FedRAMP 20x가 연방 클라우드 보안을 재정의하고 있으며, 귀사의 종속 요소도 적용 대상에 포함됩니다.

주요 내용

• FedRAMP 20x가 A, B, C 등급에 대해 시행 중이며, 2026년 규정은 2027년 1월 1일부터 전면적으로 의무화됩니다.
• 한 가지 주요 보안 지표는 계약상 통지 등의 방법을 활용하여 타사 소프트웨어의 상류 취약점을 자동으로 모니터링하는 것을 설명합니다.
• 핵심 보안 지표(KSI)는 의존성이나 소프트웨어 BOM(자재 명세서)을 명시하지 않으므로, 적용 범위는 규칙의 정의에서 비롯됩니다.
• 취약점을 발견하는 것은 필수 사항인 반면, C등급의 시정 기간은 권장 사항에 불과하므로, 서비스 제공업체는 이를 준수하지 않을 경우 그 사유를 문서화하여 제시할 수 있습니다.

FedRAMP 20x는 최신 버전이 아닌 보안 문서를 취약점으로 간주합니다. 연방 위험 및 승인 관리 프로그램(FedRAMP)의 취약점 탐지 규칙에 따라, 시스템 보안 계획(System Security Plan)을 대체한 공급자의 보안 결정 기록(Security Decision Record)에 포함된 오래된 통제 항목은 다른 취약점과 마찬가지로 탐지되어 수정됩니다.

서류 작업이 시스템의 발전 속도를 따라가야 한다면, 그 시스템 내부의 소프트웨어(사용자가 직접 작성하지 않은 코드를 포함하여)도 마찬가지로 발전해야 합니다. 클라우드 서비스 제공 범위 내에서 실행되는 타사 소프트웨어는, 핵심 보안 지표(KSI) 에‘의존성’이라는용어가 명시적으로 사용되지 않았더라도 20x의 적용 범위에 포함됩니다. 해당 규칙은 클라우드 서비스 제공을 정의함으로써 적용되며, 일부 KSI는 타사 소프트웨어 및 공급망 위험을 직접적으로 언급하고 있습니다.

FedRAMP 20x가 클라우드 제공업체에 미치는 영향

클라우드 서비스에 대한 보안 평가를 표준화하는 연방 프로그램인 FedRAMP는 일반행정관리청(GSA) 산하에 있습니다. 20x가 가져온 변화는 그 증빙 자료의 출처에 있습니다. 이제 서비스 제공업체들은 사람이 수작업으로 검토하던 방대한 서면 계획서 대신, 시스템이 자동으로 검증할 수 있다는 증거를 제시하여 자신들의 주장을 뒷받침합니다.

FedRAMP는 용어 사용도 변경했습니다. 이제 그 결과를 ‘승인’이 아닌 ‘인증’이라고 부릅니다. FedRAMP는 해당 서비스를 인증하며, 각 기관은 여전히 사용 승인 여부를 자체적으로 결정합니다.

시범 운영 이후 FedRAMP 20x의 현황

FedRAMP 20x 시범 사업은 두 단계에 걸쳐 진행되었습니다. 1단계는 2025년 4월부터 9월까지 진행된 ‘저영향(Low-impact)’ 개념 검증(PoC)이었습니다. 2단계는 2025년 11월부터 2026년 3월까지 ‘중간 수준(Moderate)’을 테스트했으며, 2026년 3월 6일에 첫 번째 ‘중간 수준’ 시범 사업 승인이 내려졌습니다. 두 시범 사업이 모두 완료되었으며, 현재 이 프로그램은 3단계인 ‘대규모 도입’ 단계에 있습니다.

이러한 시범 운영 결과는 ‘2026년 통합 규정(CR26)’에 반영되었습니다. 최신 FedRAMP 20x 소식은 대부분 사소한 사항에 그치는데, 규정 변경 내역을 살펴보면 2026년 10월 8일까지의 명확화 조치와 사소한 조정 사항이 대부분이기 때문입니다.

FedRAMP 20x Moderate를 찾으셨다면, 현재 명칭은 Class C입니다. Low는 이제 Class B로, High는 Class D로 변경되었습니다. Class A는 새로 도입된 등급으로, 보안 프로그램이 성숙한 상태에서 연방 정부 시장에 진출하고자 하는 공급업체를 위한 진입점입니다. 20x 경로는 Class A, B, C에 모두 열려 있습니다.

이전 절차인 개정안 5(Rev5)는 일정대로 진행됩니다. 다음은 알아두어야 할 날짜들입니다.

FedRAMP 20x KSI의 작동 방식

FedRAMP 20x KSI는 서비스 변경 사항 로깅이나 타사 소프트웨어의 업스트림 취약점 모니터링과 같은 하나의 보안 기능을 명시합니다. 지표에는 일반적으로 널리 사용되는 보안 통제 목록인 미국 국립표준기술연구소(NIST) 특별 간행물 800-53에 수록된 관련 통제 사항이 나열되어 있으므로, 기존 프레임워크로 거슬러 올라갈 수 있습니다.

또한 당사의 주요 클라우드 보안 표준 가이드에서 이러한 프레임워크들이 업계 전반에 걸쳐 어떻게 조화를 이루고 있는지 살펴보실 수 있습니다.

FedRAMP는 KSI를 주제별로 분류합니다. 현재 목록에는 변경 관리, 신원 및 접근 관리, 사고 대응, 복구 계획, 정책 및 자산 현황, 서비스 구성, 공급망 위험 등이 포함되어 있습니다.

서비스 제공업체는 이러한 지표를 지속적으로 검증합니다. FedRAMP는 이를 주기적으로 반복하는 것으로 정의하며, 의도적이고 문서화된 경우 간격이 허용되므로 엄격히 연속적이어야 한다는 의미는 아닙니다. 보다 구체적인 수치는 별도의 시작일이 지정된 취약점 규칙에서 비롯됩니다. C급 제공업체는 소프트웨어, 하드웨어, 클라우드 서비스와 같은 기계 기반 리소스의 상태를 최소 3일에 한 번씩 확인 및 검증해야 합니다. 정책이나 직원 절차와 같이 컴퓨터에서 실행되지 않는 리소스의 경우, 최소 3개월에 한 번씩 점검을 실시합니다.

보안 결정 기록(Security Decision Record)은 공급자의 보안 결정 사항을 지속적으로 기록한 것으로, FedRAMP는 이 기록이 지속적으로 유지, 검증 및 확인될 것을 요구합니다. FedRAMP가 현재 제3자 평가 기관(3PAO)을 대신하여 사용하는 용어인 ‘평가자(Assessors)’는 일반적으로 이 기록의 근거가 되는 증거를 검토하며, FedRAMP가 최종 평가자 역할을 합니다.

이러한 지표 중 일부는 사용자가 실행하는 소프트웨어와도 관련이 있습니다.

KSI가 타사 소프트웨어와 접점을 이루는 부분

여기서 ‘범위(Scope)’가 중요한 역할을 합니다. 서비스 제공업체는 연방 고객 데이터를 처리하거나 해당 데이터의 기밀성, 무결성, 가용성에 영향을 미칠 가능성이 있는 모든 정보 자원을 식별해야 하며, 이 집합이 바로 클라우드 서비스 제공 범위를 구성합니다. FedRAMP는 정보 자원을 소프트웨어, 코드, 하드웨어 및 클라우드 서비스를 포함할 수 있을 만큼 폭넓게 정의합니다. 이는 규칙에 명시되어 있든 없든, 해당 서비스 제공 범위 내에서 실행되는 제3자 코드까지 포함합니다.

이 이후부터는 지표들이 더욱 구체화됩니다. 그중 세 가지는 타사 소프트웨어 및 공급망 위험을 직접 다루고 있으며, 두 가지는 소프트웨어를 포함한 전체 제품군의 재고 및 무결성 검사를 다룹니다.

취약점 탐지 규칙에서는 공급망 모니터링을 공급자가 취약점을 식별하기 위해 사용하는 기법 중 하나로 꼽고 있습니다. KSI 중 어느 것도 ‘의존성’, ‘오픈 소스’, ‘패키지’ 또는 ‘SBOM’이라는 용어를 사용하지 않습니다. 문언 그대로 해석하면, 서비스 내에서 실행되는 타사 라이브러리는 KSI-SCR-MON에 따른 타사 소프트웨어에 해당합니다. 다만 이 규칙에서는 모니터링이 어느 정도 세분화되어야 하는지, 또는 어떤 증거가 평가자의 기준을 충족시키는지에 대해서는 명시하지 않고 있으며, 바로 이 부분에서 해석의 여지가 생깁니다.

출처에 따르면: SA-22 ‘지원되지 않는 시스템 구성 요소’는 KSI-SCR-MIT에 매핑됩니다. 이 항목은 개발자, 공급업체 또는 제조업체가 해당 구성 요소에 대한 지원을 중단할 경우, 해당 구성 요소를 교체하거나 지속적인 지원을 받을 수 있는 대체 수단을 마련할 것을 요구합니다. 이는 이미 FedRAMP Rev. 5의 B, C, D 등급 기준에 포함되어 있습니다.

SA-22를 범위 정의 항목 옆에 배치하고, 지원이 중단된 구성 요소를 교체하거나 지속적인 지원을 마련해야 한다는 기대는 새로운 것이 아닙니다. 20x 기준에 따르면, 지원이 중단된 구성 요소를 처리했다는 증거는 서면 설명이 아닌 자동화된 검증을 통해 제시되어야 합니다.

규칙이 요구하는 사항과 규정이 명확히 정하지 않은 부분

FedRAMP 20x 취약점 요구 사항은 ‘MUST’와 ‘SHOULD’라는 두 가지 수준으로 구분되며, FedRAMP는 이 두 가지 모두를 정의하고 있습니다. ‘MUST’는 절대적인 요구 사항입니다. ‘SHOULD’는 서비스 제공자가 이를 따르지 않을 타당한 사유가 있을 수 있음을 의미하지만, 해당 제공자는 그 영향을 신중히 고려하고 보안 문서에 결정 사유를 명시해야 합니다.

취약점을 발견하고 처리하는 일은 반드시 수행해야 할 사항에 확실히 포함됩니다. 서비스 제공업체는 자사가 제공하는 서비스 내의 취약점을 체계적이고 지속적으로, 그리고 신속하게 파악한 뒤, 이를 추적, 평가, 완화 및 시정해야 합니다.

시간 기준은 유연하게 적용됩니다. C 등급의 경우, 완화 또는 수정 조치에 소요되는 기간은 ‘권장(SHOULD)’ 수준입니다. 이는 취약점이 기관에 미칠 잠재적 영향, 인터넷을 통해 접근 가능한지 여부, 악용될 가능성에 따라 달라지며, 표의 ‘심각(severe)’ 등급 끝단에서는 2일, 반대쪽 끝단에서는 192일까지 다양합니다. 서비스 제공업체는 취약점이 이미 완전히 완화된 경우라 하더라도, 사이버보안 및 인프라 보안국(CISA) 카탈로그에 명시된 기한 내에 ‘알려진 악용 취약점(KEV)’을 시정해야 하며, 해당 취약점이 이미 존재하는 새로운 머신 기반 리소스의 배포를 피해야 합니다. 실무적으로 이는 제3자 코드 내의 취약점을 찾아내야 할 확고한 의무를 의미하며, 취약점 수정 기한은 기본값으로 설정되어 있어 문서화된 사유가 있는 경우에만 이를 벗어날 수 있습니다.

KEV 규정은 2026년 6월 10일 CISA가 발표한 구속력 있는 운영 지침(BOD) 26-04에 그 기원을 두고 있습니다. 이 규정은 연방 행정부 산하 민간 기관에 직접 적용되며, 해당 기관들은 FedRAMP를 통해 자사의 클라우드 서비스가 FedRAMP 요건을 준수하도록 보장해야 합니다.

취약점 탐지 및 대응 규정은 별도의 일정에 따라 시행됩니다. 인증을 취득하거나 유지하는 서비스 제공업체는 2026년 12월 7일부터 해당 규정을 준수해야 하며, 2027년 3월 7일까지 유예 기간이 주어집니다. 이는 일반 규정의 적용일인 2027년 1월 1일보다 앞선 시점입니다.

지금 바로 FedRAMP 20x 규정 준수 계획을 수립하세요

첫 인증을 신청하는 경우와 현재 Rev5 인증을 보유한 경우, FedRAMP 20x 준수 절차는 서로 다릅니다. 첫 인증을 추진 중이라면, 새로운 Rev5 인증 신청 기한은 2027년 6월 11일에 종료되므로, 현재 Rev5에서만 지원되는 Class D가 필요한 경우가 아니라면 20x 인증을 목표로 하는 것이 더 현실적입니다. 이미 Rev5 인증을 보유하고 계신 경우, 마감일은 규칙 세트에 따라 다르며, FedRAMP는 최근 2026년 9월 13일자로 일부 Rev5 유예 기한을 조정했으므로, 해당 마감일 페이지를 확인하시기 바랍니다.

타사 소프트웨어의 경우, 재고 파악부터 시작하십시오. 재고 지표인 KSI-PIY-GIV는 필요할 때마다 신뢰할 수 있는 출처에서 재고 목록이 자동으로 생성되기를 기대하며, 빌드 과정에서 생성된 소프트웨어 BOM(자재 명세서)이 그 후보 출처 중 하나가 될 수 있습니다. 이를 모니터링과 결합하여, 다른 패키지에 의해 끌어온 간접 패키지뿐만 아니라 의도적으로 선택한 패키지도 함께 관리하십시오. 의도적으로 선택한 패키지는 추적하기 더 어렵기 때문입니다.

KSI-SCR-MIT의 공급망 위험 정의는 알려진 취약점보다 더 광범위하게 해석되므로, 설치 현장에 도착하는 물품의 위험성을 검토하는 작업도 계획에 포함되어야 합니다.

참고: 최소 평가 범위(Minimum Assessment Scope) 규칙에 따라 범위 식별 규칙이 적용되는 경우, 해당되는 각 제3자 정보 자원에 대해서는 문서화된 사용 및 구성 내역, 근거, 완화 조치 및 보완 통제 수단이 필요합니다. FedRAMP는 이 용어를 외부 서비스와 같이 클라우드 서비스 제공의 최소 평가 범위에 완전히 포함되지 않는 모든 정보 자원으로 정의합니다. 반면, 자체 서비스에 내장된 라이브러리는 일반적으로 해당 범위에 포함됩니다. KSI-SCR-MON은 ‘제3자 소프트웨어 정보 자원’을 다루는데, 이는 정의된 용어인 ‘제3자 정보 자원’보다 범위가 더 넓으며, 자체 서비스 내에서 실행되는 제3자 코드까지 포함합니다.

그렇다면 지원 기간이 지난 구성 요소를 살펴보세요. 업스트림 유지보수자가 없는 구성 요소는 패치가 적용되지 않은 채로 남아 있는 경향이 있으며, 일반적으로 버전을 올리는 것이 권장되지만, 업그레이드가 항상 안전한 해결책은 아니므로 대체품이나 백포트된 패치도 고려 대상에 포함되어야 합니다.

FedRAMP 20x 거버넌스, 리스크 및 규정 준수(GRC) 도구 역시 이 과정의 일부입니다. 1단계 시범 운영에서는 GRC 공급업체들이 자사 제품의 인증을 신청하며 제출 건수에서 가장 큰 비중을 차지했습니다. 어떤 도구를 선택하든, 관련 증거 자료는 여전히 귀사의 시스템에서 도출되며 규정에서 정한 일정에 따라 검증됩니다.

평가관이 묻기 전에 어떤 사항이 검토 대상인지 미리 파악하세요

조만간, 평가 담당자가 귀하의 서비스에서 어떤 타사 패키지를 실행하고 있는지, 그리고 업스트림 지원이 종료되면 누가 패치를 적용하는지 물어볼 가능성이 높습니다. 해당 패키지 중 일부가 다른 패키지를 통해 도입되었거나, 해당 패키지의 유지보수자가 자리를 떠난 경우라면 이는 대답하기 곤란한 질문이 될 수 있습니다.

SecureChain은 이러한 격차를 줄이는 한 가지 방법입니다. SecureChain이 지원하는 패키지의 경우, TuxCare는 강화되고 격리된 환경에서 각 패키지를 소스 코드부터 재컴파일하고, 사용자의 환경에 도달하기 전에 숨겨진 악성코드나 의심스러운 코드가 있는지 검사하며, SLA에 따라 새로운 CVE에 대한 패치를 제공합니다. 업스트림 유지보수자가 수정 사항 제공을 중단하더라도, ‘Endless Lifecycle Support’를 통해 패치 제공이 계속됩니다. 지원 범위는 JavaScript, Python, Java, Go, Rust 및 PHP에 이르며, 빌드에는 SLSA 레벨 3 출처 정보, SBOM 및 VEX 레코드가 포함됩니다.

만약 현재 서비스에 사용 중인 타사 패키지의 이름을 대지 못하거나, 해당 패키지 중 하나가 업스트림 지원을 중단하면 어떤 일이 벌어지는지 설명할 수 없다면, 바로 그 문제를 가장 먼저 해결해야 합니다.

자주 묻는 질문

FedRAMP 20x란 무엇인가요?

연방 위험 및 승인 관리 프로그램(FedRAMP)은 클라우드 서비스를 대상으로 하는 연방 정부의 표준화된 보안 평가 프로그램입니다. FedRAMP 20x는 이 프로그램의 새로운 인증 절차로, 문서 중심의 검토 과정을 자동화된 검증 및 기계 판독 가능한 증거로 대체합니다. 현재 새로운 인증 신청을 접수 중이며, 향후 단계에서는 ‘고영향(High-impact)’ 시범 운영이 계획되어 있습니다.

FedRAMP 20x KSI란 무엇인가요?

주요 보안 지표(KSI)는 클라우드 공급자가 연방 위험 및 승인 관리 프로그램(FedRAMP) 20x 경로를 위해 입증해야 하는 보안 역량에 대한 설명입니다. 이러한 지표는 ‘변경 관리’ 및 ‘공급망 위험’과 같은 주제별로 분류되며, 일반적으로 관련 연방 보안 통제 사항을 나열하고 있습니다. FedRAMP는 가능한 한 자동화된 검증을 요구합니다.

FedRAMP 20x 중등도 등급이 존재하나요?

더 이상 그 명칭은 사용되지 않습니다. 연방 위험 및 승인 관리 프로그램(FedRAMP)은 ‘낮음(Low)’, ‘중간(Moderate)’, ‘높음(High)’ 영향 등급을 ‘클래스 B’, ‘클래스 C’, ‘클래스 D’ 인증으로 대체했기 때문에, ‘중간(Moderate)’은 이제 ‘클래스 C’가 되었습니다. ‘클래스 C’는 FedRAMP의 새로운 20x 경로를 통해 취득할 수 있으며, ‘클래스 D’는 추후 시범 운영을 통해 도입될 예정입니다.

FedRAMP 20x 시범 운영 현황은 어떠한가요?

연방 위험 및 승인 관리 프로그램(FedRAMP)의 새로운 경로인 ‘20x’에 대한 두 차례의 시범 운영이 모두 완료되었습니다. 1단계에서는 2025년에 ‘낮은 영향(Low impact)’ 등급을, 2단계에서는 2025년 11월부터 2026년 3월까지 ‘중간 영향(Moderate)’ 등급을 테스트했습니다. FedRAMP는 현재 3단계인 ‘대규모 도입’ 단계에 있으며, 2026년 규정이 단계적으로 시행되고 2027년 1월 1일부터 전면 의무화될 예정입니다.

취약점에 대한 FedRAMP 20x 요건은 무엇인가요?

연방 위험 및 승인 관리 프로그램(FedRAMP)에 따라, 서비스 제공업체는 자사 클라우드 서비스의 취약점을 파악하고 이에 대응해야 합니다. C등급 제공업체(이전의 ‘중간(Moderate)’ 등급)는 또한 최소 3일마다 기술 자원의 상태를 확인하고 검증해야 합니다. C등급의 취약점 시정 기간은 권장 사항이며, 이를 준수하지 않을 경우 그 사유를 문서화해야 합니다.

FedRAMP 20x의 적용 범위에 소프트웨어 종속성이 포함되나요?

클라우드 서비스 내의 소프트웨어는 제3자 코드를 포함하여 적용 범위에 속합니다. 이는 연방 위험 및 승인 관리 프로그램(FedRAMP)의 적용 범위가 연방 고객 데이터를 처리하거나 해당 데이터의 기밀성, 무결성 또는 가용성에 영향을 미칠 가능성이 있는 모든 정보 자원을 포괄하기 때문입니다. 주요 보안 지표(KSI) 중 하나는 상류 취약점에 대한 제3자 소프트웨어 모니터링을 다룹니다. “의존성”이나 “소프트웨어 BOM(Bill of Materials)”이라는 용어를 사용하는 KSI는 없지만, 서비스 내의 제3자 라이브러리는 여전히 KSI-SCR-MON에 따른 적용 대상 정보 자원 및 제3자 소프트웨어에 해당합니다. 모니터링의 세부 수준은 평가자의 재량에 달려 있습니다.

FedRAMP 20x에서 GRC는 무엇을 의미하는가?

거버넌스, 리스크 및 규정 준수(GRC) 도구는 팀이 규정 준수 업무와 관련 증빙 자료를 체계적으로 관리하는 데 도움을 줍니다. 연방 리스크 및 승인 관리 프로그램(FedRAMP)의 새로운 트랙인 ‘20x’의 첫 번째 시범 운영에서, GRC 공급업체들은 자사 제품의 인증을 신청하며 제출 건수에서 가장 큰 비중을 차지했습니다. 도구 활용은 FedRAMP 규정이 요구하는 증빙 자료를 수집하는 한 가지 방법입니다.

요약

기사 이름

FedRAMP 20x 설명 및 의존성이 이제 적용 범위에 포함된 이유

설명

FedRAMP 20x가 A, B, C 등급에 대해 시행 중입니다. 다음은 제3자 소프트웨어와 관련하여 주요 보안 지표(Key Security Indicators)가 제시하는 내용과 이에 대비해 계획해야 할 사항입니다.

작성자

아르템 카라세프

게시자 이름

TuxCare

게시자 로고