에스코어 | [언론보도] “위험 발견과 관리는 별개”…에스코어, AI 시대 ‘SW 관리 거버넌스’ 제시

뉴스룸

에스코어의 새로운 소식을 전해드립니다.

2026.10.29

안녕하세요, 에스코어입니다.

AI가 소프트웨어 개발과 업무 자동화를 가속하면서,

기업이 사용하는 소프트웨어를 어떻게 관리할 것인가에 대한 질문이 다시 중요해지고 있습니다.

이러한 흐름 속에서 에스코어는 지난 10월 28일 서울 강남구 한국과학기술회관에서 열린 ‘2026 K-오픈소스 AX’ 콘퍼런스에 기조발표로 참여하여

AI 시대의 소프트웨어 관리 전략에 대한 인사이트를 공유했습니다.

전자신문과 한국오픈소스협회가 공동 주최한 이번 행사는 ‘오픈소스 AX: 실전 도입과 산업확장 전략’을 주제로,

기업과 공공기관이 오픈소스 기반 AX를 추진할 때 필요한 기술과 도입·운영 방안을 공유하는 자리로 마련되었습니다.

에스코어 오픈소스사업팀 강윤미 거버넌스 파트장은 ‘AI 시대, 기업의 소프트웨어 관리 전략을 다시 설계하다’를 주제로 기조발표를 진행했습니다.

강 파트장은 국내 반도체 대기업의 운영 시스템 1,000여 개를 대상으로 4~5년간 오픈소스 리스크를 점검해 온 경험을 바탕으로,

현장에서 반복해서 마주한 질문에서 발표를 시작했습니다. 점검 결과를 보고하고 나면 늘 같은 질문이 돌아온다는 것입니다. “그래서 우리 서비스는 괜찮으냐”

많은 기업이 점검 정보는 충분히 가지고 있으면서도 최종 의사결정에는 어려움을 겪습니다.

원인은 정보의 분산에 있습니다. 개발 조직은 소스코드와 라이브러리를, 운영 조직은 설치된 소프트웨어를, 보안 조직은 점검 결과를 각각 관리하다 보니

조치의 우선순위와 위험을 수용할 주체를 정하기 어렵습니다. 강 파트장은 시스템이 10~20개를 넘어서는 순간, 이것은 담당자 개인의 문제가 아니라 관리 체계의 문제가 된다고 짚었습니다.

그래서 강 파트장이 제시한 핵심 진단은 이것입니다. “위험을 발견하는 일과 위험을 관리하는 일은 명확하게 다르다”

위험 발견은 점검 도구의 몫이지만, 이를 비즈니스 환경에서 통제하고 조치하는 일은 조직과 프로세스의 몫이라는 것입니다.

“단순히 화면에 예쁘게 모아 보여주는 것이 가시성이 아니다”라며, 소프트웨어 구성 요소가 업무 서비스·담당 조직·내부 규정과 연결될 때 비로소 실질적인 가시성이 확보된다고 강조했습니다.

강 파트장은 이를 위한 네 가지 전략을 제안했습니다.

첫째, 소프트웨어 구성요소 정보를 서비스·업무 중요도·책임자와 연결하고 SBOM으로 평소에 관리할 것.

둘째, 기술적 심각도가 아니라 업무 영향에 따라 긴급 수정·보완 통제·관찰 재평가로 대응을 구분할 것.

셋째, 내려진 결정이 실제 운영 환경에 반영되었는지까지 추적할 것.

넷째, 도입부터 운영까지 검증을 연결하되, 책임 판단은 사람이 맡는 개발 프로세스 통제를 갖출 것.

판단의 기준으로는 보안(공격 경로와 정보 유출 영향), 사용 권리(라이선스 변경 리스크), 운영 지속성(EOL 및 정기 업데이트 연속성) 세 가지를 함께 제시했습니다.

실제 효과도 소개됐습니다. 평소 SBOM 정보를 유지해 온 한 기업은 최근 오픈소스 보안 사고가 발생했을 때 영향 분석부터 책임자 안내, 임원 보고까지 2시간 만에 마칠 수 있었습니다.

AI 코딩 도구에 대해서는 반복 검증을 CI/CD 파이프라인에서 자동화하되, 업무 영향도 판단과 위험 수용은 사람이 맡아야 한다고 덧붙였습니다.

“AI가 검증하니 맡기면 된다고 생각해서는 안 된다”는 것이 강 파트장의 당부였습니다.

에스코어는 앞으로도 AI와 오픈소스가 결합된 환경에서 고객사가 안전하고 지속 가능한 혁신을 이어갈 수 있도록,

소프트웨어 관리 거버넌스 분야의 파트너로서 최적의 해법을 제공하겠습니다.

자세한 내용은 여기를 클릭하셔서 기사 원문을 열람하시기 바랍니다.