에이스랩스, EU CRA 대응 'CRAdle' 출시…제조사 보안사고 보고 지원

사이버보안 전문 자문사 에이스랩스(ACE LABS)는 유럽연합(EU) 사이버복원력법(Cyber Resilience Act·CRA) 시행에 대응해 제조사의 취약점·보안사고 보고 의무 이행을 지원하는 서비스형 제품보안사고대응(PSIRT-as-a-Service) 플랫폼 'CRAdle(크래들)'을 출시했다고 24일 밝혔다. CRAdle은 CRA 제14조에서 요구하는 취약점 및 보안사고 보고 체계 구축부터 보고 일정 관리, 증적 관리, 제출 준비까지 전 과정을 지원한다. 제조사가 규정된 기한 내 보고를 완료할 수 있도록 업무 절차를 체계화하고 대응 과정을 관리할 수 있도록 설계됐다. 9월 11일부터 CRA 제14조 보고 의무 시행…제조사 대응 부담 커져 CRA 제14조에 따른 보고 의무는 오는 9월 11일부터 적용된다. EU 시장에 디지털 요소를 포함한 제품을 공급하는 제조사는 악용되고 있는 취약점이나 중대한 보안사고를 인지한 후 24시간 이내 조기 경보, 72시간 이내 상세 통지, 이후 최종 보고서를 제출해야 한다. 모든 보고는 유럽사이버보안청(ENISA)이 운영하는 단일 보고 플랫폼(Single Reporting Platform·SRP)을 통해 영어로 제출해야 한다. 관련 의무를 위반할 경우 최대 1500만유로 또는 직전 회계연도 전 세계 연매출의 2.5% 중 더 큰 금액까지 과징금이 부과될 수 있다. 에이스랩스는 국내 제조사를 대상으로 CRA 대응 컨설팅을 수행하면서 △보고 프로세스 부재 △담당자의 경험 부족 △제한된 대응 시간 등의 공통적인 어려움을 확인하고 이를 반영해 CRAdle을 개발했다. CRAdle은 규제 명칭인 'CRA'와 요람을 뜻하는 'Cradle'을 결합한 이름이다. 보고체계 구축부터 증적 관리까지…CRA 대응 전 과정 지원 CRAdle의 주요 기능은 사내 보고체계 수립, 사고·취약점 검토, 증거 기록 관리 등이다. 회사 조직에 맞춰 R&R을 배정하고, 전용 보고절차서를 자동 생성하는 보고 체계(R&R) 화면(사진 제공: 에이스랩스) 먼저 기업 조직에 맞춰 역할과 책임(R&R)을 배정하고 규제 대응에 필요한 내부 보고 절차를 구축할 수 있도록 지원한다. 전용 보고절차서를 생성해 수립된 절차가 실제 사고 발생 시 작동할 수 있도록 시스템화한다. 몇 가지 질문으로 보고 대상 사고·취약점인지 함께 판단해 주는 '사고·취약점 검토' 화면(사진 제공: 에이스랩스) 사고나 취약점 발생 ...