에이스랩스, 국내 최초 EU 사이버복원력법(CRA) 보고 의무 지원 보안 대응 서비스 '크래들(CRAdle)' 출시

국내 대표 사이버보안 전문 자문사 ACE LABS(주식회사 에이스랩스, 대표 노민석)은 오늘, EU 사이버복원력법(Cyber Resilience Act, 이하 CRA) 시행에 대응해, 제조사의 취약점·보안사고 보고 의무 이행을 처음부터 끝까지 전과정을 원스톱으로 지원하는 서비스형 제품보안대응(PSIRT-as-a-Service, Product Security Incident Response Team as a Service) 플랫폼인 'CRAdle(크래들)'을 출시했다고 밝혔다.

크래들(CRAdle)은 CRA 제14조에서 요구하는 취약점 및 보안사고 보고 체계 구축부터 보고 일정 관리, 증적 관리, 제출 준비까지 전 과정을 지원하는 서비스다. 제조사가 규정된 기한 내에 보고를 완료할 수 있도록 업무 절차를 체계화하고, 대응 과정 전반을 관리할 수 있도록 설계됐다.

9월 11일부터 CRA 제14조 보고 의무 시행…제조사 대응 부담 커져

EU CRA 제14조에 따른 보고 의무는 2026년 9월 11일부터 적용된다. 이에 따라 EU 시장에 디지털 요소를 포함한 제품을 공급하는 제조사는 악용되고 있는 취약점 또는 중대한 보안사고를 인지한 후 24시간 이내 조기 경보, 72시간 이내 상세 통지, 이후 최종 보고서를 제출해야 한다. 모든 보고는 유럽사이버보안청(ENISA)이 운영하는 단일 보고 플랫폼(Single Reporting Platform, SRP)을 통해 영어로 제출해야 한다.  CRA는 이러한 의무를 위반할 경우 최대 1,500만 유로 또는 직전 회계연도 전 세계 연매출의 2.5% 중 더 큰 금액까지 과징금을 부과할 수 있도록 규정하고 있다.

그러나 국내 제조사의 경우 제품보안사고 대응 조직(PSIRT) 운영 경험이 부족한 곳이 많아, 보고 체계 구축과 내부 승인 절차 마련, 보고 문서 작성 등을 짧은 시간 안에 수행해야 하는 부담이 크다.

에이스랩스(ACE LABS)는 다수의 국내 제조사를 대상으로 CRA 대응 컨설팅을 수행하는 과정에서 보고 프로세스 부재, 담당자의 경험 부족, 제한된 대응 시간 등의 공통적인 어려움을 겪고 있다는 점을 확인했으며, 이러한 현장의 요구를 반영해 크래들(CRAdle)을 개발했다. 서비스명은 규제(CRA)와 요람(Cradle)을 합친 것으로, 아직 준비되지 않은 제조사의 규제 대응을 처음부터 품어 성숙할 때까지 함께 키운다는 지향을 담았다.

보고체계 구축부터 증적 관리까지…CRA 대응 전 과정 지원

EU 사이버복원력법(CRA) 보고 의무를 지원하는 보안 대응 서비스인 '크래들(CRAdle)'의 주요 기능은 다음과 같다.

ž   사내 보고체계 수립: 기업 조직에 맞는 보고 체계와 규제가 요구하는 내부 문서를 에이스랩스의 규제 지식 자산으로 구축해 전달하고, 수립된 절차가 실제로 작동하도록 시스템이 뒷받침한다.

▲ 회사 조직에 맞춰 R&R을 배정하고, 전용 보고절차서를 자동 생성하는 보고 체계(R&R) 화면

ž   사고·취약점 검토: 보안 전문가가 아니면 발생한 사안이 CRA상 보고 대상인지 판단하기 쉽지 않다. 크래들(CRAdle)은 몇 가지 질문을 통해 해당 사안이 보고해야 할 사고(Incident)인지 취약점(Vulnerability)인지, 또 규제상 신고 대상에 해당하는지 여부를 함께 판단하도록 도와, 담당자가 대응 초기부터 올바른 방향을 잡을 수 있도록 지원한다.

▲ 몇 가지 질문으로 보고 대상 사고·취약점인지 함께 판단해 주는 ‘사고·취약점 검토’ 화면

ž   증거 기록 관리: 사고 대응 전 과정을 감사 가능한 기록으로 축적하여, 향후 규제기관의 점검이나 감사 시 "절차에 따라 대응”한 규정 준수 여부를 입증할 수 있도록 지원한다.

▲ 누가·언제·무엇을 했는지 전 과정을 감사 가능한 기록으로 남기는 타임라인 화면

특히 크래들(CRAdle)은 국내 제조사를 위해 한국어 기반 사용자 환경과 국내 기업의 의사결정 절차를 고려한 업무 프로세스를 제공하며, 기업의 취약점 및 사고 정보가 외부로 불필요하게 노출되지 않도록 고객이 허용한 범위 내에서만 데이터를 처리하는 보안 구조를 적용했다.

에이스랩스, 규제를 잘 아는 전문가가 제조사 입장에서 지원

에이스랩스 노민석 대표는 LG전자에서 20년간 근무하며 제조 현장의 생리를 누구보다 깊이 체득한 소프트웨어 개발 리더 출신이다. 재직 당시 Software Architect(설계), SDET(테스트), Security Specialist(보안전문가) 세 개 분야 인증을 LG전자 내에서 최초로 취득했다. 이후 글로벌 시험·인증기관 티유브이슈드(TÜV SÜD)에서 사이버보안 팀장과 상무를 역임하며 국제 사이버보안 규제와 인증 업무를 수행한 전문가다.

에이스랩스 노민석 대표는 "CRA 보고 의무는 제조사에게 낯설고 무거운 과제이지만, 처음부터 완벽하게 준비된 회사는 없다. 국내 제조업체를 컨설팅하며 동일한 문제를 반복적으로 마주쳤고, 그때마다 개별적으로 해결해온 방식을 어떤 기업이든 활용할 수 있는 체계와 시스템으로 전환할 수 있도록 지원하고자 크래들(CRAdle)을 개발하게 되었다"라고 강조하며, "이를 통해 국내 제조 기업들이 규제 대응 체계 수립부터 첫 보고 완주까지 전 과정에서 시행착오를 줄이고 기한 내 보고를 완료할 수 있도록 지원하는 것이 목표다"라고 강조했다.

ACE LABS는 인증기관이 아닌 독립 자문사로서 제조사의 규제 준비와 대응을 지원·자문하는 역할을 수행한다. 보고 의무의 법적 주체는 제조사이며, ENISA에 대한 최종 제출 역시 제조사가 직접 수행한다. CRAdle은 제출 시점까지의 모든 준비 과정을 지원하고 제출 절차를 안내한다.

CRAdle은 CRA 보고 대응을 시작으로 향후 취약점 상시 모니터링, SBOM(Software Bill of Materials)/VEX(Vulnerability Exploitability eXchange) 관리, 표준 개정 대응 등으로 서비스 영역을 확대해 나갈 계획이다. 한편 EU CRA는 2027년 12월 11일 전면 시행된다.