금융업의 오픈소스 거버넌스: 중국 5개 당국 '의견'에서 실행 프레임워크까지
금융기관은 중국에서 오픈소스의 최대급 엔터프라이즈 사용자이자 규제 요구가 가장 명확한 업계다. 2021년 10월 중국 인민은행 등 5개 당국은 '금융업 오픈소스 기술 응용·발전 규범화에 관한 의견'을 공동 발표해 '오픈소스를 어떻게 쓸 것인가'를 엔지니어링 모범 사례에서 감독 당국의 기대 사항으로 격상시켰다. 3년여가 지나 대다수 기관이 제도를 갖췄지만, 제도와 엔지니어링 사이의 간극은 여전히 일반적이다.
규제 문서의 네 가지 키워드
자산 전모 파악. 금융기관은 오픈소스 기술 사용 현황을 전면적으로 파악해야 한다. 엔지니어링 언어로 옮기면, 어떤 시스템이 어떤 컴포넌트를 어떤 버전·어떤 라이선스로 쓰는지 상시 조회 가능하고 지속 갱신되는 대장을 갖추라는 뜻이다. 수작업 엑셀 대장으로는 '전면적'을 충족할 수 없다. 오픈소스가 시스템에 들어오는 경로는 의존성 선언만이 아니기 때문이다. 외주 납품물, 복사-붙여넣기, 벤더 블랙박스 안의 정적 링크——모두 대장의 사각지대다.
도입 전 평가. 보안성·컴플라이언스·지속가능성을 도입 전에 평가한다. 알려진 취약점 유무만이 아니라 라이선스 의무가 비즈니스 형태와 충돌하지 않는지, 커뮤니티가 건강한지, 공급 중단·개발 중단 리스크가 없는지를 본다.
전 수명주기 관리. 도입·사용·업데이트·퇴역 전 과정에 관리 행위를 두고, 특히 취약점과 버전 상태를 지속 추적한다. 오늘 안전한 컴포넌트가 내일은 중대 뉴스가 될 수 있다.
비상 대응과 출구. 비상 대응 메커니즘을 구축하고 고위험 의존성에는 대체안을 준비한다. Log4Shell의 밤, '우리 시스템 중 무엇이 영향을 받는가'에 1시간 안에 답한 기관과 2주의 전수 조사가 필요했던 기관의 차이는 대응 계획서의 완성도가 아니라 대장과 도구의 일상적 축적이었다.
실행 프레임워크: 대장·도입 심사·모니터링·대응의 사위일체
대장 계층: SCA 플랫폼으로 전체 코드 자산(자체 개발·외주·구매)에서 컴포넌트 대장과 SBOM을 자동 생성한다. 스니펫 수준 탐지가 복사·개명 코드를 커버하고, 소스가 없는 벤더 시스템은 바이너리 성분 분석으로 보완한다. 금융기관 핵심 시스템의 상당수는 벤더 제품이다. 이 고리가 빠지면 대장은 자산의 절반만 커버한다.
도입 심사 계층: 평가를 '전문가 심의회'에서 스캔 게이트로 산업화한다. 라이선스 정책 매트릭스(라이선스 유형 × 사용 방식 × 허용/심사/금지), 취약점 임계값, 커뮤니티 건강도 지표를 도구에 설정해 일반 안건은 자동 판정하고 전문가는 경계 사례만 다룬다.
모니터링 계층: 대장은 연차 문서가 아니라 실시간 뷰다. 새 취약점 인텔리전스(CVE/CNVD/CNNVD 및 조기 경보)를 사용 중 컴포넌트와 자동 대조하고, 적중 시 영향 범위와 함께 경보한다. '지속 추적'의 엔지니어링적 의미가 바로 이것이다.
대응 계층: 대응 계획의 핵심 자산은 '분 단위로 영향 범위에 답하는 능력'이다. 연 1회 이상 오픈소스 비상 훈련을 권한다. 중대 CVE를 무작위로 골라 정보 도착부터 전체 영향 시스템 특정까지 소요 시간을 잰다. 이 숫자가 계획서의 쪽수보다 훨씬 정직하다.
흔한 두 가지 함정
벤더의 컴플라이언스 약속을 자신의 컴플라이언스로 여기는 것. 규제 의무는 금융기관 자신에게 있다. 벤더 계약의 오픈소스 조항(SBOM 제공, 라이선스 보증, 대응 SLA)은 필요하지만, 검수 시 도구로 납품물을 검증해야 루프가 닫힌다. 우리가 금융 프로젝트 감사에서 발견한 라이선스 문제는 정확히 'GPL 미사용 보증'이 계약에 명시된 납품물 안에 있었다.
거버넌스를 규제와 동일시하는 것. 규제의 방향은 '규범화된 사용＋참여 장려'이며, 오픈소스 전면 금지는 비현실적일뿐더러 규제 취지에도 맞지 않는다. 성숙한 거버넌스란 명확한 경계 안에서 엔지니어링 팀이 자유롭게 쓰는 상태를 만드는 것이다. 경계가 명확하고 자동화될수록 사용 효율은 오히려 올라간다.
금융업의 오픈소스 거버넌스에 신비는 없다. 진실한 대장 하나, 자동화된 게이트 하나, 실시간 모니터링 한 세트, 연차 훈련 한 번. 규제 문서가 방향을 제시했으니 남은 것은 엔지니어링 실행력이다.