함됩니다.
CRA 적용 대상에는 공개적으로 배포되는 컨테이너 이미지, 상용 Kubernetes 오퍼레이터, 상용 지원이 포함된 Helm 차트, 그리고 상용 후원을 받는 오픈소스가 포함됩니다. 오픈소스 프로젝트도 영향을 받을 수 있는데, 특히 상용 후원이나 지원 계약이 있는 경우에 그렇습니다. 이 규정의 일환으로, 클라우드 네이티브 공급망 전반에 걸친 준수 체계(compliance chain)가 요구됩니다.
컨테이너 팀을 위한 주요 CRA 요구사항
CRA는 팀이 컨테이너 인프라를 구축하고 운영하는 방식에 직접 영향을 미치는 요구사항들을 도입합니다. 이러한 범주에는 다음이 포함됩니다:
보안 우선 설계(Security by design)와 기본값 – 강화된 베이스 이미지, 최소한의 공격 표면, 안전한 기본 설정이 규제 요구사항이 됩니다.
취약점 관리 – SBOM 데이터, 지속적인 모니터링, 그리고 악용된 취약점에 대한 24시간 이내 ENISA 신고.
장기 보안(5년 이상) – 지속적인 보안 업데이트, 재빌드 파이프라인, 제품 수명 동안의 하위 호환 패치.
이 법은 제품이 시장에 출시되기 전에 불필요한 구성 요소를 제거하고 안전한 설정을 적용해 베이스 이미지를 강화할 것을 요구합니다. 이 규정은 클라우드 네이티브 커뮤니티에서 오랫동안 주장해온 내용, 즉 최소한의 공격 표면과 안전한 기본값이 이제 권고사항이 아닌 규제 요구사항이 되었다는 것을 명문화합니다.
CRA에 따라 조직은 소프트웨어 구성 요소 명세서(Software Bill of Materials, SBOM) 데이터를 유지하고, 취약점을 지속적으로 모니터링하며, 정해진 기한 내에 이를 해결해야 합니다. 제14조에 따르면, 실제로 악용되고 있는 취약점은 이를 인지한 시점으로부터 24시간 이내에 유럽연합 사이버보안청(European Union Agency for Cybersecurity, 이전 명칭인 European Network and Information Security Agency의 약자 ENISA를 계속 사용함)에 조기 경보 통지를 해야 하며, 이어서 72시간 이내에 정식 통지를 해야 합니다. 이는 조직의 탐지 및 사고 대응 프로세스가 여러 클러스터에 걸쳐 대규모로 작동해야 함을 시사합니다.
CRA 제13조에 따라, 제품은 시장에 출시된 날로부터 최소 5년간, 혹은 그 기간이 더 짧다면 예상 제품 수명 동안 보안 업데이트를 제공해야 합니다. 컨테이너 팀 입장에서 이는 고객 환경에 배포된 컨테이너 버전을 추적하고, 오래된 이미지를 위한 재빌드 파이프라인을 유지하며, 출시 후 수년이 지나 발견된 보안 문제를 해결하는 동안에도 하위 호환성을 보장해야 함을 의미합니다.
CRA와 Kubernetes 배포
Kubernetes 환경이 CRA의 영향을 받는 이유는 많은 프로덕션 배포가 서로 다른 출처의 다양한 컨테이너 이미지를 포함하며, 각각 보안 관행과 업데이트 방식이 다르기 때문입니다. 여기에는 애플리케이션, 컨테이너, 사이드카, 모니터링 에이전트, 오퍼레이터가 포함됩니다.
또한 서드파티 컨트롤러나 오퍼레이터를 배포할 때, 팀은 잠재적인 CRA 의무를 함께 물려받게 됩니다. 이 규정의 공급망 요구사항은 의존하는 대상의 보안 상태와 업데이트 방식을 이해하는 것이 매우 중요하다는 점을 정의합니다.
CRA 준수 준비하기
팀은 CRA 요구사항에 부합하는 클라우드 네이티브 컴퓨팅 재단(Cloud Native Computing Foundation, CNCF) 생태계의 관행을 채택함으로써 CRA 준수를 준비하는 것이 권장됩니다. 다음 네 가지 영역이 실질적인 출발점이 됩니다:
최소한의 컨테이너 – 상속된 취약점이 없는 안전한 베이스 이미지에서 시작한 다음, 불필요한 소프트웨어를 제거하고 전체 공격 표면을 줄여 애플리케이션을 강화합니다.
런타임 구성 요소 명세서(RBOM)로 보완된 소프트웨어 구성 요소 명세서(SBOM) – 정적인 인벤토리를 넘어서야 합니다. CI/CD 파이프라인에 자동화된 SBOM 및 RBOM 생성을 통합하면 설치된 구성 요소와 실제 런타임에서 실행되는 구성 요소를 구분하는 데 도움이 됩니다.
이미지 배포 전략 – 보안 업데이트가 사용자에게 어떻게 전달되는지, 어떤 버전이 어디에 배포되는지, 레지스트리가 환경 전반에 걸쳐 정책을 어떻게 시행하는지 점검합니다.
공급망 가시성 – 의존하는 이미지를 누가 유지관리하는지, 그들의 보안 업데이트 주기는 어떤지, 그리고 중요한 의존성에 대해서는 대체 전략이 필요한지를 파악합니다.
CRA와 클라우드 네이티브 보안의 미래
CRA는 소프트웨어 보안을 모범 사례가 아닌 근본적인 제품 요구사항으로 우선시하는 규제상의 전환을 나타냅니다. 클라우드 네이티브 생태계에 있어 이는 보안 관행을 대규모로 운영화하는 데 있어 여러 과제를 만들어내지만, 동시에 커뮤니티가 최소한의 컨테이너, 공급망 보안, 자동화된 취약점 관리를 중심으로 발전시켜온 검증된 접근 방식들을 뒷받침하기도 합니다.
EU 시장에 컨테이너화된 제품을 배포하는 조직들은 적응할 시간이 있지만, 준수를 위해 필요한 아키텍처 및 운영 패턴을 효과적으로 구현하는 데는 시간이 걸리는 경우가 많습니다. 컨테이너 보안 태세, SBOM 생성, 취약점 대응 프로세스에 대한 계획을 지금부터 시작하는 것은 팀이 클라우드 네이티브 플랫폼을 구축하고 발전시켜 나가면서 정보에 입각한 결정을 내리는 데 도움이 됩니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
