Sonatype 원문 번역
미 전쟁부(Department of War, DoW)에서는 소프트웨어를 빠르게 제공하는 것이 중요합니다. 하지만 오픈소스와 서드파티 컴포넌트 사용이 늘고 AI 지원 개발이 확산되면서 소프트웨어 공급망을 통제하기가 더 어려워지고 있습니다. DoW 팀은 임무 수행 속도를 떨어뜨리는 수동 승인 절차를 늘리지 않으면서도 위험을 조기에 식별하고 대응해야 합니다.
Sonatype의 Nexus One 플랫폼은 ‘Awardable’로 평가되어 현재 미 국방부(Department of Defense)의 Platform One(P1) Solutions MarketPlace에서 이용할 수 있습니다.
P1 Solutions MarketPlace는 경쟁 절차를 마친 뒤 바로 계약을 추진할 수 있는 공급업체를 모아 둔 디지털 저장소로, 하드웨어·소프트웨어·서비스 전반의 주요 정부 과제를 다룹니다. Awardable로 등록된 솔루션은 MarketPlace의 경쟁 절차와 채점 과정을 거쳐 평가됩니다. MarketPlace 계정이 있는 정부 기관은 해당 솔루션을 검토하고 필요한 역량을 도입할 때 이미 마련된 절차를 활용할 수 있습니다.
Awardable 지위가 계약 낙찰, 운영 승인(Authorization to Operate), 배포 승인 또는 보안 인증을 의미하는 것은 아닙니다. 계약 낙찰, 운영 승인, 배포 승인, 보안 인증은 각 고객에게 적용되는 조달 및 승인 절차에 따라 별도로 충족해야 합니다. Awardable 지정은 Sonatype 기능이 필요하다고 판단한 적격 DoW 조직이 평가와 도입을 더 간편하게 추진할 수 있도록 합니다.
“DoW 개발팀이 임무 수행에 필요한 기능을 빠르게 제공하는 것과 환경에 들어오는 소프트웨어를 통제하는 것 중 하나를 선택하도록 강요받아서는 안 됩니다. Sonatype의 Awardable 지위는 정부 고객이 자동화된 소프트웨어 공급망 거버넌스를 실제 업무에 적용하고 개발 초기부터 위험에 대응할 수 있는 또 다른 방법을 제공합니다.”라고 Sonatype 공공 부문 부사장 Christopher Weber는 말했습니다.
Sonatype과 Platform One 협력의 새로운 이정표
이번 지정은 Sonatype과 Platform One이 이어 온 협력을 바탕으로 합니다.
2020년에는 보안이 강화된 Sonatype Lifecycle과 Sonatype Nexus Repository가 Platform One의 승인 애플리케이션 포털에 등록되어 Certification to Field를 받았습니다. 당시에는 보안이 강화된 Sonatype 기능을 Platform One의 컨테이너 생태계에서 기술적으로 사용할 수 있게 하는 데 초점이 맞춰졌습니다.
이번 Awardable 지정은 기술 제공이 아니라 조달 단계에 관한 것입니다. Sonatype이 P1 Solutions MarketPlace에 등록됨에 따라 적격 DoW 조직은 평가를 거친 소프트웨어 공급망 기능을 도입할 때 이미 마련된 절차를 활용할 수 있습니다.
정부 개발 환경에 소프트웨어 공급망 통제를 도입하려면 운영과 조달을 모두 고려해야 합니다. 앞선 두 이정표는 각각 운영과 조달을 다룹니다.
임무 수행을 늦추지 않고 소프트웨어 공급망을 통제하기
효과적인 소프트웨어 공급망 거버넌스는 위험 요소가 애플리케이션에 들어오기 전에 시작됩니다. Sonatype은 컴포넌트가 개발 환경에 유입되고 개발 단계를 거치는 동안 개발·보안·플랫폼 팀이 인텔리전스와 자동화 통제를 적용하도록 지원합니다.
인텔리전스와 자동화 통제를 적용하면 팀은 다음과 같은 작업을 수행할 수 있습니다.
•
무엇이 유입되는지 파악: 애플리케이션, 저장소, 개발 워크플로 전반에서 어떤 오픈소스와 서드파티 컴포넌트가 사용되는지 파악합니다.
•
유입돼서는 안 되는 컴포넌트 차단: 악성, 취약 또는 정책을 준수하지 않는 컴포넌트가 개발 단계로 넘어가지 못하도록 막습니다.
•
개발자가 다음 선택을 내릴 수 있도록 지원: 개선 지침과 더 안전한 컴포넌트 또는 버전 대안을 제공합니다.
•
감사에 활용할 증적 생성: 컴포넌트 사용, 정책 결정, 취약점, 조치 활동을 추적합니다.
현대적인 DoW 소프트웨어 개발 환경에 맞춘 설계
소프트웨어 팩토리, DevSecOps 팀, 플랫폼 엔지니어링 그룹, 애플리케이션 보안팀, 임무 개발 조직은 모두 같은 문제에 직면합니다. 소프트웨어 증가 속도가 사람의 수동 검토 역량을 앞지르고 있기 때문입니다.
보안팀이 모든 컴포넌트 요청과 개발 결정을 하나씩 직접 검토할 수는 없습니다. 개발자에게도 모든 의존성이 보안·라이선스·품질·정책 요구사항에 어떤 영향을 미치는지 일일이 조사하라고 요구해서는 안 됩니다.
자동화 통제를 활용하면 개발 속도를 유지하면서 조직 표준도 일관되게 적용할 수 있습니다. 정책은 개발 마지막 단계의 별도 검토가 아니라 워크플로 자체에 포함됩니다. 개발자는 결정을 바꿀 수 있을 때 필요한 안내를 받고, 보안팀은 모든 결정을 직접 승인하는 병목이 되지 않으면서도 전체 상황을 파악할 수 있습니다.
자동화된 정책 통제를 적용하면 개발 속도와 조직의 책임성을 유지하면서 운영 환경에 더 안전하게 배포할 수 있습니다.
조달에서 임무 성과까지
마켓플레이스에 하나 더 등록되는 것보다 중요한 것은 소프트웨어 공급망 문제를 인식한 뒤 필요한 기능을 실제 적용으로 이어 가는 과정을 단축하는 일입니다.
DoW 전반에서 소프트웨어 개발 속도가 빨라질수록 조직은 환경에 들어오는 컴포넌트를 더 엄격하게 관리해야 합니다. 그러면서도 임무 수행을 늦출 정도의 지연을 만들어서는 안 됩니다.
P1 Solutions MarketPlace에서 Sonatype이 Awardable로 지정되면서 DoW 조직은 필요한 기능을 확인한 뒤 실제 업무에 적용하기까지 이미 마련된 절차를 활용할 수 있게 됐습니다.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide