에이스랩스, 제조사 CRA 대응 지원 플랫폼 '크래들' 공개

에이스랩스(대표 노민석)는 24일 EU 사이버복원력법(CRA) 대응을 위한 서비스형 제품보안 대응 플랫폼 '크래들(CRAdle)'을 출시했다.

크래들은 CRA 제14조에서 규정한 취약점 및 보안사고 보고 체계 구축을 비롯해 보고 일정 관리, 증적 관리, 제출 준비 등 보고 절차 전반을 지원하는 서비스다. 제조사가 규정된 기한 내 보고를 완료할 수 있도록 업무 절차를 체계화하고 대응 과정을 관리할 수 있도록 설계됐다.

EU CRA 제14조에 따른 취약점 및 보안사고 보고 의무는 오는 9월 11일부터 적용된다.

이에 따라 EU 시장에 디지털 요소를 포함한 제품을 공급하는 제조사는 악용되고 있는 취약점이나 중대한 보안사고를 인지한 뒤 24시간 이내 조기 경보, 72시간 이내 상세 통지, 이후 최종 보고서를 제출해야 한다.

모든 보고는 유럽사이버보안청(ENISA)이 운영하는 단일 보고 플랫폼을 통해 영어로 제출해야 한다.

CRA는 보고 의무를 위반할 경우 최대 1500만 유로 또는 직전 회계연도 전 세계 연매출의 2.5% 가운데 더 큰 금액을 과징금으로 부과할 수 있도록 규정하고 있다.

에이스랩스는 국내 제조사를 대상으로 CRA 대응 컨설팅을 수행하는 과정에서 보고 프로세스 부재와 담당자의 대응 경험 부족, 제한된 대응 시간 등이 공통적인 어려움으로 확인돼 이를 반영해 크래들을 개발했다고 설명했다.

크래들의 주요 기능은 사내 보고 체계 수립, 사고·취약점 검토, 증거 기록 관리 등이다. 한국어 기반 사용자 환경을 제공하며 국내 기업의 의사결정 절차를 고려한 업무 프로세스를 적용했다. 취약점과 사고 정보는 고객이 허용한 범위 내에서만 처리하도록 보안 구조를 설계했다.

에이스랩스는 인증기관이 아닌 독립 자문사로 제조사의 규제 준비와 대응을 지원하는 역할을 수행한다. 보고 의무의 법적 주체와 ENISA에 대한 최종 제출은 제조사가 직접 수행하며, 크래들은 제출 전까지의 준비 과정과 제출 절차를 지원한다.

노민석 에이스랩스 대표는 LG전자에서 소프트웨어 개발과 제품 보안 분야 업무를 수행했으며, 이후 글로벌 시험·인증기관 티유브이슈드(TÜV SÜD)에서 사이버보안 팀장과 상무를 역임했다.

노민석 대표는 "국내 제조 기업들이 규제 대응 체계 수립부터 첫 보고 완주까지 전 과정에서 시행착오를 줄이고 기한 내 보고를 완료할 수 있도록 지원하는 것이 목표다"라고 말했다.