구성 요소에 패치가 적용될 때의 FedRAMP POA&M 등록 및 종료

주요 내용

• Rev5 제공업체들은 2026년 12월 7일부터 의무화되는 FedRAMP의 2026년 취약점 규정을 채택할 때까지 기존의 POA&M을 유지합니다.
• 기한이 지나기 전에 수정된 스캐너 문제는 기존 POA&M에 별도로 기록할 필요가 없으며, 목록에 등재된 문제는 수정 증거가 준비되는 대로 종결됩니다.
• 정기적인 라이브러리 패치 작업은 기존 플레이북에 따른 기관 승인 절차와 2026년 규정에 따른 통지 절차를 생략합니다.
• 스캐너가 여전히 패치된 구성 요소에 대해 아무런 상태가 없다고 보고하는 경우, FedRAMP의 2026년 정의에 따르면 해당 구성 요소의 상태는 명확하지 않습니다.

오픈 소스 구성 요소를 제공하는 클라우드 서비스 제공업체(CSP)의 경우, 특정 구성 요소에 대한 수정 사항이 행동 계획 및 주요 일정(POA&M)의 내용을 변경할 수 있습니다. 기존 가이드라인에서는 기한이 지나기 전에 수정하는, 스캐너가 탐지한 취약점을 목록에 포함할 것을 요구하지 않습니다. 이미 목록에 포함된 취약점은 시정 조치가 적용되고, 완화 조치의 증거가 제3자 검증을 받을 준비가 되면 ‘종료(Closed)’ 상태로 전환될 수 있습니다.

FedRAMP의 기존 POA&M 페이지는 이제 ‘참조용’으로 표시되어 있으며, 2026년 개정 5판(Rev5)의 C등급 취약점 규칙에는 공급업체를 위한 POA&M 규칙이 포함되어 있지 않습니다. 2026년 12월 7일부터 의무화되는 해당 규칙을 채택하기 전까지는 기존 POA&M을 계속 유지해야 합니다. 그렇다면 패치를 적용했을 때 항목의 상태는 어떻게 변경되며, 새로운 상태를 누가 검증하며, 전환 전후로 어떤 변경 절차가 적용될까요? 이에 대한 답변은 여러 문서에 흩어져 있으며, 그 중 어느 것도 역포트된 수정 사항에 대해서는 다루고 있지 않습니다.

패치가 적용된 구성 요소는 FedRAMP의 등록 및 폐쇄 규정을 준수하지만, 관련 문서에는 두 가지 미비한 점이 있습니다. 바로 오픈 소스 유지 관리자가 공급업체로 간주되는지 여부와, 스캐너가 여전히 해당 구성 요소를 보고하는 동안 해당 구성 요소의 상태가 어떻게 되는지입니다.

현재 FedRAMP POA&M의 현황

기존 Rev5 절차에 따르면, POA&M은 FedRAMP 템플릿에 작성하여 보관해야 합니다. 해당 템플릿에 대한 기존 지침서인 ‘POA&M 템플릿 작성 가이드(버전 2.2, 2021년 11월 23일)’에서는 POA&M을 시스템의 알려진 취약점 및 보안 결함에 대한 기록과 함께 계획된 시정 조치를 결합한 것으로 설명하고 있습니다. 지속적인 모니터링 주기의 일환으로 매월 업데이트된 사본을 업로드하면, 기관의 승인 담당자(AO)가 기존 ‘지속적 모니터링 플레이북’에 따라 이를 검토합니다. 2026년 6월 24일부터 FedRAMP의 기존 사이트에서는 2026년 규정으로의 전환 기간 동안 POA&M 페이지와 플레이북을 ‘참고용’으로만 제공한다고 명시하고 있습니다.

FedRAMP의 취약점 탐지 및 대응(VDR) 및 취약점 평가 및 보고(VER) 규정은 2026년 7월 4일부터 선택적 적용이 가능해졌습니다. 이 규정은 2026년 12월 7일부터 Rev5 제공업체에 대해 의무화되며, 유예 기간은 2027년 3월 7일에 종료됩니다. 취약점 완화 및 시정 기간은 제공업체가 취약점을 평가한 시점부터 시작되며, 제공업체는 취약점 탐지 및 대응 활동을 최소한 매월 한 번씩 모든 관련 당사자에게 보고해야 합니다.

여기에 인용된 규칙은 FedRAMP의 C등급 버전입니다. FedRAMP에 따르면 C등급은 대부분의 ‘낮음(Low)’ 및 ‘중간(Moderate)’ 보안 목표를 포괄하며, B등급 또는 D등급 인증을 받은 제공업체는 해당 등급의 규칙을 확인해야 합니다. Rev5 Class C 규정에서 유일한 POA&M 규정은 ‘기관 실행 계획 및 이정표 유지(VER-AGM-MAP)’이며, 이는 기관을 대상으로 합니다. 이 규정은 기관 정책이 요구할 경우, 기관이 자체 보안 프로그램의 POA&M을 유지하기 위해 귀사가 보고한 내용을 ‘사용해야 한다(SHOULD)’고 명시하고 있습니다. FedRAMP는 ‘SHOULD’를 타당한 사유가 있을 경우 해당 결정을 문서화하면 준수하지 않을 수 있는 규칙으로, ‘MUST’를 절대적인 요구 사항으로 정의합니다. FedRAMP의 2026년 변경 사항 요약에 따르면 POA&M은 “완전히 폐지되었다”고 명시되어 있습니다. 2026년 규칙에 따른 모든 POA&M은 귀사의 보고서를 바탕으로 작성된 기관 고유의 것입니다.

품목이 POA&M에 입고 및 출고되는 과정

기존 지침에 따르면, 지속적인 모니터링 과정에서 스캐너 탐지 결과가 FedRAMP POA&M에 보고되는지 여부는 시점에 따라 결정됩니다. 해당 항목은 기한이 지난 후(중요도에 따라 발견일로부터 30일, 90일 또는 180일 후)에 목록에 포함시킵니다. 침투 테스트나 인터뷰와 같은 다른 출처에서 도출된 발견 사항은 기한이 지났는지 여부와 관계없이 등재됩니다. 오탐지, 위험 조정 또는 운영 요건에 대해 AO(승인 기관)에 제출하는 양식인 편차 요청이 포함된 각 항목도 마찬가지입니다. 각주에는 서비스 수준 계약(SLA)이나 AO의 선호 사항이 여전히 적용되며, 둘 중 어느 쪽이라도 모든 미해결 위험의 등재를 요구할 수 있다고 명시되어 있습니다.

이 지침에 따르면, 모든 시정 조치를 적용하고 검사에 제출할 수 있는 “완화 조치 증거”를 준비한 후 해당 항목을 ‘종료(Closed)’ 워크시트로 이동시킬 수 있습니다. 제3자 평가 기관(3PAO) — 2026년 정의에서 ‘평가자(assessor)’로 대체된 기존 용어 — 는 초기 및 정기 평가 과정에서 해당 증거를 검증하며, 귀사의 AO는 언제든지 이를 요청할 수 있습니다. 또한 귀사의 AO가 오탐(false positive) 편차 요청을 승인한 경우에도 해당 항목은 ‘Closed’ 워크시트로 이동할 수 있습니다. 공급업체의 수정 조치를 기다리는 ‘공급업체 의존 사항’과, 기존 POA&M 페이지에서 시정할 수 없는 발견 사항으로 설명된 ‘운영 요구 사항’은 ‘Open’ 워크시트에 그대로 남아 있습니다.

참고: 기존 가이드에 따르면, 보안 평가 보고서(SAR)에서 식별된 오탐지 중 정상 스캔 보고서와 같은 뒷받침 증거가 있는 경우, 이를 POA&M에 포함할 필요가 없습니다.

패치된 컴포넌트가 변경하는 사항

이 기사에서 ‘패치된 구성 요소’란 유지 관리자, 공급업체 또는 제3자가 수정 사항을 제공한 후 배포하는 라이브러리나 패키지를 의미합니다. 이는 FedRAMP 용어가 아닙니다.

레거시 가이드에서는 ‘등록’과 ‘종결’은 별개의 절차로 구분됩니다. 스캐너에서 발견된 취약점의 기한이 만료되기 전에 수정 사항을 배포하는 경우, 가이드에서는 해당 취약점에 대한 등록을 요구하지 않습니다. 해당 항목이 이미 목록에 등재되어 있는 경우, 배포된 수정 사항은 시정 조치 중 하나로 간주되며, 종결 절차는 가이드에 명시된 두 가지 경로 중 하나를 따릅니다.

공급업체 의존성은 다른 일정을 따릅니다. 기존 POA&M 페이지는 이를 상용 기성품(COTS) 제조업체와 같은 하류 공급업체와 연결시키는데, 해당 공급업체의 수정 프로그램이 아직 제공되지 않은 상태입니다. 고위험 공급업체 의존성은 30일 이내에 보완 통제를 통해 위험 수준을 ‘중간’ 수준으로 완화해야 합니다. 공급업체가 수정 사항을 제공하면, 가이드에서는 해당 날짜를 기준으로 시정 기간을 시작하고, 릴리스 날짜를 기록하도록 요청하며, 예정된 완료 날짜를 덮어쓸 수 있도록 허용합니다.

기존 POA&M 페이지에서는 또한 알림이나 이메일 교환 등 패치 상태와 관련된 공급업체와의 소통 내역을 증거로 제시할 것을 권장하고 있습니다. 이는 항목을 종결하는 데 사용되는 완화 조치 증거와는 다른 종류의 증거입니다.

수정 사항을 배포하는 것 또한 변경 사항에 해당합니다. 기존 플레이북은 변경 사항을 ‘정기적 반복 변경’, ‘적응형 변경’, ‘변혁적 변경’으로 분류합니다. 이 플레이북은 라이브러리 정기 패치를 포함하여 호환성 문제를 일으키지 않는 사소한 점진적 패치를, AO의 검토 및 승인이 필요 없는 ‘정기적 반복 변경’으로 분류합니다. 반면, 호환성 문제가 알려진 라이브러리 업데이트는 AO의 검토 및 승인이 필요한 ‘적응형 변경’의 예시입니다.

2026년 중대한 변경 통지(SCN) 규칙은 이 세 가지 유형을 그대로 유지합니다. ‘변경 평가’ 규칙(SCN-CSO-EVA)에 따라, 잠재적인 중대한 변경 사항을 각각 평가하여 그 유형을 파악해야 합니다. ‘통지 요건 없음’ 규칙(SCN-RTR-NNR)은 서비스 제공자가 일상적이고 반복적인 변경 사항에 대해서는 공식적인 통지를 보내지 않아야 한다고 명시하고 있습니다. FedRAMP는 ‘SHOULD NOT’에 ‘SHOULD’와 동일한 재량권을 부여합니다. 여기에는 여전히 일상적인 라이브러리 패치 적용이 예시로 포함됩니다. ‘통지 요건’ 규칙(SCN-ADP-NTF)에 따라, 적응형 변경이 완료된 후 10영업일 이내에 통지해야 합니다. SCN 규칙은 2027년 1월 1일부터 Rev5 제공업체에 의무적으로 적용됩니다.

문서에서 명확히 밝히지 않은 부분

누가 수정 사항을 작성하든 책임은 귀사에 있습니다. ‘취약점 대응’ 규칙(VDR-CSO-RES)은 탐지된 취약점을 추적, 완화 및 시정할 책임을 공급자에게 부과합니다. ‘취약점 탐지’ 규칙(VDR-CSO-DET)은 공급자가 취약점을 탐지하는 방법 중 하나로 공급망 모니터링을 명시하고 있으므로, 귀사도 구성 요소와 함께 제공되는 취약점을 반드시 탐지해야 합니다.

다른 사람의 수정 조치를 기다리고 있을 때, 기존 문서에는 공급업체 의존성 상태가 명시되어 있지만, 가이드나 POA&M 페이지 어디에도 오픈소스 유지보수자가 공급업체로 간주되는지 여부가 명시되어 있지 않습니다. 만약 유지보수자가 공급업체로 간주된다면, 유지보수자의 수정 조치가 아직 이루어지지 않은 취약점은 매월 점검을 거치며 미해결 상태로 남아 있을 수 있습니다. 그렇지 않다면, 다른 스캐너 탐지 결과와 마찬가지로 기한이 지난 것으로 처리됩니다. 이것이 첫 번째 문제점입니다.

수정 후 버전 번호가 변경되지 않은 패치된 구성 요소는 배포 후에도 스캔 결과에 계속 표시될 수 있습니다. 레드햇의 보안 백포팅 문서에 그 이유가 설명되어 있습니다. 일부 스캔 및 감사 도구는 버전 번호만을 기준으로 구성 요소의 취약 여부를 판단하기 때문입니다. 이러한 도구는 최신 릴리스에서 가져온 수정 사항이 이전 버전에 적용된 경우, 해당 구성 요소를 취약한 것으로 표시합니다.

FedRAMP의 2026년 정의에 따르면, ‘시정된 취약점’은 무력화되거나 제거되어 더 이상 탐지되지 않는 취약점을 의미합니다. ‘완전히 완화된 취약점’은 위험이 미미하지만 여전히 탐지되는 취약점입니다. ‘오탐지’는 실제로 존재하지도 않았고 존재한 적도 없는 취약점이 탐지된 경우를 말합니다. 기존 가이드라인에서는 취약점 종결을 완화 증거와 연계하고 있는 반면, 2026년 규칙에서는 완화와 시정을 별도로 구분하고 있습니다(VDR-CSO-RES).

참고: FedRAMP의 ‘오탐지’ 정의에는 수정되었거나 완전히 완화된 취약점도 제외됩니다.

스캐너가 여전히 보고하는 패치된 구성 요소를 예로 들어 보겠습니다. 해당 정의에 따르면, 이 구성 요소는 탐지되는 한 수정된 것으로 간주되지 않으며, 수정 전에도 취약점이 존재했기 때문에 오탐지라고 볼 수도 없습니다. ‘완전히 완화됨(fully mitigated)’이라는 표현이 가장 근접하지만, 이 기사에서 언급된 문서 중 어느 것도 버전 번호가 변경되지 않은 수정 사항에 대해 그렇게 명시하고 있지 않습니다.

기존 가이드에서도 이 상태는 미결로 남겨두도록 되어 있습니다. 완화 조치가 확인되면 해당 항목을 종결할 수도 있고, AO에게 오탐으로 승인해 달라고 요청할 수도 있습니다. 이 가이드에서는 스캐너가 여전히 보고하는 패치된 구성 요소에 대해 어느 쪽이 적용되는지 구체적으로 명시하지 않습니다. 등록 단계에서도 같은 문제가 발생합니다. 즉, 스캐너가 계속 보고하는 발견 사항은 수정했음에도 불구하고 기한이 지나버릴 수 있습니다.

이것이 두 번째 차이점입니다. 전환하기 전에, 담당 AO나 평가관에게 기존 POA&M 및 2026년 취약점 보고서에서 이 구성 요소에 대해 어떤 상태를 기대하는지 문의하십시오. 또한 오픈 소스 유지보수자를 공급업체로 간주하는지 여부도 확인해 보십시오.

유지보수 담당자를 기다리지 않고 문제를 해결하기

TuxCare의 SecureChain은 오픈 소스 패키지의 소스 코드를 검사하여 악성코드를 탐지하고, 격리된 환경에서 해당 코드를 기반으로 패키지를 재컴파일한 뒤, 검사에서 불합격된 패키지가 사용자의 환경에 도달하기 전에 차단합니다. 서비스 수준 계약(SLA)에 따라 SecureChain은 활성 구성 요소에 패치를 적용합니다. 업스트림 유지보수자가 더 이상 지원하지 않는 버전의 경우, Endless Lifecycle Support(ELS) 가 중요, 높음, 중간, 낮음 심각도의 취약점에 대한 수정 사항을 사용 중인 버전으로 백포트합니다. SecureChain과 ELS는 함께 JavaScript, Python, Java, Go, PHP 및 Rust를 지원합니다. SecureChain이 제공하는 기록에는 소프트웨어 아티팩트 공급망 수준(SLSA) 레벨 3 출처 정보, 소프트웨어 BOM(SBOM), 취약점 악용 가능성 교환(VEX) 데이터가 포함됩니다. VEX 데이터는 패키지에 해당 취약점에 대한 수정 사항이 이미 포함되어 있음을 나타낼 수 있습니다. 이를 통해 스캐너가 여전히 해당 패키지를 문제로 표시할 경우, 귀사의 AO(Assessment Owner)나 평가자가 확인할 수 있는 근거 자료를 제공합니다.

컴포넌트의 유지보수 담당자가 활동을 중단한 후 해당 컴포넌트의 수정 사항이 어디서 나올지, 또는 해당 컴포넌트가 서비스에 어떤 취약점을 유입시켰는지 파악할 수 없다면, ‘오픈 소스 소프트웨어용 SecureChain’이 이 두 가지 문제를 어떻게 해결하는지 확인해 보세요.

자주 묻는 질문

FedRAMP 문서에서 POA&M이란 무엇인가요?

FedRAMP의 ‘POA&M 템플릿 작성 가이드(버전 2.2, 2021년 11월 23일)’에 따르면, 실행 계획 및 주요 단계(POA&M)란 시스템의 알려진 취약점 및 보안 결함을 기록하고, 클라우드 서비스 제공업체(CSP)가 계획한 시정 조치를 함께 명시한 문서를 의미합니다. FedRAMP는 2026년 6월 24일부터 기존 POA&M 페이지를 ‘참조용’으로만 표시하고 있습니다.

POA&M은 누가 관리하고 검토하나요?

기존의 ‘지속적 모니터링 플레이북(Continuous Monitoring Playbook)’에서는 클라우드 서비스 제공업체(CSP)가 매월 업데이트된 실행 계획 및 주요 단계(POA&M)를 업로드하고, 기관의 승인 담당자가 이를 검토합니다. FedRAMP는 2026년 6월 24일부터 이 플레이북을 ‘참고용’으로만 지정했습니다. 2026년 취약점 평가 및 보고 규칙의 VER-AGM-MAP 규정에 따라, 기관은 보안 정책에서 요구할 경우 자체 POA&M을 유지해야 합니다(권장됨).

2026년 규정에 따라 공급자의 취약점 보고서에는 어떤 내용이 포함되나요?

2026년 12월 7일부터 적용되는 FedRAMP의 ‘취약점 평가 및 보고’ 규칙 중 VER-RPT-VDT 규칙에는 공급자가 탐지된 각 취약점에 대해 보고해야 할 사항이 명시되어 있습니다. 여기에는 탐지 시점 및 출처, 인터넷 접근 가능성, 악용 가능성, 기관에 미칠 것으로 예상되는 피해(잠재적 기관 영향 N 등급), 최종 처리 결과 등이 포함됩니다. 평가일로부터 192일 이내에 완전히 완화되거나 시정되지 않았거나, 그렇게 될 것으로 예상되지 않는 ‘수용된 취약점’은 별도로 나열됩니다.

FedRAMP의 2026년 ‘중대한 변경’ 규정은 언제 적용되나요?

2026년 통합 규칙에 포함된 FedRAMP의 ‘중대한 변경 사항 통지’ 규정의 선택적 적용이 2026년 7월 4일부터 시작되었습니다. 개정판 5(Rev5)를 적용하는 제공업체의 경우, 2027년 1월 1일부터 해당 규정을 준수해야 하며, 유예 기간은 2027년 6월 1일에 종료됩니다. 취약점 관련 규정은 별도의 일정에 따라 적용됩니다.

‘중대한 변경 요청’ 및 ‘알림’은 관련 취약점에 대해 무엇을 알려주는가?

기존 ‘지속적 모니터링 플레이북’에 따르면, 변경 사항이 알려진 위험을 해결하는 경우, 레거시 중대 변경 요청에는 관련 조치 계획 및 주요 단계(POA&M) 항목이 기재되며, FedRAMP는 현재 이를 ‘참고용’으로만 표시하고 있습니다. 2026년 중대 변경 통지 규정의 SCN-CSO-INF 조항에 따라, 통지서에는 기타 필수 세부 사항 외에도 해당되는 경우 관련 취약점을 반드시 포함해야 합니다.

요약

기사 이름

패치된 구성 요소에 대한 FedRAMP POA&M 등록 및 종료

설명

2026년 전환 기간 동안 패치된 구성 요소가 FedRAMP POA&M의 등록 및 종료 절차에 어떤 영향을 미치는지, 누가 이를 검증하는지, 그리고 FedRAMP 문서에 명시되지 않은 사항은 무엇인지 확인해 보십시오.

작성자

아르템 카라세프

게시자 이름

TuxCare

게시자 로고