EU 사이버 복원력법이 컨테이너 팀에도 적용된다

상업 지원 컨테이너 이미지도 EU 사이버 복원력법(CRA)의 대상일 수 있습니다. 래피드포트(RapidFort)의 솔루션 아키텍트 제이컵 마몰리티(Jacob Mammoliti)는 적용 범위와 일정을 이렇게 설명합니다. 보고 의무는 9월 11일 시작됐고, 전면 시행은 2027년 12월 11일입니다. 기사는 그의 설명만 전하고 반대쪽 해석은 싣지 않아, 누가 맞는지 저는 판단할 수 없습니다. 제품 이름보다 지원과 배포 방식이 적용 여부를 바꿀 수 있다는 점에 눈이 멈췄습니다.

EU 사이버 복원력법(CRA)의 보고 규칙과 공급망 취약점 관리를 다룬 기사와 이어집니다. 이번에는 상업 지원 컨테이너와 쿠버네티스 운영자, 헬름 차트까지 범위를 넓힙니다. 특히 배포 버전 유지와 오래된 이미지 재빌드 책임을 짚습니다.

마몰리티의 설명대로라면, 보안 의무는 취약점 신고에 그치지 않습니다. 소프트웨어 자재 명세서(SBOM) 관리, 지속적인 취약점 모니터링, 안전한 기본 설정도 요구합니다. 제품 출시 뒤 최소 5년간 보안 업데이트를 제공해야 합니다. 배포가 끝이 아니라 유지 관리가 의무로 따라온다는 점이 반갑습니다.

이 설명이 맞다면, 실제 악용된 취약점은 발견 후 24시간 안에 신고해야 합니다. 조기 경고 대상은 사이버보안청(ENISA)이며, 전체 통지는 72시간 안에 해야 합니다. 예상 제품 수명이 5년보다 짧으면 업데이트 의무도 그 수명까지만입니다. 그래서 고객이 쓰는 버전을 추적하고 구버전 이미지를 다시 빌드할 절차가 팀의 부담을 바꿉니다.

EU 고객에게 제공하는 컨테이너 이미지와 쿠버네티스 운영자, 헬름 차트를 먼저 목록으로 만드십시오. 항목마다 상업 지원 여부와 고객 환경에 배포된 버전을 기록하십시오. 취약점 하나를 가정해 해당 버전을 찾아 업데이트할 수 있는지 시험하면, 추적 절차의 빈틈이 보입니다.

적용 범위를 확인하는 일과 오래된 버전의 재빌드 절차를 시험하는 일 가운데 무엇부터 점검하시겠습니까?