Sebastien Rousseau
문의하기 ›

암호 자산 명세서

열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서

은행 CTO와 보안 아키텍처 책임자를 위한 엔지니어링 관점의 해석입니다. 첫 번째 양자내성 기한은 마이그레이션 기한이 아니라 식별·조사 기한이며, DORA가 이미 유지하도록 의무화한 ICT 자산 대장은 자산에 관한 모든 것을 기록하면서 그 안의 암호만은 기록하지 않습니다.

11 분 소요
Banner for: 열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서

은행권의 모든 양자내성 로드맵은 존재하지 않는 목록을 전제로 삼습니다. 계획은 작성되었고, 운영위원회는 소집되며, 스코어카드는 황색입니다. 그 아래에는 누군가가 어디에선가 은행이 암호 연산을 수행하는 모든 지점의 목록 — 어떤 알고리즘을, 어떤 키 길이로, 어떤 라이브러리로, 어떤 인증서가 언제 만료되는지 — 을 제시할 수 있다는 가정이 깔려 있습니다. 그렇게 할 수 있는 기관은 거의 없습니다. NCSC의 첫 마일스톤은 마이그레이션 마일스톤이 아닙니다. 2028년을 기한으로 하는 식별·조사 마일스톤이며, 아무도 비용을 산정하지 않은 항목입니다.

경영진 요약

  • 순서는 식별·조사, 그다음 민첩성, 그다음 마이그레이션입니다. NCSC 지침은 2028년에 명확한 식별·조사 마일스톤을, 2031년에 최우선순위 마이그레이션을, 2035년까지 완료를 설정합니다. 열거를 마치기 전에 마이그레이션을 시작하는 기관은 마침 알고 있던 시스템만 이전하게 됩니다.
  • 지금 가진 대장은 지금 마주한 질문에 답하지 못합니다. DORA 제8조는 금융기관에 ICT 자산을 식별·분류·문서화하고 상호의존성을 매핑하도록 요구합니다. 암호 속성은 단 하나도 요구하지 않으므로, 제8조를 완전히 준수하는 대장도 암호 민첩성 계획에는 쓸모가 없을 수 있습니다.
  • 표준은 이미 존재합니다. 키 길이·모드·곡선을 포함한 알고리즘, 키, 인증서, 프로토콜 같은 암호 자산은 ECMA-424로 발행된 CycloneDX로 표현할 수 있습니다. 이것은 조달의 문제가 아니라 스키마의 문제입니다.
  • 가장 어려운 4분의 1은 스캔할 수 없는 영역입니다. 하드웨어 보안 모듈, 결제 전용 장비, 벤더 내장 라이브러리, SaaS 제공사는 스캐너를 겨눈다고 열거되지 않습니다. 그 부분의 목록은 계약상 확인으로 구성되며, 로드맵보다 계약 조항이 먼저 존재해야 합니다.

아무도 비용을 산정하지 않은 기한

공개된 마이그레이션 일정표를 꼼꼼히 읽으면 순서는 분명합니다. 영국 국립사이버보안센터(NCSC)의 로드맵은 식별·조사 — 어떤 시스템과 서비스가 암호에 의존하는지에 대한 완전한 그림 — 를 2028년에, 최우선순위 마이그레이션 작업을 2031년에, 모든 시스템·서비스·제품에 걸친 완료를 2035년에 배치합니다. NIST의 전환 보고서 IR 8547도 이와 양립하는 궤도를 따릅니다. RSA와 ECC를 포함한 양자 취약 공개키 알고리즘은 2030년 이후 사용 축소 대상이 되고 2035년 이후 금지됩니다.

대다수 은행 프로그램은 2035년을 기한으로 내면화했습니다. 계획의 기준점으로 삼기에는 일정표의 반대쪽 끝입니다.

훨씬 중요한 두 날짜가 있습니다. 첫째는 2028년입니다. 식별·조사는 이후 모든 작업의 입력값이기 때문입니다. 분모를 모르는 상태에서는 마이그레이션의 범위도, 비용도, 순서도 정할 수 없습니다. 둘째는 2030년입니다. 규제 대상 기관에서 "사용 축소"는 완곡한 표현이 아니라, 해당 알고리즘에 계속 의존하는 일이 누군가 서명해야 하는 결정으로 바뀌는 시점을 뜻하기 때문입니다.

지금부터 2028년까지 남은 기간은 30개월이 채 되지 않습니다. 대다수 기관이 아직 착수조차 하지 않은 역량을 구축하기에는 예산 주기로 한 번, 많아야 두 번입니다.

DORA 대장은 암호만 빼고 전부 기록합니다

여기서부터가 사람들을 놀라게 하는 대목입니다. 유럽의 대형 은행 대부분은 이미 ICT 자산에 대한 상세하고 정기적으로 검토되는 목록을 유지하고 있습니다. DORA가 그렇게 하도록 의무화했기 때문입니다.

Regulation (EU) 2022/2554 제8조는 금융기관에 ICT로 지원되는 모든 업무 기능, 이를 뒷받침하는 정보와 ICT 자산, 그리고 ICT 리스크와 관련한 그 역할과 의존관계를 식별·분류하고 적절히 문서화할 것을 요구합니다. 나아가 해당 자산의 구성과 자산 간 연결을 매핑하고 이를 지속적으로 검토하도록 합니다.

진지한 목록입니다. 그러나 이 문제에는 형태가 맞지 않습니다.

표 1: 지금 가진 대장과 2028년 마일스톤이 요구하는 대장

질문 ICT 자산 대장(DORA 제8조) 암호 자산 목록(CBOM)
이 자산은 무엇이며 소유자는 누구입니까? 예 — 대장의 핵심입니다 목적이 아닙니다
얼마나 중요하며 무엇에 의존합니까? 예 — 분류와 상호의존성 매핑 자산 대장에서 승계합니다
어떤 알고리즘을 어디에서 사용합니까? 아니요 예 — 구성 요소별로 키 길이, 모드, 곡선까지
어떤 라이브러리가 어떤 버전으로 구현합니까? 부분적으로, SBOM이 있다면 그것을 통해 예, 명시적 관계로
어떤 인증서를 제시하며 언제 만료됩니까? 드물게, 대개 별도의 PKI 도구에서 예
키는 어디에 있으며 어떻게 보호됩니까? 아니요 예 — 경로에 HSM이 있는지까지 포함
이 자산은 양자 취약합니까? 도출할 수 없습니다 직접 답할 수 있습니다

마지막 행이 논지의 전부입니다. 어떤 기관은 제8조를 완전히 준수하고 검사도 통과하면서, "우리 시스템 중 몇 개가 2030년에 무너지는가"라는 질문에는 별도의 식별·조사 프로젝트를 새로 발주하지 않고서는 답하지 못합니다.

이는 DORA에 대한 비판이 아닙니다. 제8조는 복원력과 집중도 문제에 답하기 위해 쓰였고, 그 역할은 잘 해냅니다. 다만 암호 민첩성 문제에 답하도록 쓰이지 않았을 뿐이며, 두 대장은 서로 다른 팀이 소유한 별개의 스프레드시트로 운영될 것이 아니라 결합되어야 합니다.

CBOM에 실제로 무엇이 담기는가

암호 자산 명세서는 시스템 내 암호 자산 — 알고리즘, 키, 인증서, 프로토콜, 그리고 이를 사용하는 소프트웨어 구성 요소와의 관계 — 에 대한 정식 목록입니다.

구조적으로 중요한 점은 이것이 새로운 파일 형식이 아니라는 사실입니다. 암호 자산 지원은 OWASP가 후원하는 자재명세서 사양인 CycloneDX에 기여되었고, 이는 Ecma International 표준 ECMA-424로 발행되었습니다. 따라서 CBOM은 암호 관련 필드가 채워진 CycloneDX 문서입니다. 동일한 스키마로 검증되고, 동일한 파이프라인을 통과하며, 기관이 이미 공급망 목적으로 생산하는 SBOM과 같은 아티팩트 저장소에 안착합니다.

이는 들리는 것보다 중요합니다. 실제로 안착하는 표준과 정체되는 표준을 가르는 것은 대개 새로운 배관 공사를 요구하는지 여부입니다. 이 표준은 요구하지 않습니다.

표 2: CBOM 자산 클래스와 각각이 답하는 마이그레이션 질문

자산 클래스 기록되는 내용 답하는 질문
알고리즘 프리미티브, 키 길이, 모드, 곡선, 패딩, 그리고 수행하는 기능 우리 연산 중 어떤 것이 양자 취약하며, 파라미터 강도는 어느 정도입니까?
키 유형, 길이, 형식, 상태, 그리고 키 자료가 존재하는 위치 어떤 키가 HSM으로 보호되고 어떤 키가 애플리케이션 메모리에 있습니까?
인증서 주체, 발급자, 서명 알고리즘, 유효 기간 마이그레이션 기간 전에 만료되는 것은 무엇이고, 사용 축소 알고리즘으로 서명된 것은 무엇입니까?
프로토콜 프로토콜과 버전, 그리고 제공되는 암호 스위트 설정 파일이 주장하는 바가 아니라, 실제 통신 구간에서 협상되는 것은 무엇입니까?
연관 구성 요소 위 항목을 구현하는 라이브러리, 버전, 코드 위치 이 라이브러리를 교체하면 무엇이 함께 움직입니까?

마지막 행이 목록을 계획으로 바꾸는 지점입니다. 알고리즘 목록은 문제의 크기를 알려줍니다. 이를 구현하는 구성 요소와 결합된 알고리즘 목록은 작업의 형태를 알려줍니다. 마이그레이션 순서는 바로 그것으로 만들어집니다.

식별·조사는 하나가 아니라 네 개의 문제입니다

식별·조사를 단일 작업 흐름으로 다루는 것이 이런 프로그램이 실패하는 가장 흔한 방식입니다. 이것은 네 개의 서로 다른 문제이며, 도구도 네 가지, 담당자도 네 갈래, 신뢰 수준도 크게 다릅니다.

1. 소스 코드 — 코드가 요청하는 것. 자체 저장소에 대한 정적 분석은 암호 호출, 하드코딩된 파라미터, 호출되는 라이브러리를 찾아냅니다. 공개 도구도 있습니다. CBOMkit 프로젝트와 그 SonarQube 플러그인은 소스에서 암호 자산을 탐지하고 CycloneDX를 산출합니다. 신뢰도는 가장 높고 커버리지는 가장 좁습니다. 직접 작성했고 지금도 빌드하는 코드만 보이기 때문입니다.

2. 바이너리와 컨테이너 — 실제로 배포되는 것. 소스 분석은 컴파일된 의존성으로 끌려 들어오거나 베이스 이미지에 구워진 모든 것을 놓칩니다. 컨테이너와 파일시스템 스캔이 그 공백의 일부를 메웁니다. 두 관점이 불일치할 것을 예상하십시오. 그 불일치 자체가 하나의 발견입니다.

3. 네트워크 — 실제로 협상되는 것. 설정은 의도이지 관측이 아닙니다. 자산 전반의 실제 TLS 협상을 수동 관측하는 것만이, TLS 1.3을 문서화한 서비스가 업그레이드하지 않은 내부 거래상대방과는 여전히 더 낮은 버전을 수용하고 있다는 사실을 알아내는 유일한 방법입니다. 결제 인프라에서 그 거래상대방은 대개 가장 중요한 쪽입니다.

4. 벤더와 하드웨어 자산군 — 아예 스캔할 수 없는 것. 하드웨어 보안 모듈, 결제 단말, 네트워크 장비, 메인프레임 서브시스템, 그리고 사슬에 포함된 모든 SaaS 제공사입니다. 어떤 스캐너도 여기까지 닿지 않습니다. 이 4분의 1은 계약에 근거해 질의함으로써 열거되며, 기업금융의 실질적 노출이 집중되는 지점입니다. 청산과 결제를 수행하는 시스템일수록 벤더 공급 비중이 압도적으로 높기 때문입니다.

지금 당장 착수해야 할 것은 네 번째입니다. 소요 기간이 가장 길고, 엔지니어링 과제가 아니기 때문입니다. 이것은 조달 과제입니다. 암호 공개 및 암호 민첩성 조항을 계약서와 갱신 표준 양식에 넣어, 2028년에는 그 답이 호의가 아니라 공급자 의무로 도착하게 만드는 일입니다. 그 조항이 표준 양식에 없는 분기마다, 나중에 다시 열어야 할 갱신 계약이 한 분기어치씩 쌓입니다.

프로젝트가 아니라 통제로 만들기

제가 예상하는 실패 방식은 은행이 목록 작성을 건너뛰는 것이 아닙니다. 일회성으로 발주해 2028년에 방어 가능한 스냅숏을 제출한 뒤 그대로 낡아가게 두는 것입니다. 유지·운영되는 통제로 구축된 것이 아니라 양자내성 프로젝트의 산출물로 예산이 잡혔기 때문입니다.

암호 자산 목록은 자산 대장보다 빠르게 낡습니다. 인증서는 갱신됩니다. 라이브러리는 의존성 자동화가 올려버립니다. 베이스 이미지가 바뀌면 서비스 전체가 조용히 다른 TLS 스택을 갖게 됩니다. 2028년에 찍은 스냅숏은 2029년이면 실질적으로 틀리게 되는데, 바로 그 시점이 2031년 우선순위 산정 작업이 그것에 의존하는 때입니다.

세 가지 약속이 이를 막습니다.

설문이 아니라 파이프라인에서 생성하십시오. CBOM은 SBOM과 나란히 빌드가 산출해야 하며, 릴리스에 대응하는 버전 관리 아티팩트로 저장되어야 합니다. 애플리케이션 담당자에게 설문지를 이메일로 보내 취합한 목록은 도착하는 순간 이미 낡았고, 차분을 낼 수도 없습니다.

차분을 내고, 차분에 경보를 거십시오. 가치 있는 신호는 목록이 아니라 목록의 변화입니다. 새로운 암호 의존성이 생긴 서비스, 유효 기간이 짧아진 인증서, 이전에 없던 자리에 나타난 알고리즘 — 이런 것들이 통제를 둘 만한 사건입니다. SBOM을 보관하는 것보다 SBOM 차분을 내는 것이 더 유용한 이유와 같은 논리입니다.

이미 유지 중인 대장과 결합하십시오. CBOM은 "어떤 암호인가"에 답하고, 제8조 대장은 "얼마나 중요하고, 누구 것이며, 무엇이 의존하는가"에 답합니다. 어느 쪽도 그 자체로는 우선순위가 되지 못합니다. 결합하면 유일하게 의미 있는 순위가 나옵니다. 양자 취약 연산을, 그 위에 얹힌 업무 기능의 중요도 순으로 정렬한 목록입니다. 그 결합이 식별·조사 프로그램의 진짜 산출물이며, 계획서에 그렇게 명시할 가치가 있습니다.

실행 플레이북

  1. 2028년 마일스톤을 보고서가 아니라 역량으로 재정의하십시오. 산출물은 감독당국에 한 번 제출하는 문서가 아니라, 스스로 재생성되는 기계 판독 가능한 유지형 목록입니다.
  2. 지금부터 빌드에서 CBOM을 산출하되, 신규 서비스부터 시작하십시오. 전체 자산을 한 번에 처리하려 하지 마십시오. 올해 새로 구축되거나 실질적으로 변경되는 대상부터 파이프라인에 연결해, 캠페인 없이 커버리지가 축적되게 하십시오.
  3. 이번 분기에 갱신 표준 양식에 계약 조항을 넣으십시오. 암호 공개와 암호 민첩성 확약입니다. 목록의 어떤 항목보다 소요 기간이 길고, 어떤 도구 결정에도 의존하지 않습니다.
  4. 네트워크 관측은 결제·정산 경로부터 수행하십시오. 설정과 현실의 격차가 가장 큰 피해를 낳고 레거시 거래상대방이 집중된 곳입니다.
  5. CBOM을 제8조 대장과 결합하고, 결합 결과로 순위를 매기십시오. 그 순위 목록을 공표하십시오. 엔지니어링 목록을 순서와 예산에 관한 이사회 논의로 전환하는 산출물입니다.
  6. 재생성할 때마다 차분을 내고, 새로운 양자 취약 의존성에 경보를 거십시오. 차분 없는 목록은 아카이브에 불과합니다.

2031년을 여유 있게 통과할 기관은 ML-KEM에 대한 이해가 가장 앞선 곳이 아닙니다. 어느 날 아침이든 프로젝트를 새로 발주하지 않고도 자사의 암호가 실제로 어디에 있는지 답할 수 있는 곳입니다.

자주 묻는 질문

CBOM은 SBOM과 다른 것입니까?
채워지는 필드가 다를 뿐 같은 문서 유형입니다. 암호 자산 지원은 CycloneDX에 상류로 반영되었고 CycloneDX는 ECMA-424로 발행되므로, CBOM은 SBOM과 동일한 스키마로 검증되고 동일한 도구 체인을 통과합니다. 이미 SBOM을 생성하는 기관은 스스로 생각하는 것보다 이 일에 훨씬 가까이 와 있습니다.

DORA가 암호 자산 목록을 요구합니까?
그런 표현으로는 요구하지 않습니다. Regulation (EU) 2022/2554 제8조는 ICT 자산의 식별·분류·문서화와 그 구성 및 상호의존성 매핑을 요구합니다. 암호 속성은 기록 의무 대상 속성에 포함되지 않으며, 그래서 제8조를 준수하는 대장도 확장하지 않고서는 양자 취약성 질문에 답할 수 없습니다.

식별·조사가 왜 마이그레이션보다 그렇게 앞서 끝나야 합니까?
우선순위 산정의 입력값이기 때문입니다. NCSC 지침이 식별·조사를 2028년에, 최우선순위 마이그레이션을 2031년에 둔 것은 자산 전반의 순위를 매기고 작업 순서를 짤 명확한 구간을 확보하기 위해서입니다. 둘을 압축하면 가장 중요한 것이 아니라 가장 잘 아는 것부터 이전하게 됩니다.

벤더 하드웨어와 SaaS 내부의 암호는 어떻게 목록화합니까?
스캔하지 않고 공개를 요구합니다. 하드웨어 보안 모듈, 결제 전용 장비, 서비스 제공사는 계약상 암호 공개 및 암호 민첩성 의무의 적용을 받아야 합니다. 이는 엔지니어링 공수가 아니라 갱신 주기에 좌우되므로 프로그램 전체에서 소요 기간이 가장 길며, 가장 먼저 착수해야 합니다.

도구가 성숙할 때까지 기다려야 합니까?
아닙니다. 도구 논쟁은 대개 예산 논쟁의 대리물입니다. 공개 구현체는 이미 소스와 컨테이너 이미지에서 CycloneDX 암호 자산 목록을 산출하고 있으며, 사양은 승인된 표준입니다. 2028년 마일스톤의 제약은 도구 가용성이 아니라 커버리지와 계약상 영향력입니다.

참고 문헌

최종 검토 .

이 기사 재게시하기

Medium용 형식 복사

# 열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau

> Originally published at [https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/](https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/)

2028년 NCSC 식별·조사 기한은 어떤 마이그레이션 기한보다 먼저 도래합니다. DORA 자산 대장은 서버와 소유자, 중요도는 기록하지만 알고리즘도 키 길이도 인증서 만료일도 담지 않습니다. 은행이 이 기한을 맞출 수 없는 이유이며, CBOM이 바로 그 빠진 데이터 모델입니다.

Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

Mastodon용 형식 복사

열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau

2028년 NCSC 식별·조사 기한은 어떤 마이그레이션 기한보다 먼저 도래합니다. DORA 자산 대장은 서버와 소유자, 중요도는 기록하지만 알고리즘도 키 길이도 인증서 만료일도 담지 않습니다. 은행이 이 기한을 맞출 수 없는 이유이며, CBOM이 바로 그 빠진 데이터 모델입니다.

https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

LinkedIn용 형식으로 복사

열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau

2028년 NCSC 식별·조사 기한은 어떤 마이그레이션 기한보다 먼저 도래합니다. DORA 자산 대장은 서버와 소유자, 중요도는 기록하지만 알고리즘도 키 길이도 인증서 만료일도 담지 않습니다.

주요 전략적 시사점은 다음과 같습니다:

- 아무도 비용을 산정하지 않은 기한. 공개된 마이그레이션 일정표를 꼼꼼히 읽으면 순서는 분명합니다.
- DORA 대장은 암호만 빼고 전부 기록합니다. 여기서부터가 사람들을 놀라게 하는 대목입니다.
- CBOM에 실제로 무엇이 담기는가. 암호 자산 명세서는 시스템 내 암호 자산 — 알고리즘, 키, 인증서, 프로토콜, 그리고 이를 사용하는 소프트웨어 구성 요소와의 관계 — 에 대한 정식 목록입니다.
- 식별·조사는 하나가 아니라 네 개의 문제입니다. 식별·조사를 단일 작업 흐름으로 다루는 것이 이런 프로그램이 실패하는 가장 흔한 방식입니다.

이 글에서 다룬 과제에 대한 귀 조직의 접근 방식은 무엇입니까?

→ https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

#암호자산명세서 #Cbom #Cyclonedx #Ecma424 #암호자산목록

Sebastien Rousseau | CC-BY-4.0
이 기사 인용

열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau

2028년 NCSC 식별·조사 기한은 어떤 마이그레이션 기한보다 먼저 도래합니다. DORA 자산 대장은 서버와 소유자, 중요도는 기록하지만 알고리즘도 키 길이도 인증서 만료일도 담지 않습니다. 은행이 이 기한을 맞출 수 없는 이유이며, CBOM이 바로 그 빠진 데이터 모델입니다.

BibTeX

@online{rousseau2026열거할,
  author  = {Rousseau, Sebastien},
  title   = {{열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau}},
  year    = {2026},
  url     = {https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/},
  urldate = {2026}
}

RIS

TY  - GEN
AU  - Rousseau, Sebastien
TI  - 열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau
PY  - 2026
UR  - https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/
ER  -

Vancouver

Rousseau S. 열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau. sebastienrousseau.com. 2026 Jul 28. Available from: https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

Chicago

Rousseau, Sebastien. "열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau." sebastienrousseau.com. July 28, 2026. https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/.

APA

Rousseau, S. (2026, July 28). 열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

이 기사 재게시

열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau

2028년 NCSC 식별·조사 기한은 어떤 마이그레이션 기한보다 먼저 도래합니다. DORA 자산 대장은 서버와 소유자, 중요도는 기록하지만 알고리즘도 키 길이도 인증서 만료일도 담지 않습니다. 은행이 이 기한을 맞출 수 없는 이유이며, CBOM이 바로 그 빠진 데이터 모델입니다.

이 기사의 라이선스는 Creative Commons Attribution 4.0 International. 재게시 시 정규 URL 출처 표시가 필요합니다.

열거할 수 없는 것은 이전할 수 없습니다: 은행에 아직 없는 암호 자산 명세서 — Sebastien Rousseau

2028년 NCSC 식별·조사 기한은 어떤 마이그레이션 기한보다 먼저 도래합니다. DORA 자산 대장은 서버와 소유자, 중요도는 기록하지만 알고리즘도 키 길이도 인증서 만료일도 담지 않습니다. 은행이 이 기한을 맞출 수 없는 이유이며, CBOM이 바로 그 빠진 데이터 모델입니다.

Originally published at https://sebastienrousseau.com/ko/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER