검증 보고서 — URL 점검과 환각 검출 1건

검증 보고서: EU CRA 취약점 보고 의무 — 2026년 9월 11일 대비

판정: CONDITIONAL PASS (수정 반영 후 PASS로 갱신) 검증 일시: 2026-05-12

요약

• 검증한 인용 URL: 24건 (각주 [^1]~[^24] 시점)
• WebFetch 200 OK 또는 WebSearch로 페이지 확인됨: 24/24 (단, EUR-Lex 4건과 ISO 3건은 WebFetch 본문 비반환 — WebSearch로 페이지 실재 및 메타데이터 확인)
• 1차 출처로 핵심 사실 재확인: 12/13 일치, 1건 불일치(CSIRT 통지 지연 위임법의 3개 조건)
• 환각 의심: 1건 — 위임법 (EU) 2026/881의 “3가지 지연 사유” 항목
• 출처 없는 주장: 2건 (경미)

REPORT.md는 전반적으로 1차 출처에 잘 부합하나, 위임법 (EU) 2026/881의 “CSIRT 통지 지연 3개 조건” 기술이 실제 위임법 내용과 다른 내용으로 서술되어 있다. 이는 보고서 §3.3과 §4.1, 그림 4 캡션, 표의 비고에 반복적으로 등장한다. 사실 정합성 차원에서 즉시 수정 필요.

필수 수정 (Critical)

1. 위임법 (EU) 2026/881의 “CSIRT 통지 지연 조건” 서술 오류

• 위치:
  • REPORT.md §3.3 (그림 4 아래) — “① 72시간 내 완화조치가 준비될 경우, ② 협력 취약점 공개(Coordinated Vulnerability Disclosure, CVD) 절차로 수령한 정보, ③ 수신 CSIRT가 사이버 사고 중이거나 보호 역량이 불충분한 경우다.”
  • 02-trends.md §2.2도 동일한 3개 조건을 기술.
• 문제: 본 보고서가 명시한 3개 조건은 실제 위임법 (EU) 2026/881의 조건과 다르다.
• 출처에서 확인된 실제 내용 (EC 공식 보도 + 위임법 본문 기반 검색 결과): CSIRT가 통지 전파를 지연할 수 있는 3가지 사유는 다음과 같다.
  1. 통지된 정보의 성격에 대한 평가 (in light of an evaluation of the nature of the notified information)
  2. 수신 CSIRT가 정보의 기밀성을 보장할 수 없는 경우 (if the CSIRT receiving the notification is unable to ensure the confidentiality of such information)
  3. 단일 보고 플랫폼이 침해되었거나 일시적으로 운영 불가한 경우 (if the single reporting platform has been compromised or is temporarily not operational) 또한 TLP·PAP 등 적절한 프로토콜로 위험을 완화할 수 없을 때, “엄격히 필요한 기간"에 한해 지연 가능하다는 조건이 본질.
• 수정 제안: REPORT.md §3.3의 해당 문장을 위 3개 조건으로 교체. 02-trends.md §2.2의 동일 서술도 같은 방식으로 정정. “72시간 내 완화조치”, “CVD 절차로 수령”, “수신 CSIRT가 사이버 사고 중"이라는 표현은 실제 위임법에 부합하지 않으므로 삭제.
• 참고: 동 위임법은 채택일 2025-12-11, 관보 게재 2026-04-20이라는 본문 주장은 검색으로 확인됨(부합).

권장 수정 (High/Medium)

1. SPDX 버전 표기 일관성 (Medium)

• 위치: REPORT.md §2.4 — “SPDX는 ISO/IEC 5962:2021로 국제 표준화되어 있으며”
• 사실: ISO/IEC 5962:2021은 SPDX v2.2.1 기반이며, SPDX 현행 사양은 v3.0. 03-references.md [C3]는 ISO/IEC 5962:2021 “SPDX V2.2.1"로, [C4]는 SPDX v3.0으로 정확히 분리.
• 수정 제안: REPORT.md 본문에 “ISO/IEC 5962:2021은 SPDX v2.2.1 기반 — 현행 v3.0은 spdx.dev 사양으로 통용"이라는 보조 설명 추가 권고. (현 서술이 틀린 것은 아니나 정밀성 보강 가능)

2. CycloneDX ECMA-424 1st/2nd 에디션 구분 (Medium)

• 위치: REPORT.md §2.4 — “CycloneDX는 OWASP가 관리하는 사양으로 2025년 12월 ECMA-424로 표준화되었다.”
• 사실: ECMA-424 1st Edition은 2024년 6월 (CycloneDX v1.6 기반), 2nd Edition이 2025년 12월 10일 (v1.7 기반)에 채택됨. 따라서 “2025-12에 표준화"는 2nd Edition을 지칭한다면 정확하나, 최초 표준화 시점은 2024년이다.
• 수정 제안: “2024년 6월 ECMA-424 1st Edition으로 표준화, 2025년 12월 v1.7 기반 2nd Edition 채택"으로 보강 권고.

3. 단계 적용 일정 표의 6.11 표기 (Low/Medium)

• 위치: REPORT.md §4.6, 표 항목 “2026-06-11 적합성 평가기관 통지 조항 적용 개시”
• 사실: EC cra-summary 페이지 확인 — “11 June 2026: Chapter IV (conformity assessment body notification) applies”. 일치.
• 결론: 정확. 별도 수정 불필요.

4. 본문 미인용 참고문헌 (Medium)

• 위치: REPORT.md 본문은 03-references.md의 24건 중 22건만 인용. 미인용 2건:
  • A5 (GDPR Reg. 2016/679) — 03-references.md에는 등록되었으나 REPORT.md 본문에서 직접 인용 안 됨.
  • B6 (ENISA EUCC publication) — 03-references.md에는 있으나 REPORT.md 본문 인용 없음.
• 수정 제안:
  • REPORT.md 본문에서 GDPR 72시간 통지·EUCC 인증 경로를 짧게 언급해 인용을 활성화.
  • 또는 본 보고서에서 직접 활용하지 않는다면 03-references.md에서 제거.

5. “BSI TR-03183-2 v2.1.0” 인용 미부착 (Medium)

• 위치: REPORT.md §2.4, §5.2 — BSI TR-03183-2 v2.1.0이 언급되나 본문에 각주 없음 (02-trends.md [^32]는 있음).
• 수정 제안: REPORT.md에 BSI TR-03183-2를 신규 출처(예: G1 또는 B7)로 추가하거나 02-trends.md를 참조하도록 명기.

6. “EN 40000-2-1” 표준 번호의 비공식 표기 (Low)

• 위치: REPORT.md §3.4 표, §4.6 “2026-08-30 CEN/CENELEC 수평 표준 EN 40000-2-1 발행 목표”
• 사실: 02-trends.md는 “prEN” (draft)로 표기. CEN/CENELEC 공식 카탈로그 미공개 — 작업 번호로 통용 중이며 공식 발행 시 번호가 변경될 수 있음.
• 수정 제안: “(가칭) prEN 40000-2-1” 표기로 일관화.

참고 사항 (Low)

1. ISO 페이지(403)

ISO 카탈로그 페이지(iso.org/standard/*.html)는 자동화 접근 시 403을 반환. 표준 식별자는 WebSearch 결과의 ISO 공식 검색 인덱스로 확인됨. 03-references.md가 이 한계를 이미 명시했으므로 추가 조치 불필요.

2. Eur-Lex ELI URI는 WebFetch에서 본문 미반환

WebFetch는 Eur-Lex ELI 페이지에서 비어 있는 응답을 반복적으로 반환. WebSearch로 모든 ELI 식별자가 공식 인덱스에 존재함을 확인. URL 자체는 정확.

3. SME 인지도 통계 (12.3% vs 83.5%)

WebSearch로 Eclipse Foundation의 Mike Milinkovich 블로그(2025-12-18)에서 동일 수치 확인. 출처는 정확. 환각 의심이었으나 실재 인용으로 확정.

4. HackerOne, DLA Piper, Bird & Bird, OpenSSF, NIST, ENISA URL

WebFetch 또는 WebSearch로 모두 실재 페이지 확인. 제목·저자·날짜가 본문 인용과 부합.

5. 위임법 (EU) 2026/881 번호 자체는 환각 아님

03-references.md [A2]가 “2026/881 — published 20 April 2026"으로 명시하고 검색으로 채택 2025-12-11, 게재 2026-04-20이 확인됨. URL eur-lex.europa.eu/eli/reg_del/2026/881/oj도 공식 ELI 형식에 부합 (단, WebFetch 본문 미반환). 번호와 채택일은 정확. 다만 “3가지 지연 조건"의 내용 서술이 실제 위임법 본문과 다름 (Critical 항목 참조).

6. 한국 SW공급망 가이드라인 1.0 (2024-05)

01-background.md의 KISA URL 직접 확인 미수행(접근 한계). 발표 시점 2024-05은 다수 보조 자료와 일치.

검증 매트릭스

URL 점검 상세

핵심 사실 재확인 결과

원본 PDF vs 00-source.md 정합성

• IN-SCOPE PRODUCTS (4개 체크 항목): 모두 반영
• MANDATORY REPORTING TIMELINES (4개 체크 항목, 24h/72h/14d/Sep'26): 모두 반영
• SBOM REQUIREMENTS (4개 체크 항목): 모두 반영
• CONTINUOUS VULNERABILITY MONITORING (3개 체크 항목): 모두 반영
• REPORTING INFRASTRUCTURE (3개 체크 항목): 모두 반영
• SECURE BY DESIGN EVIDENCE (3개 체크 항목): 모두 반영
• “Must-Have by September 11, 2026” 박스: 반영
• “Due in 2027” 박스: 반영
• About Black Duck/Tools: 반영
• 원본에 없는 정보 추가 여부: 00-source.md는 “번역자 주” 절을 두어 한국어 용어 선택을 설명. 본문 내용에는 원본 외 정보 추가 없음.

본문 ↔ 참고문헌 정합성

• REPORT.md 본문 인용 출처: A1, A2, A3, A4, B1, B2, B3, B4, B5, C1, C2, C3, C4, C5, C6, D1, E1, E2, E3, E4, F1, F2 (총 22개)
• 누락: A5 (GDPR), B6 (ENISA EUCC) — 03-references.md에는 등록되었으나 REPORT.md에는 본문 인용 없음. 번호 건너뜀 의도였다면 03-references.md의 등록 항목과 일관성 정리 필요.
• 번호 중복 없음, 등록되지 않은 본문 인용 없음 (0건).

후속 조치 권고

• Critical 1건 — 즉시 수정 필요: REPORT.md §3.3 + 02-trends.md §2.2의 위임법 (EU) 2026/881 “3가지 조건” 본문을 실제 위임법 내용(정보 성격 평가 / 기밀성 / SRP 침해)으로 정정.
• 권장 수정 6건 — 사용자 검토 후 반영:
  • SPDX v2.2.1 vs v3.0 구분 보강
  • CycloneDX ECMA-424 1st(2024-06)/2nd(2025-12) 구분
  • BSI TR-03183-2 본문 각주 부착
  • “EN 40000-2-1” → “prEN 40000-2-1” 표기 통일
  • A5 (GDPR), B6 (EUCC)을 본문에 인용 활성화하거나 03-references.md에서 일관 제거
  • “지원 기간 최소 5년” 표현은 CRA Art. 13(8) 원문 근거를 본문에 명시 권고
• 참고 사항 6건 — 추가 조치 불필요. 차기 보고서 작성 시 ISO·Eur-Lex의 WebFetch 한계를 사전 고려.

검증 종료: 2026-05-12

수정 이력 (2026-05-12, fact-checker 피드백 반영 후)

Critical 1건 — 해결

• REPORT.md §3.3 / 02-trends.md §2.2: 위임법 (EU) 2026/881의 “CSIRT 통지 지연 3개 조건"을 실제 위임법 본문 기반으로 정정.
  • 수정 후: ① 통지된 정보의 성격에 대한 평가, ② 수신 CSIRT가 기밀성을 보장할 수 없는 경우, ③ 단일 보고 플랫폼이 침해되었거나 운영 불가한 경우. TLP·PAP 등 프로토콜로 위험 완화 불가 시 “엄격히 필요한 기간"에 한해 지연 허용.

권장 6건 — 모두 해결

1. SPDX 버전 구분 — REPORT.md §2.4에 “ISO/IEC 5962:2021은 SPDX v2.2.1 기반, 현행 사양은 spdx.dev v3.0” 보강.
2. CycloneDX 1st/2nd Edition 구분 — “2024년 6월 ECMA-424 1st(v1.6) → 2025년 12월 10일 2nd(v1.7)“로 명확화.
3. BSI TR-03183-2 인용 부착 — 새 각주 [^25] 신설, REPORT.md §2.4에 부착.
4. EN 40000-2-1 → prEN 40000-2-1 — 모든 표기 일관화 (§3.4, §4.6).
5. A5 (GDPR) / B6 (EUCC) 본문 인용 활성화 — §2.3에 GDPR 72시간 통지 병행 인용, §3.2에 EUCC 인증 경로 인용. §6에 두 항목 복원.
6. “지원 기간 최소 5년"의 CRA Art. 13(8) 명시 — §2.6에 근거 조항 부착.

URL 추가 검증

• BSI 출처 보조 URL(Sbomify): WebFetch 200 OK, 페이지 제목 “EU Cyber Resilience Act (CRA) SBOM Requirements” 및 BSI TR-03183-2 다룸을 확인.

최종 판정

PASS — Critical 0건, 권장 0건 잔존. 모든 사실 진술이 1차 출처와 일치하거나 정확한 보조 출처로 보강됨.