IT 위키 - 사용자 기여 [ko]

SBOM

2026-06-05T07:59:48Z

기사기사: 새 문서: SBOM(Software Bill of Materials, 소프트웨어 자재 명세서 또는 소프트웨어 구성요소 명세서)은 특정 소프트웨어를 구성하는 컴포넌트, 버전, 공급자, 식별자, 의존관계, 라이선스, 생성 시점 등을 기계가 처리할 수 있는 형식으로 기록한 소프트웨어 공급망 투명성 문서이다.<ref name="nist-sbom">「Software Security in Supply Chains: Software Bill of Materials (SBOM)」, NIST, URL: https://www.nist.gov/i...

SBOM(Software Bill of Materials, 소프트웨어 자재 명세서 또는 소프트웨어 구성요소 명세서)은 특정 소프트웨어를 구성하는 컴포넌트, 버전, 공급자, 식별자, 의존관계, 라이선스, 생성 시점 등을 기계가 처리할 수 있는 형식으로 기록한 소프트웨어 공급망 투명성 문서이다.<ref name="nist-sbom">「Software Security in Supply Chains: Software Bill of Materials (SBOM)」, NIST, URL: https://www.nist.gov/itl/executive-order-14028-improving-nations-cybersecurity/software-supply-chain-security-guidance-20, 확인일: 2026-06-05.</ref>

== 개요 ==
SBOM은 제조업의 자재명세서(BOM, Bill of Materials) 개념을 소프트웨어 분야에 적용한 것이다. 하나의 애플리케이션은 직접 작성한 코드뿐 아니라 오픈소스 라이브러리, 상용 컴포넌트, 프레임워크, 컨테이너 이미지, 운영체제 패키지, 빌드 도구, 런타임 의존성 등으로 구성된다. SBOM은 이러한 구성요소와 관계를 명확히 기록하여 취약점 대응, 라이선스 준수, 공급망 위험관리, 감사 대응에 활용한다.

미국 행정명령 14028의 정의를 인용한 NIST 자료는 SBOM을 “소프트웨어를 만드는 데 사용된 여러 컴포넌트의 세부사항과 공급망 관계를 담은 공식 기록”으로 설명한다. 같은 자료는 SBOM이 투명성, 출처 확인, 취약점 식별·조치 속도 향상에 도움을 줄 수 있다고 설명한다.<ref name="nist-sbom" />

== 필요성 ==
현대 소프트웨어는 대부분 외부 패키지와 오픈소스에 의존한다. 이 때문에 특정 라이브러리에서 취약점이 발견되면 조직은 자사 제품이나 운영 시스템이 해당 컴포넌트를 포함하는지 빠르게 파악해야 한다. SBOM이 없으면 저장소, 빌드 스크립트, 컨테이너 이미지, 배포 산출물을 수작업으로 추적해야 하므로 대응 시간이 길어진다.

SBOM의 주요 필요성은 다음과 같다.

* '''취약점 대응''': CVE, NVD, OSV 등 취약점 데이터베이스와 구성요소 목록을 대조하여 영향 여부를 확인한다.
* '''공급망 투명성''': 제품에 포함된 직접·간접 의존성을 파악하여 공급망 위험을 관리한다.
* '''라이선스 관리''': 오픈소스 라이선스 의무사항, 충돌, 고지 필요 여부를 확인한다.
* '''구매·조달 보안''': 발주자가 납품 소프트웨어의 구성요소와 보안 상태를 검토할 수 있다.
* '''사고 대응''': Log4j와 같은 광범위한 취약점 발생 시 영향을 받는 제품과 서비스를 빠르게 식별한다.
* '''규제 대응''': 미국, 유럽, 의료기기, 공공조달 등에서 요구되는 소프트웨어 공급망 보안 요구사항을 충족하는 데 활용된다.

== 주요 구성 요소 ==
NTIA의 2021년 최소 요소 보고서는 SBOM의 기본 요소를 데이터 필드, 자동화 지원, 운영 관행이라는 세 영역으로 정리하였다.<ref name="ntia-minimum">「The Minimum Elements For a Software Bill of Materials (SBOM)」, NTIA, URL: https://www.ntia.gov/sites/default/files/publications/sbom_minimum_elements_report_0.pdf, 확인일: 2026-06-05.</ref>

{| class="wikitable"
! 영역 !! 내용
|-
| 데이터 필드 || 공급자, 컴포넌트명, 컴포넌트 버전, 기타 고유 식별자, 의존관계, SBOM 작성자, 타임스탬프 등
|-
| 자동화 지원 || 자동 생성, 기계 판독 가능 형식, 도구 간 교환 가능성
|-
| 운영 관행 || 생성 빈도, 제공 방식, 접근 통제, 오류 수정, 알려진 미확인 사항, SBOM 범위 관리
|}

실무적으로는 다음 정보가 함께 포함되는 경우가 많다.

{| class="wikitable"
! 항목 !! 설명
|-
| 컴포넌트명 || 라이브러리, 패키지, 모듈, 이미지, 바이너리 등의 이름
|-
| 버전 || 컴포넌트의 정확한 버전, 릴리스, 빌드 번호
|-
| 공급자·작성자 || 컴포넌트를 만든 조직, 프로젝트, 벤더, 유지보수자
|-
| 식별자 || PURL, CPE, SWID, SPDX ID, 해시 등 기계적으로 대조 가능한 식별자
|-
| 의존관계 || 직접 의존성과 전이 의존성의 관계
|-
| 라이선스 || 컴포넌트에 적용되는 오픈소스 또는 상용 라이선스
|-
| 해시 || 컴포넌트 무결성 확인을 위한 암호학적 해시
|-
| 생성 정보 || SBOM 생성 도구, 생성 시점, 생성 주체, 대상 소프트웨어 버전
|-
| 취약점 정보 || 알려진 취약점, 영향 여부, 패치 상태, VEX 정보 등
|}

== SBOM 유형 ==
CISA는 SBOM 문서가 생성되는 시점과 방식에 따라 여러 유형을 구분한다.<ref name="cisa-types">「Types of Software Bill of Materials (SBOM)」, CISA, URL: https://www.cisa.gov/resources-tools/resources/types-software-bill-materials-sbom, 확인일: 2026-06-05.</ref>

{| class="wikitable"
! 유형 !! 설명
|-
| Design SBOM || 설계 단계에서 예상되는 컴포넌트와 의존성을 기록한 SBOM
|-
| Source SBOM || 소스코드와 패키지 매니페스트를 기준으로 생성한 SBOM
|-
| Build SBOM || 빌드 과정에서 실제 포함된 컴포넌트를 기준으로 생성한 SBOM
|-
| Analyzed SBOM || 바이너리, 컨테이너 이미지, 펌웨어 등 산출물을 분석하여 생성한 SBOM
|-
| Deployed SBOM || 운영 환경에 배포된 소프트웨어와 설정을 기준으로 생성한 SBOM
|-
| Runtime SBOM || 실행 중 로딩된 라이브러리, 플러그인, 서비스 호출 등 런타임 상태를 반영한 SBOM
|}

일반적으로 보안 활용성은 빌드 또는 배포 산출물에 가까울수록 높아지지만, 설계·소스 단계 SBOM도 조기 위험 식별과 라이선스 검토에 유용하다.

== 표준 형식 ==
SBOM은 사람이 읽는 문서보다 기계가 처리할 수 있는 표준 형식으로 생성·교환되는 것이 중요하다.

{| class="wikitable"
! 형식 !! 설명
|-
| SPDX || System Package Data Exchange. 리눅스 재단 계열 프로젝트로 시작된 개방형 표준이며, ISO/IEC 5962:2021 국제표준으로도 채택되었다. SPDX 3.0 계열은 소프트웨어뿐 아니라 AI, 데이터, 보안 참조 등으로 표현 범위를 확장하였다.<ref name="spdx">「The System Package Data Exchange™ (SPDX®)」, SPDX, URL: https://spdx.dev/, 확인일: 2026-06-05.</ref>
|-
| CycloneDX || OWASP 기반의 BOM 표준으로, SBOM뿐 아니라 SaaSBOM, HBOM, CBOM, AI/ML-BOM, VEX 등 공급망 위험관리를 위한 여러 BOM 유형을 지원한다.<ref name="cyclonedx">「CycloneDX: The International Standard for Bill of Materials」, CycloneDX, URL: https://cyclonedx.org/, 확인일: 2026-06-05.</ref>
|-
| SWID 태그 || Software Identification Tag. 소프트웨어 식별과 설치 자산 관리를 위해 사용되는 태그 기반 형식이다.
|}

SPDX와 CycloneDX는 모두 널리 사용되는 SBOM 형식이다. SPDX는 라이선스, 저작권, 패키지 식별, 규정 준수 정보 표현에 강점이 있고, CycloneDX는 보안, 취약점, 서비스, 의존관계, VEX, 운영 환경 정보 표현에 중점을 둔다. 실제 조직에서는 규제 요구, 도구 호환성, 고객 요구사항에 따라 하나 또는 둘 모두를 지원하는 경우가 많다.

== 생성 방식 ==
SBOM은 개발·빌드·배포·운영 단계에서 자동 생성되는 것이 바람직하다.

{| class="wikitable"
! 방식 !! 설명 !! 장점 !! 한계
|-
| 매니페스트 기반 생성 || package-lock.json, pom.xml, requirements.txt, go.mod 등 의존성 파일을 분석 || 빠르고 개발 단계에 통합하기 쉬움 || 실제 빌드 산출물과 차이가 날 수 있음
|-
| 빌드 기반 생성 || CI/CD 또는 빌드 시스템에서 실제 포함된 컴포넌트를 기록 || 실제 산출물과의 일치도가 높음 || 빌드 환경 통합이 필요함
|-
| 컨테이너·이미지 분석 || 컨테이너 이미지, OS 패키지, 애플리케이션 패키지를 스캔 || 배포 대상 기준 분석 가능 || 숨겨진 바이너리나 동적 다운로드 컴포넌트 탐지가 어려울 수 있음
|-
| 바이너리 분석 || 실행 파일, 펌웨어, 라이브러리 바이너리에서 구성요소를 추정 || 소스코드가 없을 때 유용 || 정확도와 식별 가능성이 도구에 크게 의존함
|-
| 런타임 관찰 || 실행 중 로딩되는 라이브러리와 서비스 호출을 관찰 || 실제 사용 컴포넌트 파악 가능 || 운영 부하와 관찰 범위 제한이 있을 수 있음
|}

== 활용 절차 ==
SBOM 기반 보안 관리는 단순히 파일을 생성하는 것에서 끝나지 않는다. 생성, 검증, 저장, 분석, 공유, 갱신, 폐기의 전 과정이 운영 프로세스에 포함되어야 한다.

# '''대상 정의''': 애플리케이션, 컨테이너 이미지, 펌웨어, SaaS, 라이브러리 등 SBOM 생성 대상을 정한다.
# '''생성 시점 결정''': 소스, 빌드, 배포, 런타임 중 어떤 단계에서 생성할지 정한다.
# '''형식 선택''': SPDX, CycloneDX 등 고객·규제·도구가 요구하는 표준 형식을 선택한다.
# '''자동 생성''': CI/CD 파이프라인, 패키지 관리자, 컨테이너 스캐너와 연계해 자동 생성한다.
# '''품질 검증''': 필수 필드, 식별자, 의존관계, 라이선스, 해시, 생성 정보 누락 여부를 검증한다.
# '''취약점 매핑''': CVE, NVD, OSV, 벤더 보안 권고와 대조하여 영향을 받는 컴포넌트를 식별한다.
# '''VEX 연계''': 취약점이 실제 제품에서 악용 가능한지, 패치됐는지, 영향을 받지 않는지 등의 상태를 기록한다.
# '''위험 평가''': 취약점 심각도, 실제 사용 여부, 노출 경로, 패치 가능성, 업무 중요도를 기준으로 우선순위를 정한다.
# '''공유·보관''': 고객, 감사자, 보안팀, 조달팀, 운영팀이 필요한 범위에서 접근하도록 통제한다.
# '''갱신''': 새 릴리스, 패치, 의존성 변경, 취약점 발견 시 SBOM을 갱신한다.

== VEX와의 관계 ==
VEX(Vulnerability Exploitability eXchange)는 특정 제품 또는 컴포넌트가 특정 취약점의 영향을 받는지, 실제로 악용 가능한지, 조치 상태가 어떤지를 기계 판독 가능한 방식으로 전달하는 보안 권고 형식이다. OASIS CSAF 2.0은 VEX를 특정 취약점에 대해 제품이 영향을 받는지 여부를 공급자 등이 주장할 수 있게 하는 방식으로 설명한다.<ref name="csaf-vex">「Common Security Advisory Framework Version 2.0」, OASIS, URL: https://docs.oasis-open.org/csaf/csaf/v2.0/os/csaf-v2.0-os.html, 확인일: 2026-06-05.</ref>

SBOM은 “무엇이 들어 있는가”를 보여주고, VEX는 “그 취약점이 이 제품에서 실제로 문제가 되는가”를 설명한다. 예를 들어 SBOM 분석 결과 취약한 라이브러리가 포함되어 있더라도, 해당 취약 코드 경로가 사용되지 않거나 취약 기능이 비활성화되어 있으면 VEX를 통해 “영향 없음” 또는 “악용 불가” 상태를 전달할 수 있다. 따라서 SBOM과 VEX를 함께 사용하면 취약점 알림의 오탐과 과잉 대응을 줄일 수 있다.

== 규제 및 정책 동향 ==
SBOM은 권고 수준의 보안 관행에서 점차 조달, 제품 보안, 의료기기, 디지털 제품 규제의 핵심 문서로 확대되고 있다.

{| class="wikitable"
! 구분 !! 주요 내용
|-
| 미국 행정명령 14028 || 연방정부 소프트웨어 공급망 보안 강화의 일환으로 SBOM을 핵심 요소로 제시하였다. NIST는 연방기관이 조달 시 기계 판독 가능한 SBOM 제공을 요구할 수 있다고 설명한다.<ref name="nist-sbom" />
|-
| NTIA 최소 요소 || 2021년 SBOM의 기본 데이터 필드, 자동화 지원, 운영 관행을 제시하였다.<ref name="ntia-minimum" />
|-
| CISA 2025 최소 요소 초안 || CISA는 2025년 SBOM 도구와 구현 성숙도 향상을 반영한 갱신 지침 초안을 공개하고 의견수렴을 진행하였다.<ref name="cisa-2025">「Request for Comment on 2025 Minimum Elements for a Software Bill of Materials」, Federal Register, URL: https://www.federalregister.gov/documents/2025/08/22/2025-16147/request-for-comment-on-2025-minimum-elements-for-a-software-bill-of-materials, 확인일: 2026-06-05.</ref>
|-
| EU Cyber Resilience Act || 디지털 요소가 포함된 제품에 대해 설계, 개발, 유지보수 전 과정의 사이버보안 요구사항을 부과한다. 법은 2024년 12월 10일 발효되었고, 주요 의무는 2027년 12월 11일부터 적용된다.<ref name="eu-cra">「Cyber Resilience Act」, European Commission, URL: https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act, 확인일: 2026-06-05.</ref>
|-
| FDA 의료기기 사이버보안 지침 || 의료기기 사전 제출 문서에서 사이버보안 설계, 라벨링, 문서화, 사이버 기기 관련 요구사항을 다루며, 의료기기 소프트웨어 공급망 관리에서 SBOM이 중요한 문서로 활용된다.<ref name="fda-cyber">「Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions」, FDA, URL: https://www.fda.gov/regulatory-information/search-fda-guidance-documents/cybersecurity-medical-devices-quality-management-system-considerations-and-content-premarket, 확인일: 2026-06-05.</ref>
|-
| 한국 SW 공급망 보안 가이드라인 || 과학기술정보통신부, 한국인터넷진흥원, 국가정보원, 디지털플랫폼정부위원회가 2024년 「SW 공급망 보안 가이드라인 1.0」을 마련하였다. 해당 안내는 해외 주요국의 SBOM 제출 의무화 등에 대응하여 정부·공공기관·기업의 SW 공급망 보안 관리역량 강화를 목적으로 한다.<ref name="kisa-guide">「SW 공급망 보안 가이드라인 1.0」, 한국인터넷진흥원, URL: https://www.kisa.or.kr/2060204/form?page=1&postSeq=15, 확인일: 2026-06-05.</ref>
|}

== 한국에서의 활용 ==
한국에서는 “SBOM” 외에도 “SW 구성요소 명세서”, “소프트웨어 자재명세서”, “SW명세서” 등의 용어가 함께 사용된다. KISA 보호나라의 SW 공급망 보안 체계 진단 서비스는 SW 개발보안 진단, SW명세서 생성 및 분석, SW 개발환경 진단을 컨설팅 대상으로 제시한다. 해당 서비스 설명은 SW명세서를 SW 분야 공급망 위험관리를 위해 투명한 SW 구성요소를 제공하는 명세서로 설명하며, SBOM이라고도 쓰인다고 안내한다.<ref name="boho-sbom">「SW 공급망 보안 체계 진단」, KISA 보호나라&KrCERT/CC, URL: https://www.boho.or.kr/kr/subPage.do?menuNo=205010, 확인일: 2026-06-05.</ref>

국내 조직에서 SBOM을 도입할 때는 해외 규제 대응뿐 아니라 공공 조달, 대기업 협력사 보안 요구, 오픈소스 라이선스 컴플라이언스, ISMS-P 운영 통제, 침해사고 대응 체계와의 연계를 함께 고려해야 한다.

== 보안 운영 활용 ==
SBOM은 다음 보안 운영 영역과 연계된다.

{| class="wikitable"
! 영역 !! 활용 방법
|-
| 취약점 관리 || SBOM 컴포넌트를 CVE, NVD, OSV, 벤더 권고와 매핑하여 영향 여부를 확인
|-
| 패치 관리 || 취약 컴포넌트의 사용 위치, 영향 서비스, 패치 우선순위를 식별
|-
| 자산 관리 || CMDB, ITAM, 클라우드 자산 목록과 연결하여 소프트웨어 인벤토리 보강
|-
| DevSecOps || CI/CD 단계에서 SBOM 생성, 취약점 스캔, 정책 위반 차단 자동화
|-
| 조달 보안 || 납품 소프트웨어의 구성요소, 라이선스, 보안 상태를 계약·검수 항목에 포함
|-
| 사고 대응 || 신규 취약점 공개 시 영향 시스템을 빠르게 검색
|-
| 라이선스 준수 || GPL, LGPL, Apache, MIT 등 오픈소스 라이선스 의무사항 점검
|-
| 공급업체 관리 || 외부 개발사, SaaS 제공자, 장비 제조사로부터 SBOM 제출과 갱신을 요구
|}

== 품질 기준 ==
SBOM의 가치는 정확성과 최신성에 크게 좌우된다. 형식만 맞는 SBOM이라도 누락, 잘못된 버전, 모호한 식별자, 불완전한 의존관계가 있으면 취약점 대응에 실패할 수 있다.

{| class="wikitable"
! 품질 기준 !! 설명
|-
| 완전성 || 직접 의존성뿐 아니라 가능한 범위의 전이 의존성까지 포함하는지
|-
| 정확성 || 실제 빌드·배포 산출물과 SBOM 내용이 일치하는지
|-
| 최신성 || 릴리스, 패치, 의존성 변경 시 SBOM이 갱신되는지
|-
| 식별 가능성 || PURL, CPE, 해시 등 자동 대조 가능한 식별자가 포함되는지
|-
| 기계 판독성 || SPDX, CycloneDX 등 표준 형식으로 자동 처리 가능한지
|-
| 재현성 || 동일한 빌드에서 일관된 SBOM을 생성할 수 있는지
|-
| 무결성 || SBOM 자체가 변조되지 않았음을 서명, 해시, 증명으로 확인할 수 있는지
|-
| 범위 명확성 || 소스, 빌드, 배포, 런타임 중 어떤 범위를 나타내는지 명확한지
|}

== 한계와 고려사항 ==
SBOM은 소프트웨어 공급망 보안의 기반 데이터이지만, 그 자체만으로 보안을 보장하지는 않는다. NTIA 보고서도 SBOM이 모든 소프트웨어 보안 문제를 해결하는 만능 수단은 아니며, 추가 보안 도구와 관행의 기반 데이터 계층으로 작동한다고 설명한다.<ref name="ntia-minimum" />

주요 한계는 다음과 같다.

* '''정확도 문제''': 생성 도구가 모든 컴포넌트를 정확히 식별하지 못할 수 있다.
* '''전이 의존성 누락''': 간접 의존성이나 동적 로딩 컴포넌트가 빠질 수 있다.
* '''바이너리 식별 어려움''': 소스코드 없이 바이너리만 분석하는 경우 식별 정확도가 낮아질 수 있다.
* '''취약점 오탐''': 취약한 버전이 포함되어도 실제 코드 경로가 사용되지 않을 수 있다.
* '''정보 노출 위험''': 내부 아키텍처, 상용 컴포넌트, 미패치 취약점 정보가 외부에 노출될 수 있다.
* '''갱신 부담''': 릴리스와 패치가 잦은 조직에서는 SBOM 생성·검증·공유 자동화가 필수적이다.
* '''표준 해석 차이''': 같은 소프트웨어라도 도구와 형식에 따라 서로 다른 SBOM이 생성될 수 있다.
* '''책임 범위''': 공급자, 통합자, 운영자 중 누가 어떤 수준의 SBOM을 제공하고 유지할지 계약상 정의가 필요하다.

== 실무 도입 방안 ==
SBOM을 실무에 도입할 때는 전체 시스템을 한 번에 대상으로 삼기보다 위험도가 높은 제품과 고객 요구가 있는 영역부터 단계적으로 확대하는 것이 적절하다.

# '''정책 수립''': SBOM 생성 대상, 형식, 필수 필드, 보관 기간, 외부 제공 기준을 정의한다.
# '''도구 선정''': 개발 언어, 패키지 관리자, 컨테이너, 펌웨어, 클라우드 환경을 지원하는 도구를 선정한다.
# '''CI/CD 통합''': 빌드 시점 SBOM 생성과 검증을 자동화한다.
# '''취약점 DB 연계''': NVD, OSV, 벤더 권고, 내부 취약점 관리 시스템과 연결한다.
# '''정책 게이트 설정''': 심각 취약점, 금지 라이선스, 미확인 컴포넌트가 있을 때 릴리스 차단 또는 승인 절차를 둔다.
# '''VEX 운영''': 실제 영향 여부와 조치 상태를 구조화하여 취약점 노이즈를 줄인다.
# '''공급업체 요구사항 반영''': 계약서, 제안요청서, 검수 기준에 SBOM 제출과 갱신 의무를 포함한다.
# '''보안 저장소 운영''': SBOM을 중앙 저장소에 보관하고 접근권한, 변경이력, 무결성을 관리한다.
# '''정기 점검''': SBOM 품질, 도구 정확도, 취약점 대응 시간, 라이선스 위반 여부를 주기적으로 점검한다.

== 관련 개념 ==
* '''SCA(Software Composition Analysis)''': 소프트웨어 구성요소를 분석하여 오픈소스 사용 현황, 취약점, 라이선스 위험을 식별하는 기술이다.
* '''SLSA(Supply-chain Levels for Software Artifacts)''': 소프트웨어 빌드와 산출물의 무결성을 보증하기 위한 공급망 보안 프레임워크이다.
* '''in-toto''': 소프트웨어 공급망 단계별 증명과 무결성 검증을 위한 프레임워크이다.
* '''PURL(Package URL)''': 패키지 생태계, 이름, 버전 등을 표준화해 표현하는 식별자이다.
* '''CPE(Common Platform Enumeration)''': 소프트웨어와 하드웨어 플랫폼을 식별하기 위한 표준화된 명명 체계이다.
* '''VEX''': SBOM에 포함된 컴포넌트의 취약점이 실제 제품에 영향을 주는지 전달하는 취약점 악용 가능성 정보 형식이다.
* '''AIBOM 또는 AI/ML-BOM''': AI 시스템의 모델, 데이터셋, 프레임워크, 학습 환경, 의존성을 포함하도록 SBOM 개념을 확장한 명세서이다. 2026년 CISA와 G7 파트너들은 AI 시스템의 구성요소와 의존성 투명성을 높이기 위한 AI용 SBOM 최소 요소 지침을 발표하였다.<ref name="ai-sbom">「Software Bill of Materials for AI - Minimum Elements」, BSI, URL: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/KI/SBOM-for-AI_minimum-elements.pdf?__blob=publicationFile&v=4, 확인일: 2026-06-05.</ref>

== 같이 보기 ==
* [[공급망 공격]]
* [[소프트웨어 개발 보안]]
* [[데브옵스]]
* [[공개 소프트웨어]]
* [[소프트웨어 라이센스]]
* [[ISMS-P 인증 기준 2.11.2.취약점 점검 및 조치]]

== 각주 ==
<references />

[[분류:보안]]
[[분류:소프트웨어 공학]]
[[분류:컴플라이언스]]

로봇 SI

2026-06-05T07:59:27Z

기사기사: 새 문서: 로봇 SI(Robot System Integration 또는 Robotic System Integration, SI: System Integration)는 로봇 본체, 말단장치, 센서, 제어기, 안전장치, 생산·물류 정보시스템을 현장 공정에 맞게 통합하여 동작 가능한 자동화 시스템으로 구축하는 활동 및 이를 수행하는 기업을 말한다. == 개요 == 로봇 SI는 단순히 로봇을 설치하는 작업이 아니라, 로봇이 실제 생산·물류·서비스 현장에서 목표...

로봇 SI(Robot System Integration 또는 Robotic System Integration, SI: System Integration)는 로봇 본체, 말단장치, 센서, 제어기, 안전장치, 생산·물류 정보시스템을 현장 공정에 맞게 통합하여 동작 가능한 자동화 시스템으로 구축하는 활동 및 이를 수행하는 기업을 말한다.

== 개요 ==
로봇 SI는 단순히 로봇을 설치하는 작업이 아니라, 로봇이 실제 생산·물류·서비스 현장에서 목표 성능과 안전 기준을 만족하도록 공정 분석, 설계, 제작, 프로그래밍, 검증, 운영 연계를 수행하는 엔지니어링 영역이다. 로봇 제조사가 로봇 본체를 공급한다면, 로봇 SI 기업은 해당 로봇을 그리퍼, 비전 카메라, 센서, 지그, 컨베이어, PLC, HMI, SCADA, MES, WMS 등과 결합하여 특정 현장에 맞는 자동화 셀 또는 라인으로 구현한다.<ref name="etnews2026">「삐걱대는 로봇 SI 기업, 연평균 영업익 2억 그쳐」, URL: https://www.etnews.com/20260604000336, 확인일: 2026-06-05.</ref>

산업용 로봇 안전 표준인 ISO 10218-2:2025는 산업용 로봇 애플리케이션과 로봇 셀의 통합, 시운전, 운전, 유지보수, 해체 등에 대한 요구사항을 다루며, 로봇 통합자와 사용자가 활용해야 할 표준으로 설명된다.<ref name="iso10218_2">「ISO 10218-2:2025 Robotics — Safety requirements — Part 2: Industrial robot applications and robot cells」, URL: https://www.iso.org/standard/73934.html, 확인일: 2026-06-05.</ref>

== 주요 역할 ==
로봇 SI 기업의 핵심 역할은 수요기업의 작업을 로봇이 수행할 수 있는 자동화 공정으로 변환하는 것이다.

{| class="wikitable"
! 역할 !! 주요 내용
|-
| 공정 분석 || 수작업, 설비 흐름, 택트타임, 품질 기준, 작업자 동선, 위험요인을 분석
|-
| 시스템 설계 || 로봇 기종, 말단장치, 지그, 센서, 안전장치, 제어 구조, 데이터 연계 방식을 설계
|-
| 제작·조립 || 로봇 셀, 주변 설비, 전장, 공압, 컨베이어, 방호 울타리 등을 제작·설치
|-
| 소프트웨어 통합 || 로봇 프로그램, PLC 로직, HMI 화면, 비전 알고리즘, 상위 시스템 인터페이스를 구현
|-
| 안전 검증 || 위험성 평가, 비상정지, 인터록, 안전 스캐너, 협동 작업 조건 등을 검토
|-
| 시운전·검수 || FAT, SAT, 성능 시험, 반복정밀도, 사이클타임, 불량률, 가동률 등을 검증
|-
| 운영 지원 || 교육, 유지보수, 장애 대응, 예비품 관리, 공정 변경 대응을 수행
|}

== 구성 요소 ==
로봇 SI 프로젝트는 기계, 전기, 제어, 소프트웨어, 안전, 데이터 기술이 복합적으로 결합된다.

{| class="wikitable"
! 구성 요소 !! 예시 !! 역할
|-
| 로봇 본체 || 산업용 로봇, 협동로봇, 스카라 로봇, 델타 로봇, AMR, AGV || 이송, 조립, 용접, 적재, 검사 등 작업 수행
|-
| 말단장치 || 그리퍼, 흡착패드, 용접건, 디스펜서, 툴 체인저 || 대상물을 잡거나 가공하는 실제 작업 인터페이스
|-
| 인식·계측 장치 || 2D·3D 비전, LiDAR, 힘/토크 센서, 바코드·RFID 리더 || 위치 보정, 품질 검사, 충돌 회피, 추적 관리
|-
| 제어 장치 || 로봇 컨트롤러, PLC, Safety PLC, I/O 모듈, HMI || 로봇과 설비의 순차 제어 및 운전 상태 표시
|-
| 물류·생산 설비 || 컨베이어, 리프트, 지그, 팔레타이저, 자동창고 || 로봇 작업 전후의 물류 흐름 구성
|-
| 안전 설비 || 방호 울타리, 라이트커튼, 안전 매트, 안전 스캐너, 비상정지 || 작업자와 설비를 보호하고 법규·표준 요구사항 충족
|-
| 상위 시스템 || MES, WMS, ERP, SCADA, 관제 시스템 || 작업지시, 실적 수집, 재고·품질·설비 데이터 연계
|-
| 데이터·AI 요소 || 예지보전, 비전 AI, 디지털 트윈, 이상탐지 || 로봇 운영 최적화와 자율화 수준 향상
|}

== 수행 절차 ==
일반적인 로봇 SI 절차는 다음과 같다.

# '''요구사항 정의''': 자동화 대상 작업, 생산량, 품질 기준, 설치 공간, 예산, 안전 요구사항을 정의한다.
# '''현장·공정 분석''': 현재 작업 방식, 병목, 불량 원인, 설비 인터페이스, 작업자 개입 지점을 파악한다.
# '''개념 설계''': 로봇 기종, 배치, 주변장치, 통신 방식, 예상 사이클타임, 투자효과를 검토한다.
# '''상세 설계''': 기구 설계, 전장 설계, 제어 구조, 안전 회로, 소프트웨어 구조, 검수 기준을 확정한다.
# '''제작·프로그래밍''': 설비 제작, 로봇 티칭, PLC·HMI 개발, 비전·센서 연동, 상위 시스템 인터페이스를 구현한다.
# '''위험성 평가와 안전 검증''': 위험원을 식별하고 보호장치, 안전거리, 협동 운전 조건, 비상정지 체계를 검증한다.
# '''FAT와 SAT''': 공장 인수시험(FAT)과 현장 인수시험(SAT)을 통해 기능, 성능, 안전, 데이터 연계를 확인한다.
# '''운영 안정화''': 초기 가동 중 장애를 수정하고 작업자 교육, 유지보수 문서, 예비품 체계를 정비한다.

== 적용 분야 ==
로봇 SI는 제조업뿐 아니라 물류, 서비스, 국방, 의료 보조, 공공 서비스 등으로 확장되고 있다. 다만 산업 현장에서는 안전, 반복정밀도, 가동률, 유지보수성이 특히 중요하다.

{| class="wikitable"
! 분야 !! 적용 예
|-
| 자동차·부품 || 용접, 도장, 조립, 실링, 검사, 머신텐딩
|-
| 전기전자·반도체 || 픽앤플레이스, 조립, 검사, 이송, 클린룸 물류
|-
| 금속·기계 || 절삭기 로딩·언로딩, 디버링, 연마, 용접, 팔레타이징
|-
| 식품·의약 || 포장, 선별, 케이스 패킹, 팔레타이징, 위생 설비 연계
|-
| 물류·유통 || AMR·AGV, 피킹, 분류, 자동창고, WMS 연계
|-
| 서비스 로봇 || 다종 로봇 관제, 엘리베이터·자동문 연동, 안내·배송·청소 로봇 운영
|}

대한민국의 「2026년 로봇활용 제조혁신 지원사업」 공고는 도입기업과 공급기업 컨소시엄을 전제로 하며, 공급기업을 로봇자동화시스템 솔루션 보유기업, 즉 로봇 SI 기업으로 설명한다. 해당 사업은 제조공정의 로봇자동화시스템 도입, 엔지니어링 컨설팅, 안전 컨설팅 등을 패키지로 지원하는 방식으로 설계되어 있다.<ref name="bizinfo2026">「2026년 로봇활용 제조혁신 지원사업 공고」, URL: https://www.bizinfo.go.kr/sii/siia/selectSIIA200Detail.do?pblancId=PBLN_000000000116712, 확인일: 2026-06-05.</ref>

== 안전 및 표준 ==
로봇 SI에서 안전은 기능 구현과 동등하거나 그 이상으로 중요한 요구사항이다. 로봇은 고속·고출력 장치이며, 주변 설비와 결합되면 끼임, 충돌, 낙하, 비산, 화상, 감전, 유해물질 노출 등의 위험이 발생할 수 있다.

주요 관련 표준은 다음과 같다.

{| class="wikitable"
! 표준 !! 주요 내용
|-
| ISO 10218-1:2025 || 산업용 로봇 자체의 본질적 안전 설계, 위험 저감, 사용 정보 요구사항을 다룬다.<ref name="iso10218_1">「ISO 10218-1:2025 Robotics — Safety requirements — Part 1: Industrial robots」, URL: https://www.iso.org/standard/73933.html, 확인일: 2026-06-05.</ref>
|-
| ISO 10218-2:2025 || 산업용 로봇 애플리케이션과 로봇 셀의 통합, 시운전, 운전, 유지보수, 해체 요구사항을 다룬다.<ref name="iso10218_2" />
|-
| ISO/TS 15066:2016 || 협동 산업용 로봇 시스템과 작업 환경의 안전 요구사항을 규정하며, ISO 10218-1 및 ISO 10218-2의 협동 운전 관련 요구사항을 보완한다.<ref name="iso15066">「ISO/TS 15066:2016 Robots and robotic devices — Collaborative robots」, URL: https://www.iso.org/standard/62996.html, 확인일: 2026-06-05.</ref>
|}

특히 협동로봇을 사용하는 경우에도 로봇 자체가 협동로봇이라는 사실만으로 안전이 보장되는 것은 아니다. 실제 안전성은 로봇 속도, 힘, 말단장치 형상, 대상물 무게, 작업자 접근 방향, 주변 설비, 비상정지 체계, 위험성 평가 결과에 따라 결정된다.

== 국내 산업 동향 ==
국제로봇연맹(IFR)의 World Robotics 2025 통계에 따르면 2024년 전 세계 산업용 로봇 신규 설치량은 54만 2,000대였고, 2024년 말 기준 운용 중인 산업용 로봇은 466만 4,000대로 집계되었다. 대한민국은 2024년 산업용 로봇 설치량이 3만 600대로, 연간 설치량 기준 세계 4위 시장으로 언급되었다.<ref name="ifr2025">「World Robotics 2025 report – INDUSTRIAL ROBOTS – released by IFR」, URL: https://ifr.org/ifr-press-releases/news/global-robot-demand-in-factories-doubles-over-10-years, 확인일: 2026-06-05.</ref>

대한민국 정부는 제4차 지능형 로봇 기본계획(2024~2028)을 통해 2030년까지 민관 합동 3조 원 이상 투자, 지능형 로봇 100만 대 보급, AI·SW 등 핵심인력 1만 5,000명 양성, 로봇 전문기업 150개 육성, 핵심부품 국산화율 80% 달성 등을 추진한다고 밝혔다.<ref name="korea2024">「2030년까지 지능형 로봇 100만 대 보급…부품 국산화율 80%↑」, URL: https://www.korea.kr/news/policyNewsView.do?newsId=148924862, 확인일: 2026-06-05.</ref>

한편 국내 로봇 SI 산업은 수요 증가에도 불구하고 영세성, 인력 부족, 현장별 맞춤 개발 부담이 과제로 지적된다. 2026년 6월 전자신문 보도에 따르면 한국AI·로봇산업협회가 로봇 SI 기업 약 200곳을 대상으로 실시한 실태조사 중간 결과에서 기업당 평균 매출은 23억 원, 평균 영업이익은 2억 3,000만 원으로 나타났다. 같은 보도는 피지컬 AI 전환 과정에서 로봇 SI 기업이 제조 현장 데이터를 접하는 핵심 주체로 주목받지만, 프로젝트 단위 납품 구조와 낮은 수익성 때문에 경험과 데이터를 표준화·자산화하기 어렵다는 업계 의견을 전했다.<ref name="etnews2026" />

한국로봇산업진흥원과 관련 기관들은 2026년 로봇 SI 기업 역량강화 세미나에서 신규 R&D 사업 방향, SI 기업 자격검증 체계, 지원 정책, 현장 기반 제언 등을 논의한 바 있다.<ref name="irobotnews2026">「한국로봇산업진흥원, 로봇 SI기업 역량강화 세미나 성황리 개최」, URL: https://www.irobotnews.com/news/articleView.html?idxno=46619, 확인일: 2026-06-05.</ref>

== 로봇 SI와 일반 IT SI 비교 ==
로봇 SI는 시스템 통합이라는 점에서 일반 IT SI와 유사하지만, 물리 설비와 안전 문제가 결합된다는 점에서 차이가 크다.

{| class="wikitable"
! 구분 !! 일반 IT SI !! 로봇 SI
|-
| 통합 대상 || 소프트웨어, 서버, 네트워크, 데이터베이스, 업무 시스템 || 로봇, 기계장치, 센서, 전장, 제어기, 안전장치, 생산·물류 시스템
|-
| 장애 영향 || 업무 중단, 데이터 오류, 서비스 지연 || 업무 중단뿐 아니라 설비 파손, 작업자 안전사고 가능
|-
| 테스트 환경 || 개발·검증·운영 환경 분리 가능 || 실제 설비와 현장 조건에서 검증해야 하는 경우가 많음
|-
| 요구 역량 || 업무 분석, 소프트웨어 개발, 데이터·인프라 운영 || 기계·전기·제어·안전·소프트웨어·공정 지식의 복합 역량
|-
| 검수 기준 || 기능, 성능, 보안, 가용성, 사용자 수용성 || 사이클타임, 반복정밀도, 불량률, 가동률, 안전기능, 유지보수성
|-
| 변경 비용 || 소프트웨어 수정 중심 || 기구·배선·안전장치·현장 레이아웃 변경이 수반될 수 있음
|}

== 사업 추진 시 고려사항 ==
로봇 SI 프로젝트를 발주하거나 수행할 때는 다음 항목을 명확히 해야 한다.

* '''요구사항''': 대상 공정, 처리량, 품질 기준, 작업물 편차, 설치 공간, 운영 시간
* '''성능지표''': 사이클타임, 가동률, 불량률, 반복정밀도, MTBF, MTTR
* '''안전 기준''': 적용 표준, 위험성 평가 범위, 협동 운전 여부, 안전장치 구성, 비상정지 조건
* '''검수 조건''': FAT, SAT, 시운전 기간, 양산 안정화 기준, 검수 데이터 산정 방식
* '''데이터 연계''': MES·WMS·ERP·SCADA 인터페이스, 데이터 항목, 통신 프로토콜, 로그 보존 정책
* '''유지보수''': 예비품, 원격 지원, 장애 대응 시간, 교육, 매뉴얼, 소스 코드 및 백업 범위
* '''지식재산권''': 로봇 프로그램, PLC 로직, 비전 알고리즘, 공정 노하우, 데이터 소유권
* '''확장성''': 다품종 대응, 모델 변경, 라인 증설, 다른 공정으로의 재사용 가능성

== 관련 용어 ==
* '''로봇 셀''': 로봇, 안전장치, 주변 설비, 제어 시스템을 하나의 작업 단위로 구성한 자동화 공간
* '''EOAT(End of Arm Tooling)''': 로봇 팔 끝에 장착되는 그리퍼, 흡착패드, 용접건, 공구 등의 말단장치
* '''FAT(Factory Acceptance Test)''': 납품 전 제작사 또는 SI 기업의 공장에서 수행하는 인수시험
* '''SAT(Site Acceptance Test)''': 실제 설치 현장에서 수행하는 인수시험
* '''티칭''': 로봇의 이동 경로와 작업 위치를 설정하는 작업
* '''위험성 평가''': 로봇과 주변 설비가 유발할 수 있는 위험원을 식별하고 위험 저감 조치를 정하는 절차
* '''피지컬 AI''': 물리 환경에서 센서와 로봇을 통해 인식, 판단, 행동을 수행하는 인공지능 응용 영역

== 같이 보기 ==
* [[MES]]
* [[SCADA]]
* [[시스템 테스트]]
* [[NIST 800-82]]

== 각주 ==
<references />

[[분류:제조]]
[[분류:로봇]]
[[분류:시스템 통합]]

티빙

2026-06-05T07:59:11Z

기사기사: 새 문서: 티빙(TVING)은 주식회사 티빙이 운영하는 대한민국의 온라인 동영상 서비스(OTT, Over-The-Top) 플랫폼으로, 드라마·예능·영화·스포츠·애니메이션·뉴스·라이브·쇼츠 등을 제공하는 구독형·광고형 스트리밍 서비스이다.<ref name="tving-home">「티빙」, URL: https://www.tving.com/, 확인일: 2026-06-05.</ref> == 개요 == 티빙은 CJ 계열의 디지털 영상 서비스로 출발한 국내 OTT 플랫폼이...

티빙(TVING)은 주식회사 티빙이 운영하는 대한민국의 온라인 동영상 서비스(OTT, Over-The-Top) 플랫폼으로, 드라마·예능·영화·스포츠·애니메이션·뉴스·라이브·쇼츠 등을 제공하는 구독형·광고형 스트리밍 서비스이다.<ref name="tving-home">「티빙」, URL: https://www.tving.com/, 확인일: 2026-06-05.</ref>

== 개요 ==
티빙은 CJ 계열의 디지털 영상 서비스로 출발한 국내 OTT 플랫폼이다. 서비스 초기에는 PC 기반 실시간 웹 TV와 N스크린 서비스 성격이 강했으나, 이후 모바일 앱, 스마트 TV, VOD, 오리지널 콘텐츠, 스포츠 중계, 광고형 요금제, 제휴형 번들 이용권 등을 포함하는 종합 스트리밍 플랫폼으로 확장되었다.<ref name="yonhap2010">「TV없이도 케이블TV 본다」, URL: https://www.yna.co.kr/view/AKR20100529043000017, 확인일: 2026-06-05.</ref>

2020년에는 CJ ENM의 OTT 사업부문이 주식회사 티빙으로 분리되어 별도 법인화되었고, 2022년에는 KT의 OTT 서비스였던 시즌(Seezn)을 흡수합병하였다.<ref name="cjenm-history">「History - 연혁 | CJ ENM」, URL: https://tvndrama.tving.com/ko/history/, 확인일: 2026-06-05.</ref><ref name="ftc-seezn">「티빙(Tving)과 시즌(Seezn)간의 기업결합 승인」, URL: https://eiec.kdi.re.kr/policy/materialView.do?datecount=&num=231592&pg=&pp=20&recommend=&topic=, 확인일: 2026-06-05.</ref>

== 기본 정보 ==
{| class="wikitable"
! 항목 !! 내용
|-
| 서비스명 || 티빙
|-
| 영문명 || TVING
|-
| 서비스 유형 || OTT, 스트리밍 미디어, 구독형 동영상 서비스
|-
| 운영사 || 주식회사 티빙
|-
| 주요 콘텐츠 || 티빙 오리지널, 방송 VOD, 영화, 스포츠, 애니메이션, 뉴스, 라이브 채널, 쇼츠
|-
| 수익 모델 || 월간·연간 구독, 광고형 구독, 제휴 이용권, 번들 이용권, 콘텐츠·중계권 기반 사업
|-
| 관련 기업 || CJ ENM, 웨이브, KT, 네이버, SLL 등
|}

== 연혁 ==
{| class="wikitable"
! 시기 !! 주요 내용
|-
| 2010년 || CJ헬로비전이 웹 기반 실시간 방송 서비스로 티빙을 상용화하였다.<ref name="yonhap2010" />
|-
| 2020년 || CJ ENM OTT 사업부문이 주식회사 티빙으로 설립되었다.<ref name="cjenm-history" />
|-
| 2021년 || 네이버 지분투자 및 JTBC 제휴가 이루어졌다.<ref name="cjenm-history" />
|-
| 2022년 || 티빙이 KT의 OTT 서비스 케이티시즌을 흡수합병하였다.<ref name="ftc-seezn" />
|-
| 2024년 || KBO와 2024~2026년 KBO리그 유무선 중계권 사업 계약을 체결하였다.<ref name="kbo-cjenm">「티빙, KBO리그 뉴미디어 중계 확정...“OTT ‘홈런 타자’ 티빙, 디지털 중계 새 시대 연다”」, URL: https://www.cjenm.com/ko/news/%ED%8B%B0%EB%B9%99-kbo%EB%A6%AC%EA%B7%B8-%EB%89%B4%EB%AF%B8%EB%94%94%EC%96%B4-%EC%A4%91%EA%B3%84-%ED%99%95%EC%A0%95ott-%ED%99%88%EB%9F%B0-%ED%83%80%EC%9E%90-%ED%8B%B0%EB%B9%99-%EB%94%94%EC%A7%80%ED%84%B8-%EC%A4%91%EA%B3%84-%EC%83%88-%EC%8B%9C%EB%8C%80-%EC%97%B0%EB%8B%A4/, 확인일: 2026-06-05.</ref>
|-
| 2025년 || 일본 디즈니+ 내 ‘티빙 컬렉션(TVING Collection)’을 론칭하였다.<ref name="japan-disney">「토종 OTT 티빙, 日 시장 진출! 글로벌 K-OTT 영토 확장 가속화 일본 디즈니+ 內 ‘티빙 컬렉션(TVING Collection)’ 론칭」, URL: https://tvn10festival.tving.com/ko/news/%ED%86%A0%EC%A2%85-ott-%ED%8B%B0%EB%B9%99-%E6%97%A5-%EC%8B%9C%EC%9E%A5-%EC%A7%84%EC%B6%9C-%EA%B8%80%EB%A1%9C%EB%B2%8C-kott-%EC%98%81%ED%86%A0-%ED%99%95%EC%9E%A5-%EA%B0%80%EC%86%8D%ED%99%94-%EC%9D%BC%EB%B3%B8-%EB%94%94%EC%A6%88%EB%8B%88plus-%E5%85%A7-%ED%8B%B0%EB%B9%99-%EC%BB%AC%EB%A0%89%EC%85%98tving-collection-%EB%A1%A0%EC%B9%AD/, 확인일: 2026-06-05.</ref>
|-
| 2025년 || 티빙과 웨이브 간 임원겸임 방식의 기업결합에 대해 공정거래위원회가 시정조치를 부과하였다.<ref name="ftc-wavve">「티빙(Tving) - 웨이브(Wavve) 간 임원겸임 방식의 기업결합에 대한 시정조치 부과」, URL: https://eiec.kdi.re.kr/policy/materialView.do?num=267475, 확인일: 2026-06-05.</ref>
|-
| 2026년 || 2026 월드 베이스볼 클래식(WBC) 전 경기 OTT 독점 중계, KLPGA·KPGA 디지털 중계권 확보, OTT 자체등급분류 우수사업자 선정 등이 CJ ENM 연혁에 기재되었다.<ref name="cjenm-history" />
|}

== 서비스 구성 ==
티빙의 서비스는 방송 기반 VOD와 오리지널 콘텐츠, 스포츠 중계, 실시간 채널, 광고형 콘텐츠 소비 모델을 결합한 형태이다. 티빙 채용 페이지는 티빙의 경쟁력을 “차별화된 콘텐츠와 높은 기술력”으로 설명하며, 독점 오리지널, 스포츠 중계, 연계 콘텐츠, 편리한 시청 기술을 핵심 요소로 제시한다.<ref name="tving-team">「TVING(티빙) 채용」, URL: https://team.tving.com/, 확인일: 2026-06-05.</ref>

{| class="wikitable"
! 구분 !! 설명
|-
| 오리지널 콘텐츠 || 티빙이 직접 기획·투자하거나 독점 공개하는 드라마, 예능, 다큐멘터리, 영화
|-
| 방송 VOD || CJ ENM 계열 채널, 종편, 케이블, 제휴 방송사의 다시보기 콘텐츠
|-
| 스포츠 || KBO리그, WBC, 골프 등 주요 스포츠 중계 및 하이라이트
|-
| 라이브 채널 || 실시간 방송 채널 및 일부 특화 채널
|-
| 쇼츠 || 짧은 길이의 클립·하이라이트형 영상
|-
| 광고형 상품 || 광고 시청을 전제로 상대적으로 낮은 구독료를 제공하는 AVOD·하이브리드형 이용권
|-
| 제휴 상품 || 통신사, 카드사, 플랫폼, 웨이브 등과 결합한 이용권
|}

== 이용권 ==
티빙은 일반 이용권과 티빙X웨이브 더블 이용권을 함께 운영한다. 2026년 6월 확인 기준 티빙 공식 이용권 페이지에는 프리미엄 월 17,000원, 스탠다드 월 13,500원, 베이직 월 9,500원 등이 표시되어 있으며, 더블 이용권으로는 더블 광고형 스탠다드, 더블 베이직, 더블 스탠다드, 더블 프리미엄 등이 제공된다.<ref name="tving-plan">「이용권 구독」, URL: https://www.tving.com/bill/subscription/plan?tab=plus, 확인일: 2026-06-05.</ref>

{| class="wikitable"
! 구분 !! 주요 특징
|-
| 광고형 스탠다드 || 광고가 포함된 저가형 이용권이다. 최대 2대 동시 시청, 최대 4개 프로필, 최대 1080p FHD 화질을 제공하며, 시청 전·중 광고가 노출될 수 있다. Apple TV 등 일부 콘텐츠 이용이 제한될 수 있다.<ref name="ad-standard">「광고형 스탠다드 이용권 안내」, URL: https://www.tving.com/faq/avod-tving, 확인일: 2026-06-05.</ref>
|-
| 베이직 || 1인 이용에 적합한 기본형 유료 이용권이다.
|-
| 스탠다드 || FHD 화질과 2대 동시 시청을 중심으로 한 중간형 이용권이다.
|-
| 프리미엄 || 더 많은 동시 시청과 일부 4K 콘텐츠 이용을 고려한 상위 이용권이다.
|-
| 더블 이용권 || 티빙과 웨이브를 하나의 구독으로 이용하는 결합형 상품이다. 이용권 변경, 환불, 계정 연결 등은 티빙·웨이브 정책에 따라 적용된다.<ref name="double-plan">「티빙 더블이용권」, URL: https://www.tving.com/membership/double, 확인일: 2026-06-05.</ref>
|-
| 추가 계정 || 함께 거주하지 않는 가족·지인과 공유하기 위한 추가 계정 기능이 제공되며, 추가 계정은 동시 시청 1대와 프로필 1개를 제공한다.<ref name="sub-account">「추가 계정 안내」, URL: https://www.tving.com/account/sub/faq, 확인일: 2026-06-05.</ref>
|}

== 기술적 특징 ==
티빙과 같은 OTT 서비스는 안정적인 영상 전송, 권한 제어, 과금, 개인화 추천, 광고 삽입, 콘텐츠 보호 기술이 결합되어 동작한다. 티빙은 대용량 트래픽, N스크린, 재생 UX, 스트리밍, 고가용 분산 시스템, 클라우드 기술 등을 다루는 개발 환경을 채용 페이지에서 언급하고 있다.<ref name="tving-job-tech">「채용 공고」, URL: https://team.tving.com/1572d1a8-9f4c-818b-beaf-ea42984678c6, 확인일: 2026-06-05.</ref>

{| class="wikitable"
! 기술 요소 !! 설명
|-
| 스트리밍 전송 || 사용자의 네트워크 상태와 기기에 맞춰 영상을 전송한다.
|-
| CDN || 대용량 동영상 트래픽을 여러 위치의 서버로 분산하여 지연과 병목을 줄인다.
|-
| DRM || 콘텐츠 불법 복제와 무단 이용을 막기 위해 암호화, 라이선스, 권한 제어를 수행한다.
|-
| 추천 시스템 || 시청 이력, 장르, 선호도, 유사 사용자 행동 등을 활용하여 콘텐츠를 추천한다.
|-
| 광고 삽입 || 광고형 요금제에서 콘텐츠 시작 전 또는 재생 중 광고를 제공한다.
|-
| 계정·프로필 관리 || 하나의 계정 안에서 여러 프로필, 시청 이력, 연령 제한, 추가 계정 등을 관리한다.
|-
| 과금·정산 || 월간·연간 구독, 제휴 결제, 환불, 이용권 변경, 프로모션을 처리한다.
|}

== 스포츠 중계 ==
티빙은 스포츠 중계를 플랫폼 성장의 주요 축으로 활용하고 있다. 2024년 CJ ENM은 KBO와 2024~2026년 KBO리그 유무선 중계권 사업 계약을 체결했으며, 티빙은 KBO 리그 전 경기, 시범경기, 정규시즌, 포스트시즌, 올스타전, 주요 행사에 대한 국내 유무선 생중계, 하이라이트, VOD 스트리밍 권리 등을 보유한다고 밝혔다.<ref name="kbo-cjenm" />

2026년 CJ ENM 연혁에는 티빙의 2026 WBC 전 경기 OTT 독점 중계와 KLPGA·KPGA 디지털 중계권 확보가 기재되어 있다.<ref name="cjenm-history" />

== 웨이브와의 관계 ==
티빙과 웨이브는 국내 OTT 시장에서 별도 브랜드로 운영되어 왔으나, 2020년대 중반 이후 통합·공동운영 논의가 이어졌다. 공정거래위원회는 2025년 6월 티빙과 웨이브 간 임원겸임 방식의 기업결합에 대해 시정조치를 부과하였다. 해당 자료에 따르면 공정위는 2026년 말까지 티빙 및 웨이브가 현행 요금제를 유지하도록 하고, 두 서비스가 하나의 서비스로 통합되더라도 사실상 요금 인상 효과가 발생하지 않도록 소비자가 기존과 유사한 수준의 통합 요금상품을 선택할 수 있게 하는 조치를 부과하였다.<ref name="ftc-wavve" />

또한 티빙은 웨이브와 함께 더블 이용권을 제공한다. 더블 이용권은 두 플랫폼의 콘텐츠를 하나의 결합형 이용권으로 이용하도록 설계된 상품이다.<ref name="double-plan" />

== 해외 전개 ==
2025년 11월 티빙은 일본 디즈니+ 내 ‘티빙 컬렉션(TVING Collection)’을 론칭하였다. CJ ENM 뉴스룸은 이를 일본 이용자가 티빙 오리지널 콘텐츠와 CJ ENM 대표작을 접할 수 있는 공식 허브로 설명하였다.<ref name="japan-disney" />

== 실적 및 산업 동향 ==
티빙은 국내 OTT 시장에서 넷플릭스, 디즈니+, 쿠팡플레이, 웨이브, 왓챠 등과 경쟁한다. 2026년 1분기 CJ ENM 실적 발표 관련 보도에 따르면 티빙은 1분기 매출 1,073억 원, 영업손실 192억 원을 기록했으며, 전년 동기 대비 매출은 증가하고 손실 규모는 축소된 것으로 보도되었다.<ref name="newsis2026q1">「티빙, 1분기 영업손실 192억…“2분기 손익분기점 확신”」, URL: https://www.newsis.com/view/NISX20260507_0003620470, 확인일: 2026-06-05.</ref>

국내 OTT 산업은 콘텐츠 제작비 증가, 스포츠 중계권 경쟁, 글로벌 플랫폼과의 경쟁, 광고형 요금제 확대, 제휴·번들 상품 확대, 계정 공유 정책 변화, 콘텐츠 추천과 광고 기술 고도화 등의 영향을 받는다.

== 보안 및 개인정보 이슈 ==
OTT 서비스는 계정, 결제 정보, 시청 이력, 디바이스 정보, 광고 식별 정보 등을 처리하기 때문에 개인정보 보호와 계정 보안이 중요하다. 광고형 스탠다드 이용권 안내는 티빙 개인정보처리방침에 따라 수집된 정보를 기반으로 고객에게 적합한 광고를 제공한다고 설명한다.<ref name="ad-standard" />

주요 보안·개인정보 고려사항은 다음과 같다.

* '''계정 보호''': 비밀번호 관리, 로그인 알림, 기기 관리, 계정 공유 정책 준수
* '''결제 보호''': 정기결제, 환불, 프로모션, 인앱결제 정책 확인
* '''콘텐츠 보호''': DRM, 워터마킹, 다운로드 제한, 동시 시청 제한
* '''광고 개인정보''': 광고형 요금제에서 광고 제공을 위한 정보 수집·활용 범위 확인
* '''청소년 보호''': 연령등급, 성인 인증, 프로필 관리, 시청 제한 기능

== 평가 ==
티빙은 국내 방송 콘텐츠와 오리지널 콘텐츠, 스포츠 중계를 결합한 토종 OTT 플랫폼이라는 점에서 차별성을 가진다. 특히 KBO리그 중계권 확보 이후 스포츠 이용자 유입과 광고형 요금제 확장이 중요한 성장 요인으로 평가된다. 반면 글로벌 OTT와의 경쟁, 콘텐츠 투자비 부담, 수익성 확보, 웨이브와의 통합 또는 공동운영 과정에서의 소비자 선택권·요금 정책 등은 지속적인 과제로 남아 있다.

== 같이 보기 ==
* [[OTT 서비스]]
* [[DRM]]
* [[디지털 콘텐츠 저작권 보호기술]]
* [[추천 시스템]]
* [[협업 필터링]]
* [[제로 레이팅]]

== 각주 ==
<references />

[[분류:디지털 서비스]]
[[분류:OTT]]
[[분류:콘텐츠 플랫폼]]

프로젝트 글래스윙

2026-06-05T07:58:05Z

기사기사: 새 문서: 글래스윙(Project Glasswing)은 앤트로픽(Anthropic)이 공개 전 단계의 사이버보안 특화 프런티어 AI 모델인 클로드 미토스 프리뷰(Claude Mythos Preview)를 선별된 기관에 제공하여 핵심 소프트웨어 취약점을 방어적으로 식별·수정하도록 하는 AI 보안 협력 프로젝트이다.<ref name="anthropic-glasswing">「Project Glasswing」, Anthropic, URL: https://www.anthropic.com/project/glasswing, 확인일: 2026-06-05.</r...

글래스윙(Project Glasswing)은 앤트로픽(Anthropic)이 공개 전 단계의 사이버보안 특화 프런티어 AI 모델인 클로드 미토스 프리뷰(Claude Mythos Preview)를 선별된 기관에 제공하여 핵심 소프트웨어 취약점을 방어적으로 식별·수정하도록 하는 AI 보안 협력 프로젝트이다.<ref name="anthropic-glasswing">「Project Glasswing」, Anthropic, URL: https://www.anthropic.com/project/glasswing, 확인일: 2026-06-05.</ref>

== 개요 ==
글래스윙은 2026년 4월 7일 앤트로픽이 발표한 사이버보안 이니셔티브이다. 목적은 공개 전 단계의 고성능 AI 모델을 공격자가 악용하기 전에 방어자가 먼저 활용하여 운영체제, 브라우저, 클라우드, 오픈소스, 금융·통신·전력·의료 등 핵심 인프라 소프트웨어의 취약점을 찾아 보완하는 것이다.<ref name="anthropic-glasswing" />

이 프로젝트의 핵심 도구는 클로드 미토스 프리뷰이다. 앤트로픽은 미토스 프리뷰를 자사의 가장 강력한 모델 중 하나로 설명하며, 참여 기관이 이를 방어적 보안 업무에 활용하도록 제한적으로 접근 권한을 제공한다고 밝혔다.<ref name="anthropic-glasswing" />

== 기본 정보 ==
{| class="wikitable"
! 항목 !! 내용
|-
| 명칭 || 프로젝트 글래스윙
|-
| 영문명 || Project Glasswing
|-
| 주관 || 앤트로픽
|-
| 발표일 || 2026년 4월 7일
|-
| 핵심 모델 || Claude Mythos Preview
|-
| 분야 || AI 보안, 사이버보안, 취약점 분석, 소프트웨어 공급망 보안
|-
| 목적 || 핵심 소프트웨어의 취약점을 선제적으로 발견하고 보완하여 AI 시대의 사이버 방어 역량을 높이는 것
|}

== 배경 ==
생성형 AI와 코딩 에이전트의 성능이 향상되면서 소프트웨어 취약점을 발견하고 악용 가능성을 검토하는 능력도 함께 높아졌다. 이는 방어자에게는 대규모 코드베이스를 빠르게 점검할 수 있는 기회가 되지만, 공격자에게는 취약점 탐색과 공격 자동화를 가속화할 수 있는 위험이 된다.

앤트로픽은 글래스윙을 이러한 양면성에 대응하기 위한 방어 우선 프로젝트로 제시하였다. 즉, 고성능 AI 모델이 널리 공개되기 전에 핵심 인프라 운영자, 보안 기업, 오픈소스 유지보수자, 정부기관 등이 먼저 방어 목적의 실증과 패치를 수행하도록 하는 방식이다.<ref name="anthropic-expand">「Expanding Project Glasswing」, Anthropic, URL: https://www.anthropic.com/news/expanding-project-glasswing, 확인일: 2026-06-05.</ref>

== 참여 기관 ==
초기 참여 기관에는 Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks 등이 포함되었다. 앤트로픽은 이들 외에도 핵심 소프트웨어 인프라를 구축하거나 유지하는 40개 이상의 기관에 접근 권한을 확대했다고 밝혔다.<ref name="anthropic-glasswing" />

2026년 6월 2일 앤트로픽은 글래스윙을 약 150개 신규 기관으로 확장한다고 발표하였다. 이 신규 그룹은 15개국 이상에 기반을 두며, 전력, 수자원, 의료, 통신, 하드웨어 등 초기 참여군에서 상대적으로 적게 포함되었던 분야를 포괄한다고 설명했다.<ref name="anthropic-expand" />

로이터 보도에 따르면 대한민국의 한국인터넷진흥원(KISA)도 과학기술정보통신부 확인을 통해 글래스윙 참여로 미토스 모델 접근 권한을 확보한 것으로 보도되었다. 같은 보도는 삼성전자, SK하이닉스, SK텔레콤 등이 확장 대상 기업으로 언급된 파이낸셜타임스 보도 이후 과학기술정보통신부가 KISA 참여를 확인했다고 전했다.<ref name="reuters-korea">「South Korea secures access to Anthropic's Mythos AI model, Science Ministry says」, Reuters, URL: https://www.reuters.com/legal/litigation/south-korea-secures-access-anthropics-mythos-ai-model-science-ministry-says-2026-06-03/, 확인일: 2026-06-05.</ref>

== 작동 방식 ==
글래스윙은 미토스 프리뷰를 일반 사용자에게 공개하는 방식이 아니라, 일정한 보안 요건을 충족한 기관에 제한적으로 제공하는 방식으로 운영된다. 참여 기관은 자체 코드베이스, 주요 오픈소스 의존성, 보안 제품, 인프라 소프트웨어 등을 대상으로 취약점 분석과 패치 검토를 수행한다.<ref name="anthropic-expand" />

{| class="wikitable"
! 단계 !! 설명
|-
| 참여기관 선정 || 핵심 인프라 또는 널리 사용되는 소프트웨어를 운영·유지하는 기관을 중심으로 선정
|-
| 보안 요건 검토 || 미토스 프리뷰 접근 전 기관의 보안 요건 충족 여부를 확인
|-
| 취약점 탐색 || AI 모델을 활용하여 코드베이스, 의존성, 시스템 구성의 취약 가능성을 분석
|-
| 검증 및 재현 || 모델이 제시한 결과를 보안 엔지니어가 검증하고 실제 영향도를 판단
|-
| 보완 조치 || 패치, 설정 변경, 방어 규칙, 탐지 로직, 보안 가이드 등을 적용
|-
| 지식 공유 || 앤트로픽과 참여기관이 학습 결과를 공유하여 업계 전반의 방어 역량을 높임
|}

== 주요 특징 ==
* '''방어 우선 접근''': 고성능 AI의 취약점 탐색 능력을 공격보다 방어에 먼저 활용하도록 설계되었다.
* '''제한적 접근''': 미토스 프리뷰는 일반 공개 모델이 아니며, 보안 요건을 충족한 기관에 한정하여 제공된다.<ref name="anthropic-expand" />
* '''핵심 인프라 중심''': 금융, 클라우드, 운영체제, 브라우저, 통신, 전력, 의료 등 사회 기반 시스템과 연관된 소프트웨어가 주요 대상이다.
* '''오픈소스 지원''': 앤트로픽은 글래스윙 활동을 지원하기 위해 최대 1억 달러 규모의 사용 크레딧과 400만 달러의 오픈소스 보안 조직 기부를 약속했다고 밝혔다.<ref name="anthropic-glasswing" />
* '''공동 방어 모델''': AI 개발사, 보안 기업, 소프트웨어 기업, 오픈소스 유지보수자, 정부가 함께 역할을 분담하는 협력 구조를 지향한다.

== 미토스 프리뷰와의 관계 ==
클로드 미토스 프리뷰는 글래스윙에서 사용되는 핵심 AI 모델이다. 일반적인 챗봇 서비스와 달리 취약점 분석, 보안 검토, 코드 추론, 패치 보조 등 사이버보안 업무에 초점을 맞춘 제한 접근 모델로 다루어진다.<ref name="anthropic-glasswing" />

앤트로픽은 2026년 6월 확장 발표에서 초기 파트너들이 미토스 프리뷰를 활용하여 1만 건 이상의 고위험 또는 치명적 수준의 보안 결함을 발견했다고 설명했다.<ref name="anthropic-expand" /> 로이터도 앤트로픽이 글래스윙 파트너를 약 50곳에서 약 200곳으로 확대할 계획이며, 참여 기관들이 1만 건 이상의 심각한 소프트웨어 결함을 발견했다고 보도했다.<ref name="reuters-expand">「Anthropic Mythos access to quadruple to about 200 Glasswing partners」, Reuters, URL: https://www.reuters.com/technology/anthropic-mythos-access-grow-four-fold-about-200-glasswing-partners-2026-06-02/, 확인일: 2026-06-05.</ref>

== 보안적 의의 ==
글래스윙은 AI를 사이버 공격 도구가 아니라 방어 역량 증폭 도구로 활용하려는 대표적 시도이다. 대규모 코드베이스와 오픈소스 의존성은 사람이 모두 검토하기 어렵기 때문에, AI 모델을 활용하면 오래된 결함, 복잡한 경계 조건, 다중 파일 간 취약 패턴을 더 빠르게 탐색할 수 있다.

{| class="wikitable"
! 관점 !! 의의
|-
| 취약점 관리 || 알려지지 않은 취약점과 장기간 방치된 결함을 조기에 식별할 수 있음
|-
| 공급망 보안 || 널리 사용되는 오픈소스와 핵심 라이브러리의 취약점 탐색에 활용 가능
|-
| 보안 운영 || 탐지 규칙, 패치 우선순위, 영향도 분석을 자동화·보조할 수 있음
|-
| 국가 안보 || 전력, 통신, 금융, 의료 등 중요 인프라의 선제 방어 수단으로 활용 가능
|-
| AI 거버넌스 || 위험한 모델 능력을 제한된 환경에서 먼저 방어적으로 실증하는 사례가 됨
|}

== 위험과 쟁점 ==
글래스윙은 방어 목적의 프로젝트이지만, 고성능 AI가 취약점 발견과 악용 가능성 분석에 활용될 수 있다는 점에서 이중용도 문제가 크다.

* '''악용 가능성''': 동일한 취약점 탐색 능력이 공격 자동화에 사용될 수 있다.
* '''접근 통제''': 모델 접근 권한을 어떤 기관에, 어떤 조건으로 부여할지에 대한 기준이 중요하다.
* '''취약점 공개 절차''': AI가 대량의 취약점을 발견할 경우, 패치 일정과 공개 시점 조율이 어려워질 수 있다.
* '''오탐과 과신''': 모델이 제시한 취약점은 보안 전문가의 검증이 필요하며, AI 결과를 그대로 신뢰해서는 안 된다.
* '''책임 소재''': AI가 제안한 패치나 분석 결과로 장애가 발생할 경우 책임 범위를 정하기 어렵다.
* '''국가 간 접근 격차''': 특정 국가와 기업에만 접근이 허용될 경우 사이버 방어 역량의 불균형이 발생할 수 있다.

== 기업 보안 적용 시 고려사항 ==
기업이 글래스윙과 유사한 AI 기반 취약점 분석 체계를 도입할 때는 다음 사항을 고려해야 한다.

{| class="wikitable"
! 영역 !! 고려사항
|-
| 데이터 통제 || 소스코드, 비밀키, 고객정보, 내부 아키텍처가 모델 입력으로 유출되지 않도록 통제
|-
| 모델 접근관리 || 권한 있는 보안 인력만 사용하도록 인증, 권한, 로그, 세션 통제 적용
|-
| 결과 검증 || AI가 제시한 취약점, 영향도, 패치 제안은 사람의 리뷰와 재현 절차를 거쳐 검증
|-
| 취약점 공개 || CVE 등록, 벤더 통보, 패치 배포, 공개 시점 조율 절차 마련
|-
| 보안 운영 연계 || SIEM, SOAR, EDR, 취약점 관리 시스템과 연동하여 탐지·대응 체계화
|-
| 법무·컴플라이언스 || 소스코드 반출, 개인정보 처리, 수출통제, 계약상 비밀유지 의무 검토
|-
| 오픈소스 관리 || SBOM, 의존성 분석, 라이선스 검토, 공급망 공격 대응 절차와 결합
|}

== 관련 개념 ==
* '''프런티어 AI''': 현재 공개 또는 상용 AI보다 높은 추론·코딩·도구사용 능력을 가진 최첨단 AI 모델을 가리키는 표현이다.
* '''취약점 분석''': 소프트웨어나 시스템의 결함을 찾아 보안 위험을 평가하는 활동이다.
* '''공급망 보안''': 소프트웨어 개발, 배포, 의존성, 외부 서비스, 업데이트 과정에서 발생하는 보안 위험을 관리하는 영역이다.
* '''책임 있는 공개''': 취약점을 발견한 뒤 벤더가 패치할 시간을 확보하도록 공개 시점과 범위를 조율하는 절차이다.
* '''이중용도 AI''': 방어, 연구, 생산성 향상에 쓰일 수 있으나 동시에 공격, 감시, 악용에도 사용될 수 있는 AI 기술을 말한다.

== 같이 보기 ==
* [[인공지능]]
* [[생성형 인공지능]]
* [[CVE]]
* [[CWE]]
* [[공급망 공격]]
* [[GitHub]]
* [[OWASP Top 10]]
* [[SIEM]]
* [[SOAR]]
* [[EDR]]

== 각주 ==
<references />

[[분류:인공지능]]
[[분류:보안]]
[[분류:보안 취약점]]

인공지능 강건성

2026-06-05T07:56:19Z

기사기사: 새 문서: 인공지능의 강건성(AI Robustness 또는 Robustness of Artificial Intelligence)은 인공지능 시스템이 노이즈, 데이터 분포 변화, 예외적 입력, 오류, 공격, 운영 환경 변화 등 다양한 조건에서도 의도한 성능과 안전한 동작을 일정 수준 이상 유지하는 특성이다.<ref name="nist-airc-robustness">「AI Risks and Trustworthiness - AIRC - NIST AI Resource Center」, URL: https://airc.nist.gov/airmf-resources/airmf/3-sec-cha...

인공지능의 강건성(AI Robustness 또는 Robustness of Artificial Intelligence)은 인공지능 시스템이 노이즈, 데이터 분포 변화, 예외적 입력, 오류, 공격, 운영 환경 변화 등 다양한 조건에서도 의도한 성능과 안전한 동작을 일정 수준 이상 유지하는 특성이다.<ref name="nist-airc-robustness">「AI Risks and Trustworthiness - AIRC - NIST AI Resource Center」, URL: https://airc.nist.gov/airmf-resources/airmf/3-sec-characteristics/, 확인일: 2026-06-05.</ref>

== 개요 ==
인공지능의 강건성은 모델이 학습 데이터와 유사한 입력에서 높은 정확도를 보이는 것을 넘어, 실제 운영 환경에서 발생하는 불완전한 데이터, 센서 오류, 입력 교란, 시스템 장애, 악의적 공격, 데이터 드리프트에도 안정적으로 작동하는지를 다루는 개념이다. NIST AI Risk Management Framework는 신뢰할 수 있는 AI의 특성으로 유효성·신뢰성, 안전성, 보안성·복원력, 투명성, 설명가능성, 개인정보보호, 공정성 등을 제시하며, 강건성은 특히 유효성·신뢰성 및 보안성·복원력과 밀접하게 연결된다.<ref name="nist-airmf">「Artificial Intelligence Risk Management Framework (AI RMF 1.0)」, URL: https://nvlpubs.nist.gov/nistpubs/ai/nist.ai.100-1.pdf, 확인일: 2026-06-05.</ref>

NIST AI Resource Center는 강건성 또는 일반화 가능성을 “다양한 상황에서 성능 수준을 유지하는 능력”으로 설명한다.<ref name="nist-airc-robustness" /> OECD AI 원칙도 인공지능 시스템이 정상 사용, 예측 가능한 사용·오용, 기타 불리한 조건에서 생애주기 전반에 걸쳐 강건하고 안전하며 보안성이 있어야 한다고 명시한다.<ref name="oecd-ai-principles">「AI Principles - Robustness, security and safety」, URL: https://www.oecd.org/en/topics/ai-principles.html, 확인일: 2026-06-05.</ref>

== 필요성 ==
인공지능 시스템은 학습 데이터의 통계적 패턴을 기반으로 예측하기 때문에, 실제 환경이 학습 환경과 달라지면 성능이 급격히 저하될 수 있다. 예를 들어 자율주행 차량의 카메라 모델은 비, 안개, 야간 조명, 표지판 훼손, 센서 오염에 취약할 수 있고, 금융 이상거래탐지 모델은 새로운 사기 패턴이 등장하면 오탐 또는 미탐이 증가할 수 있다.

강건성이 부족한 AI 시스템은 다음과 같은 문제를 일으킬 수 있다.

* '''안전사고''': 의료, 교통, 제조, 로봇, 전력망 등에서 잘못된 판단이 물리적 피해로 이어질 수 있다.
* '''보안 취약성''': 적대적 예제, 데이터 포이즈닝, 백도어, 프롬프트 인젝션 등에 의해 의도하지 않은 출력을 낼 수 있다.
* '''서비스 품질 저하''': 데이터 드리프트나 운영 환경 변화로 정확도, 응답 일관성, 추천 품질이 하락할 수 있다.
* '''신뢰성 저하''': 같은 의미의 입력에 대해 불안정한 결과를 내면 사용자가 시스템을 신뢰하기 어렵다.
* '''규제·감사 리스크''': 고위험 AI 시스템은 정확성, 강건성, 사이버보안 요구사항을 문서화하고 입증해야 할 수 있다.

== 주요 유형 ==
인공지능의 강건성은 하나의 단일 속성이 아니라 여러 관점에서 평가된다.

{| class="wikitable"
! 유형 !! 설명 !! 예시
|-
| 입력 강건성 || 입력 데이터에 작은 잡음이나 변형이 있어도 결과가 크게 흔들리지 않는 능력 || 이미지 밝기 변화, 오타, 음성 잡음, 센서 노이즈
|-
| 분포 변화 강건성 || 학습 데이터와 다른 운영 환경에서도 성능을 유지하는 능력 || 지역·계절·장비·사용자군 변화
|-
| 적대적 강건성 || 의도적으로 설계된 공격 입력에 견디는 능력 || 적대적 예제, 프롬프트 인젝션, 회피 공격
|-
| 데이터 품질 강건성 || 결측치, 이상치, 중복, 라벨 오류가 있어도 성능 저하를 제한하는 능력 || 불완전한 고객정보, 오염된 센서 로그
|-
| 운영 강건성 || 배포 후 시스템 자원, 지연, 장애, 통신 오류에도 안정적으로 동작하는 능력 || GPU 장애, API 지연, 네트워크 단절
|-
| 시간적 강건성 || 시간이 지나 데이터 분포와 사용자 행동이 변해도 성능을 유지하는 능력 || 데이터 드리프트, 개념 드리프트
|-
| 설명·정책 강건성 || 유사한 상황에서 설명, 정책 판단, 안전 거부가 일관되게 유지되는 능력 || LLM의 정책 우회 방지, 유사 질의 간 답변 일관성
|}

== 관련 개념과의 차이 ==
강건성은 정확도나 보안성과 겹치는 부분이 있지만 동일한 개념은 아니다.

{| class="wikitable"
! 개념 !! 의미 !! 강건성과의 관계
|-
| 정확도 || 주어진 평가 데이터에서 정답을 맞힌 비율 또는 예측 성능 || 표준 테스트셋 정확도가 높아도 환경 변화에는 취약할 수 있음
|-
| 일반화 || 학습하지 않은 데이터에서도 성능을 내는 능력 || 강건성의 핵심 기반이나, 악의적 공격 대응까지 포함하지는 않을 수 있음
|-
| 신뢰성 || 의도한 기능을 일관되게 수행하는 능력 || 강건성은 신뢰성을 확보하기 위한 기술적 속성 중 하나
|-
| 복원력 || 장애나 공격 이후 회복하는 능력 || 강건성은 성능 저하를 견디는 능력, 복원력은 저하 후 회복 능력에 초점
|-
| 안전성 || 사람, 재산, 환경에 위해를 주지 않는 특성 || 강건성이 부족하면 안전성도 약화될 수 있음
|-
| 보안성 || 무단 접근, 조작, 악용으로부터 보호되는 특성 || 적대적 강건성은 AI 보안의 핵심 하위 영역
|-
| 공정성 || 특정 집단에 불합리한 차별이나 편향을 만들지 않는 특성 || 분포 변화나 소수집단 데이터 부족은 공정성과 강건성 문제를 동시에 유발할 수 있음
|}

== 위협 요인 ==
=== 데이터와 환경 요인 ===
* '''데이터 드리프트''': 입력 데이터의 통계적 분포가 시간이 지나 달라지는 현상
* '''개념 드리프트''': 입력과 정답 사이의 관계 자체가 변하는 현상
* '''노이즈와 결측치''': 센서 오류, 측정 잡음, 누락 데이터, 라벨 오류
* '''도메인 차이''': 학습 환경과 실제 적용 환경의 지역, 언어, 장비, 사용자군 차이
* '''롱테일 입력''': 드물지만 중요한 예외 상황이나 극단적 케이스
* '''데이터 편향''': 특정 집단, 상황, 환경이 학습 데이터에 과소대표되는 문제

=== 적대적 위협 ===
NIST의 적대적 기계학습 분류 보고서는 적대적 기계학습을 모델 생애주기, 공격자의 목표, 지식, 능력, 공격 단계 등에 따라 체계화한다.<ref name="nist-aml-2025">「Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations」, URL: https://csrc.nist.gov/pubs/ai/100/2/e2025/final, 확인일: 2026-06-05.</ref>

{| class="wikitable"
! 위협 !! 설명
|-
| 적대적 예제 || 사람이 보기에는 큰 차이가 없지만 모델의 판단을 바꾸도록 설계된 입력
|-
| 회피 공격 || 탐지 모델을 우회하기 위해 입력을 조작하는 공격
|-
| 데이터 포이즈닝 || 학습 데이터에 악의적 데이터를 삽입해 모델 성능을 저하시키는 공격
|-
| 백도어 공격 || 특정 트리거가 입력될 때만 공격자가 원하는 출력을 내도록 모델을 오염시키는 공격
|-
| 모델 추출 || API 질의를 통해 모델의 동작을 복제하거나 근사하는 공격
|-
| 멤버십 추론 || 특정 데이터가 학습에 사용되었는지 추론하는 공격
|-
| 프롬프트 인젝션 || 대규모 언어 모델이나 에이전트가 외부 입력의 악성 지시를 따르도록 유도하는 공격
|}

== 평가 방법 ==
강건성 평가는 단일 정확도 지표만으로는 충분하지 않다. 실제 운영 조건, 실패 비용, 안전 요구사항, 공격 가능성에 맞추어 여러 평가를 조합해야 한다.

{| class="wikitable"
! 평가 방법 !! 설명
|-
| 표준 테스트셋 평가 || 일반적인 검증·테스트 데이터에서 기준 성능을 측정
|-
| 교란 테스트 || 노이즈, 흐림, 회전, 압축, 오타, 음성 잡음 등 인위적 변형을 추가해 성능 변화를 확인
|-
| OOD 테스트 || 학습 분포 밖 데이터 또는 새로운 도메인 데이터에서 성능을 측정
|-
| 스트레스 테스트 || 극단적 입력, 고부하, 긴 문맥, 비정상 데이터, 장애 상황에서 동작을 확인
|-
| 적대적 테스트 || 공격자가 의도적으로 만든 입력에 대한 취약성을 확인
|-
| 레드팀 평가 || 보안·안전 전문가가 공격자 관점에서 취약한 입력, 정책 우회, 악용 가능성을 찾음
|-
| 형식 검증 || 수학적 방법으로 특정 입력 범위에서 출력 안정성 등 속성을 증명
|-
| 캘리브레이션 평가 || 모델의 확신도와 실제 정답률이 일치하는지 확인
|-
| 운영 모니터링 || 배포 후 성능, 데이터 분포, 이상치, 실패율, 사용자 피드백을 지속 관찰
|}

ISO/IEC 24029-2:2023은 신경망의 강건성 속성을 평가하기 위한 형식기법 사용 방법론을 다루며, 강건성 증명에 활용할 수 있는 형식적 접근의 선택·적용·관리를 설명한다.<ref name="iso24029-2">「ISO/IEC 24029-2:2023 Artificial intelligence (AI) — Assessment of the robustness of neural networks — Part 2: Methodology for the use of formal methods」, URL: https://www.iso.org/obp/ui/en/, 확인일: 2026-06-05.</ref>

== 강화 기법 ==
인공지능의 강건성은 데이터, 모델, 학습, 검증, 배포, 운영 단계에서 함께 개선해야 한다.

{| class="wikitable"
! 단계 !! 강화 기법
|-
| 데이터 수집 || 다양한 환경, 장비, 사용자군, 예외 상황을 포함한 데이터 확보
|-
| 데이터 전처리 || 이상치 처리, 결측치 처리, 라벨 품질 검수, 데이터 중복 제거
|-
| 데이터 증강 || 회전, 잡음, 밝기 변화, 문장 패러프레이즈 등 변형 데이터를 학습에 포함
|-
| 적대적 학습 || 공격 입력을 학습 과정에 포함하여 적대적 예제에 대한 내성을 높임
|-
| 강건 최적화 || 최악의 입력 교란에서도 손실이 작아지도록 학습 목표를 설계
|-
| 앙상블 || 여러 모델의 출력을 결합하여 단일 모델의 불안정성을 완화
|-
| 불확실성 추정 || 모델이 자신 없는 입력을 감지하고 보류, 재검토, 사람 검토로 넘김
|-
| OOD 탐지 || 학습 분포 밖 입력을 식별하여 별도 처리
|-
| 입력 검증 || 비정상 입력, 악성 프롬프트, 형식 오류, 권한 없는 데이터 접근을 차단
|-
| 런타임 모니터링 || 배포 후 데이터 드리프트, 성능 저하, 이상 행동을 탐지
|-
| 사람 개입 || 고위험 판단에서 휴먼 인 더 루프, 승인 절차, 중지 장치를 운영
|}

== 대규모 언어 모델에서의 강건성 ==
대규모 언어 모델(LLM)의 강건성은 이미지 분류 모델의 강건성과 다른 특징을 가진다. LLM은 자연어 입력에 민감하며, 같은 의미의 질문이라도 표현 방식, 문맥, 지시 순서, 시스템 프롬프트, 외부 도구, 검색 결과에 따라 출력이 달라질 수 있다.

LLM에서 중요한 강건성 항목은 다음과 같다.

* '''프롬프트 강건성''': 질문 표현이 조금 달라져도 핵심 의도를 일관되게 처리하는 능력
* '''정책 강건성''': 우회 표현, 역할극, 다단계 지시에도 안전 정책을 유지하는 능력
* '''도구 사용 강건성''': 검색, 코드 실행, 데이터베이스 조회, API 호출을 잘못 수행하지 않는 능력
* '''환각 억제''': 불확실한 정보를 단정적으로 생성하지 않고 근거와 한계를 구분하는 능력
* '''문맥 오염 대응''': 외부 문서나 웹페이지에 삽입된 악성 지시를 시스템 지시보다 우선하지 않는 능력
* '''장문 문맥 안정성''': 긴 문서, 긴 대화, 복합 지시에서도 핵심 제약을 유지하는 능력

특히 LLM 기반 에이전트는 외부 도구 호출, 파일 처리, 이메일 발송, 코드 실행 등 실제 행위를 수행할 수 있으므로, 강건성 평가는 단순 답변 품질뿐 아니라 권한 관리, 감사 로그, 작업 승인, 실패 시 복구 절차까지 포함해야 한다.

== 표준 및 규제 ==
인공지능의 강건성은 기술 품질뿐 아니라 AI 거버넌스와 규제 준수의 핵심 요소가 되고 있다.

{| class="wikitable"
! 문서·제도 !! 관련 내용
|-
| NIST AI RMF 1.0 || AI 위험을 관리하기 위한 프레임워크로, 신뢰할 수 있는 AI 특성에 유효성·신뢰성, 안전성, 보안성·복원력 등을 포함한다.<ref name="nist-airmf" />
|-
| ISO/IEC 23894:2023 || AI를 개발·제공·배포·사용하는 조직이 AI 관련 위험을 관리하기 위한 지침을 제공한다.<ref name="iso23894">「ISO/IEC 23894:2023 Information technology — Artificial intelligence — Guidance on risk management」, URL: https://www.iso.org/standard/77304.html, 확인일: 2026-06-05.</ref>
|-
| ISO/IEC 24029 계열 || 신경망 강건성 평가와 형식기법을 다루는 표준 계열이다.<ref name="iso24029-2" />
|-
| OECD AI 원칙 || AI 시스템이 생애주기 전반에서 강건하고 안전하며 보안성을 갖추어야 한다고 제시한다.<ref name="oecd-ai-principles" />
|-
| EU AI Act || 고위험 AI 시스템이 적절한 수준의 정확성, 강건성, 사이버보안을 달성하고 생애주기 전반에서 일관되게 수행되도록 설계·개발되어야 한다고 규정한다.<ref name="eu-ai-act">「Regulation (EU) 2024/1689 of the European Parliament and of the Council」, URL: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202401689, 확인일: 2026-06-05.</ref>
|}

== 한계와 과제 ==
인공지능의 강건성은 절대적으로 보장하기 어렵다. 실제 세계의 가능한 입력과 공격 시나리오는 매우 넓고, 모델이 모든 상황을 학습하거나 검증하는 것은 현실적으로 불가능하다.

주요 한계는 다음과 같다.

* '''정확도와의 트레이드오프''': 일부 강건화 기법은 표준 테스트셋 정확도를 낮추거나 학습 비용을 증가시킬 수 있다.
* '''평가 범위의 한계''': 테스트한 교란이나 공격에 대해서만 강건성이 확인되며, 새로운 공격에는 취약할 수 있다.
* '''벤치마크 과적합''': 특정 강건성 벤치마크에 맞춘 모델이 실제 환경에서는 충분히 강건하지 않을 수 있다.
* '''데이터 확보 어려움''': 드문 사고, 극단적 환경, 소수집단 데이터는 수집과 라벨링이 어렵다.
* '''복합 시스템 문제''': AI 모델 자체는 강건해도 데이터 파이프라인, API, UI, 권한, 네트워크 장애로 전체 시스템이 실패할 수 있다.
* '''설명가능성 부족''': 모델이 왜 특정 입력에 취약한지 해석하기 어려운 경우가 많다.
* '''공격자의 적응''': 방어 기법이 공개되면 공격자는 이를 우회하는 새로운 공격을 설계할 수 있다.

== 실무 점검 항목 ==
AI 시스템을 개발·운영할 때 강건성을 점검하기 위한 주요 항목은 다음과 같다.

{| class="wikitable"
! 영역 !! 점검 항목
|-
| 요구사항 || 정상 조건, 비정상 조건, 허용 가능한 성능 저하, 안전 중지 조건을 정의했는가
|-
| 데이터 || 학습·검증·운영 데이터의 대표성, 품질, 편향, 드리프트 가능성을 분석했는가
|-
| 모델 || 노이즈, 결측치, OOD 입력, 적대적 입력에 대한 성능을 측정했는가
|-
| 보안 || 데이터 포이즈닝, 모델 추출, 프롬프트 인젝션, 백도어 가능성을 검토했는가
|-
| 운영 || 배포 후 성능, 데이터 분포, 오류율, 사용자 신고를 모니터링하는가
|-
| 대응 || 성능 저하나 위험 입력 발견 시 롤백, 재학습, 사람 검토, 서비스 제한 절차가 있는가
|-
| 문서화 || 평가 데이터, 테스트 방법, 한계, 잔여 위험, 변경 이력을 기록했는가
|-
| 책임 || 모델 개발자, 운영자, 보안 담당자, 현업 승인자의 책임이 분리되어 있는가
|}

== 같이 보기 ==
* [[인공지능]]
* [[기계 학습]]
* [[딥 러닝]]
* [[머신러닝 파이프라인]]
* [[인공지능 기반 시스템 특성]]
* [[인공지능 윤리]]
* [[국가 인공지능 윤리기준]]

== 각주 ==
<references />

[[분류:인공지능]]
[[분류:기계 학습]]
[[분류:보안]]

엑셀 조건부 서식

2026-06-04T16:57:21Z

기사기사: 새 문서: 엑셀 조건부 서식(Excel Conditional Formatting)은 Microsoft Excel에서 셀의 값, 수식 결과 또는 지정한 조건에 따라 글꼴, 채우기 색, 데이터 막대, 색조, 아이콘 집합 등의 서식을 자동으로 적용하는 기능이다. == 개요 == 조건부 서식은 워크시트의 데이터를 시각적으로 탐색하고, 패턴·추세·이상값을 빠르게 식별하기 위해 사용하는 Excel의 서식 기능이다. 사용자는 셀 범위,...

엑셀 조건부 서식(Excel Conditional Formatting)은 Microsoft Excel에서 셀의 값, 수식 결과 또는 지정한 조건에 따라 글꼴, 채우기 색, 데이터 막대, 색조, 아이콘 집합 등의 서식을 자동으로 적용하는 기능이다.

== 개요 ==
조건부 서식은 워크시트의 데이터를 시각적으로 탐색하고, 패턴·추세·이상값을 빠르게 식별하기 위해 사용하는 Excel의 서식 기능이다. 사용자는 셀 범위, 표 또는 피벗 테이블 보고서에 규칙을 만들고, 해당 규칙의 조건이 충족될 때 적용할 표시 형식을 지정할 수 있다.<ref>Microsoft Support, 「조건부 서식을 사용하여 Excel에서 정보 강조 표시」, https://support.microsoft.com/ko-kr/office/%EC%A1%B0%EA%B1%B4%EB%B6%80-%EC%84%9C%EC%8B%9D%EC%9D%84-%EC%82%AC%EC%9A%A9%ED%95%98%EC%97%AC-excel%EC%97%90%EC%84%9C-%EC%A0%95%EB%B3%B4-%EA%B0%95%EC%A1%B0-%ED%91%9C%EC%8B%9C-fed60dfa-1d3f-4e13-9ecb-f1951ff89d7f, 확인한 날짜: 2026-06-05</ref>

일반적인 활용 사례로는 기준값보다 큰 숫자 강조, 특정 텍스트가 포함된 셀 표시, 중복 값 표시, 상위 또는 하위 값 강조, 평균 초과·미만 값 표시, 날짜 조건 표시, 오류값 표시 등이 있다. 조건부 서식은 데이터 값을 변경하지 않고 표시 방식만 바꾸므로, 원본 데이터의 계산 결과나 값 자체에는 영향을 주지 않는다.

== 주요 기능 ==
조건부 서식은 미리 정의된 규칙과 사용자 지정 규칙을 모두 지원한다.

{| class="wikitable"
! 구분 !! 설명 !! 예시
|-
| 셀 강조 규칙 || 특정 값, 텍스트, 날짜, 중복 여부 등에 따라 셀을 강조한다. || 100보다 큰 값, 특정 문자열 포함, 중복 값
|-
| 상위/하위 규칙 || 범위 내 상위 또는 하위 값, 백분율, 평균 초과·미만 값을 강조한다. || 상위 10개 항목, 하위 10%, 평균 초과
|-
| 데이터 막대 || 셀 안에 막대 그래프 형태의 시각적 표시를 넣어 값의 크기를 비교한다. || 매출액 크기 비교
|-
| 색조 || 값의 크기에 따라 2색 또는 3색 그라데이션을 적용한다. || 낮은 값은 빨간색, 높은 값은 녹색
|-
| 아이콘 집합 || 값 범위를 여러 단계로 나누어 화살표, 신호등, 등급 아이콘 등을 표시한다. || 상승·보합·하락 표시
|-
| 수식 기반 규칙 || 사용자가 입력한 수식이 참(TRUE)일 때 서식을 적용한다. || 특정 열 값이 조건을 만족하는 행 전체 강조
|}

데이터 막대, 색조, 아이콘 집합은 숫자형 데이터의 분포와 상대적 크기를 빠르게 파악하는 데 유용하다. Microsoft 설명에 따르면 색조는 최소값·중간값·최대값에 대응하는 색의 그라데이션으로 데이터 분포와 변화를 표시하며, 아이콘 집합은 임계값에 따라 데이터를 3~5개 범주로 나누어 표시한다.<ref>Microsoft Support, 「데이터 막대, 색조 및 아이콘 집합을 사용하여 데이터 강조 표시」, https://support.microsoft.com/ko-kr/office/%EB%8D%B0%EC%9D%B4%ED%84%B0-%EB%A7%89%EB%8C%80-%EC%83%89%EC%A1%B0-%EB%B0%8F-%EC%95%84%EC%9D%B4%EC%BD%98-%EC%A7%91%ED%95%A9%EC%9D%84-%EC%82%AC%EC%9A%A9%ED%95%98%EC%97%AC-%EB%8D%B0%EC%9D%B4%ED%84%B0-%EA%B0%95%EC%A1%B0-%ED%91%9C%EC%8B%9C-f118d0a6-5921-4e2e-905b-fe00f3378fb9, 확인한 날짜: 2026-06-05</ref>

== 사용 방법 ==
가장 기본적인 적용 절차는 다음과 같다.

# 조건부 서식을 적용할 셀 범위, 표 또는 피벗 테이블 영역을 선택한다.
# Excel 리본 메뉴에서 '''홈''' 탭을 선택한다.
# '''조건부 서식'''을 선택한다.
# 사용할 규칙 유형을 선택한다.
# 조건값과 적용할 서식을 지정한 뒤 확인한다.

예를 들어 특정 텍스트가 포함된 셀을 강조하려면 '''조건부 서식 → 셀 강조 규칙 → 텍스트 포함'''을 선택한 뒤 강조할 텍스트와 서식을 지정한다. 중복 값을 표시하려면 '''조건부 서식 → 셀 강조 규칙 → 중복 값'''을 선택하고 중복 또는 고유 값을 선택한다.<ref>Microsoft Support, 「Mac용 Excel에서 조건부 서식을 사용하여 패턴 및 추세 강조」, https://support.microsoft.com/ko-kr/office/mac%EC%9A%A9-excel%EC%97%90%EC%84%9C-%EC%A1%B0%EA%B1%B4%EB%B6%80-%EC%84%9C%EC%8B%9D%EC%9D%84-%EC%82%AC%EC%9A%A9%ED%95%98%EC%97%AC-%ED%8C%A8%ED%84%B4-%EB%B0%8F-%EC%B6%94%EC%84%B8-%EA%B0%95%EC%A1%B0-eea152f5-2a7d-4c1a-a2da-c5f893adb621, 확인한 날짜: 2026-06-05</ref>

== 수식 기반 조건부 서식 ==
수식 기반 조건부 서식은 미리 정의된 규칙으로 표현하기 어려운 조건을 적용할 때 사용한다. 규칙 유형에서 '''수식을 사용하여 서식을 지정할 셀 결정'''을 선택하고, 참 또는 거짓으로 평가되는 수식을 입력한다.

예를 들어 A열의 값이 100 이상인 행 전체를 강조하려면 적용 범위를 A2:D100과 같이 지정한 뒤 다음과 같은 수식을 사용할 수 있다.

<pre>
=$A2>=100
</pre>

짝수 행에만 배경색을 적용하려면 다음과 같은 수식을 사용할 수 있다.

<pre>
=MOD(ROW(),2)=0
</pre>

Microsoft는 교차 행 또는 열에 음영을 적용하는 방법으로 조건부 서식의 새 규칙에서 수식을 사용하는 방식을 안내하고 있으며, 짝수 행 음영 예시로 <code>=MOD(ROW(),2)=0</code> 형태의 수식을 제시한다.<ref>Microsoft Support, 「Apply color to alternate rows or columns」, https://support.microsoft.com/en-us/office/apply-color-to-alternate-rows-or-columns-30002ce0-7a1c-4d70-a70c-4b6232f09f5e, 확인한 날짜: 2026-06-05</ref>

수식 기반 규칙에서는 상대 참조와 절대 참조를 정확히 구분해야 한다. 예를 들어 <code>=$A2>=100</code>은 열 A를 고정하고 행 번호는 적용 범위에 따라 변하게 하므로, 행 전체 강조에 적합하다. 반면 <code>=A2>=100</code>처럼 열을 고정하지 않으면 적용 범위의 각 열 기준으로 조건이 이동할 수 있다.

== 규칙 관리 ==
조건부 서식 규칙은 '''조건부 서식 → 규칙 관리'''에서 확인, 편집, 복제, 삭제할 수 있다. 규칙 관리 화면에서는 적용 범위, 규칙 순서, 서식 조건을 조정할 수 있다. 하나의 셀 또는 범위에 여러 조건부 서식 규칙이 적용될 수 있으므로, 규칙이 겹치는 경우에는 우선순위와 적용 범위를 함께 확인해야 한다.<ref>Microsoft Support, 「고유 값 필터링 또는 중복 값 제거」, https://support.microsoft.com/ko-kr/office/%EA%B3%A0%EC%9C%A0-%EA%B0%92-%ED%95%84%ED%84%B0%EB%A7%81-%EB%98%90%EB%8A%94-%EC%A4%91%EB%B3%B5-%EA%B0%92-%EC%A0%9C%EA%B1%B0-ccf664b0-81d6-449b-bbe1-8daaec1e83c2, 확인한 날짜: 2026-06-05</ref>

조건부 서식을 다른 셀에 복사할 때는 서식 복사 기능을 사용할 수 있다. 다만 복사된 규칙의 적용 범위와 참조 방식이 원래 의도와 달라질 수 있으므로, 복사 후 규칙 관리에서 범위와 수식을 확인하는 것이 좋다.

== 활용 예 ==
* '''매출 관리''': 목표 매출 미달 값은 빨간색, 목표 초과 값은 녹색으로 표시한다.
* '''재고 관리''': 안전 재고 이하의 품목을 강조하여 발주 필요 항목을 식별한다.
* '''일정 관리''': 오늘 이전 마감일, 7일 이내 마감일, 완료 여부를 색상으로 구분한다.
* '''품질 관리''': 허용 범위를 벗어난 측정값을 자동으로 표시한다.
* '''중복 데이터 검토''': 고객 ID, 주문 번호, 이메일 주소 등에서 중복 값을 찾아낸다.
* '''보고서 시각화''': 데이터 막대와 색조를 사용하여 수치의 상대적 크기를 빠르게 파악한다.

조건부 서식으로 적용된 셀 색, 글꼴 색 또는 아이콘은 필터 조건으로도 사용할 수 있다. Excel에서는 셀 색, 글꼴 색, 셀 아이콘 등을 기준으로 데이터를 필터링할 수 있으므로, 조건부 서식과 필터를 함께 사용하면 시각적으로 강조된 데이터만 빠르게 추출할 수 있다.<ref>Microsoft Support, 「글꼴 색, 셀 색 또는 아이콘 집합으로 필터링」, https://support.microsoft.com/ko-kr/office/%EA%B8%80%EA%BC%B4-%EC%83%89-%EC%85%80-%EC%83%89-%EB%98%90%EB%8A%94-%EC%95%84%EC%9D%B4%EC%BD%98-%EC%A7%91%ED%95%A9%EC%9C%BC%EB%A1%9C-%ED%95%84%ED%84%B0%EB%A7%81-4af3e865-3e34-4d81-9814-1893ffaada3c, 확인한 날짜: 2026-06-05</ref>

== 주의사항 ==
* '''적용 범위 확인''': 조건부 서식이 불필요하게 넓은 범위에 적용되면 파일 크기 증가나 성능 저하가 발생할 수 있다.
* '''수식 참조 확인''': 수식 기반 규칙에서는 상대 참조와 절대 참조가 결과에 큰 영향을 준다.
* '''규칙 중복 관리''': 같은 범위에 유사한 규칙이 반복 적용되면 결과를 해석하기 어렵고 유지보수가 어려워진다.
* '''값과 서식의 구분''': 조건부 서식은 값을 바꾸지 않고 표시만 변경한다. 실제 계산이나 정렬 기준으로 사용할 값은 별도로 관리해야 한다.
* '''호환성 확인''': 오래된 Excel 형식으로 저장하거나 이전 버전 Excel에서 열 경우, 데이터 막대·색조·아이콘 집합 등 일부 조건부 서식 유형이 제대로 표시되지 않을 수 있다. Microsoft의 호환성 안내에 따르면 Excel 97-2003에서는 일부 조건부 서식 유형이 지원되지 않거나 표시되지 않을 수 있다.<ref>Microsoft Support, 「Excel의 조건부 서식 호환성 문제」, https://support.microsoft.com/ko-kr/office/excel%EC%9D%98-%EC%A1%B0%EA%B1%B4%EB%B6%80-%EC%84%9C%EC%8B%9D-%ED%98%B8%ED%99%98%EC%84%B1-%EB%AC%B8%EC%A0%9C-ef68c97a-1b5e-47eb-9b3f-a548f941df4f, 확인한 날짜: 2026-06-05</ref>

== 같이 보기 ==
* [[엑셀 회귀 데이터 분석]]
* [[회귀 분석]]
* [[데이터 분석]]

== 각주 ==
<references />

[[분류:데이터 분석]]
[[분류:스프레드시트]]
[[분류:Microsoft Excel]]

논리 연산

2026-06-04T16:45:30Z

기사기사: 새 문서: 논리 연산(論理演算, logical operation 또는 Boolean operation)은 참과 거짓의 진리값을 대상으로 새로운 진리값을 산출하는 연산이다. == 개요 == 논리 연산은 명제 논리, 불 대수, 디지털 회로, 프로그래밍 언어에서 널리 사용되는 기본 연산이다. 일반적으로 입력값은 참(True, 1)과 거짓(False, 0) 중 하나이며, 연산 결과도 참 또는 거짓으로 표현된다.<ref>논리 연산 - 위키백과,...

논리 연산(論理演算, logical operation 또는 Boolean operation)은 참과 거짓의 진리값을 대상으로 새로운 진리값을 산출하는 연산이다.

== 개요 ==
논리 연산은 명제 논리, 불 대수, 디지털 회로, 프로그래밍 언어에서 널리 사용되는 기본 연산이다. 일반적으로 입력값은 참(True, 1)과 거짓(False, 0) 중 하나이며, 연산 결과도 참 또는 거짓으로 표현된다.<ref>논리 연산 - 위키백과, https://ko.wikipedia.org/wiki/%EB%85%BC%EB%A6%AC_%EC%97%B0%EC%82%B0, 확인한 날짜: 2026년 6월 5일</ref>

논리 연산은 수학적으로는 불 대수(Boolean algebra)의 연산으로 다루어지고, 컴퓨터에서는 조건식 평가, 비트 조작, 논리 게이트 설계, 데이터 필터링 등에 사용된다.<ref>부울 대수 - 정보통신기술용어해설, https://www.ktword.co.kr/test/view/view.php?no=3676, 확인한 날짜: 2026년 6월 5일</ref>

== 주요 연산 ==
논리 연산의 기본 연산에는 논리곱, 논리합, 부정, 배타적 논리합 등이 있다.

{| class="wikitable"
! 연산 !! 영문명 !! 기호 !! 설명
|-
| 논리곱
| AND
| ∧
| 두 입력이 모두 참일 때만 참이다.
|-
| 논리합
| OR
| ∨
| 두 입력 중 하나 이상이 참이면 참이다.
|-
| 부정
| NOT
| ¬ 또는 ~
| 입력의 진리값을 반대로 바꾼다.
|-
| 배타적 논리합
| XOR
| ⊕
| 두 입력의 진리값이 서로 다를 때만 참이다.
|-
| 부정 논리곱
| NAND
| ↑
| AND 결과를 부정한 연산이다.
|-
| 부정 논리합
| NOR
| ↓
| OR 결과를 부정한 연산이다.
|}

== 진리표 ==
진리표는 가능한 모든 입력 조합에 대해 논리 연산의 결과를 나타낸 표이다. 두 입력 A, B에 대한 대표적인 논리 연산의 진리표는 다음과 같다.

{| class="wikitable" style="text-align:center"
! A !! B !! A AND B !! A OR B !! A XOR B !! NOT A
|-
| 0 || 0 || 0 || 0 || 0 || 1
|-
| 0 || 1 || 0 || 1 || 1 || 1
|-
| 1 || 0 || 0 || 1 || 1 || 0
|-
| 1 || 1 || 1 || 1 || 0 || 0
|}

여기서 1은 참, 0은 거짓을 의미한다. NOT 연산은 단항 연산이므로 B의 값과 관계없이 A의 값만으로 결과가 결정된다.

== 논리 연산과 불 대수 ==
불 대수는 참과 거짓, 또는 1과 0으로 표현되는 값을 대상으로 하는 대수 체계이다. 논리 연산은 불 대수의 기본 연산으로, 디지털 회로의 스위칭 동작과 컴퓨터의 이진 처리 방식을 설명하는 데 사용된다.<ref>부울 대수 - 정보통신기술용어해설, https://www.ktword.co.kr/test/view/view.php?no=3676, 확인한 날짜: 2026년 6월 5일</ref>

대표적인 불 대수 법칙은 다음과 같다.

{| class="wikitable"
! 법칙 !! 예
|-
| 항등 법칙
| A AND 1 = A, A OR 0 = A
|-
| 지배 법칙
| A AND 0 = 0, A OR 1 = 1
|-
| 멱등 법칙
| A AND A = A, A OR A = A
|-
| 보수 법칙
| A AND NOT A = 0, A OR NOT A = 1
|-
| 교환 법칙
| A AND B = B AND A, A OR B = B OR A
|-
| 결합 법칙
| (A AND B) AND C = A AND (B AND C)
|-
| 분배 법칙
| A AND (B OR C) = (A AND B) OR (A AND C)
|-
| 드 모르간 법칙
| NOT (A AND B) = (NOT A) OR (NOT B)
|}

== 컴퓨터에서의 활용 ==
논리 연산은 컴퓨터의 하드웨어와 소프트웨어 양쪽에서 모두 사용된다.

* '''조건식 평가''': 조건문과 반복문에서 참·거짓을 판단한다.
* '''비트 연산''': 정수 데이터를 비트 단위로 조작한다.
* '''디지털 회로''': AND 게이트, OR 게이트, NOT 게이트 등 논리 게이트의 동작을 정의한다.
* '''검색과 필터링''': 여러 조건을 결합해 데이터를 선택한다.
* '''권한 및 플래그 처리''': 특정 비트가 설정되어 있는지 검사하거나 조합한다.

예를 들어 프로그래밍 언어에서는 두 조건이 모두 만족되어야 하는 경우 AND를 사용하고, 둘 중 하나만 만족되어도 되는 경우 OR를 사용한다. Microsoft의 C# 문서에서는 `bool` 피연산자에 대해 논리 부정, 논리 AND, 논리 OR, 배타적 OR, 조건부 논리 AND, 조건부 논리 OR 연산자를 제공한다고 설명한다.<ref>부울 논리 연산자 - C# reference, https://learn.microsoft.com/ko-kr/dotnet/csharp/language-reference/operators/boolean-logical-operators, 확인한 날짜: 2026년 6월 5일</ref>

== 논리 연산자와 비트 연산자 ==
논리 연산자는 보통 참과 거짓으로 평가되는 값을 대상으로 한다. 반면 비트 연산자는 정수의 각 비트를 대상으로 같은 종류의 연산을 수행한다.

{| class="wikitable"
! 구분 !! 대상 !! 예
|-
| 논리 연산
| 참·거짓 값
| 참 AND 거짓 = 거짓
|-
| 비트 연산
| 이진수의 각 비트
| 1010 AND 1100 = 1000
|}

프로그래밍 언어에 따라 `&&`, `||`, `!`는 논리 연산자로, `&`, `|`, `^`, `~`는 비트 연산자로 구분되는 경우가 많다. 다만 언어마다 연산자의 의미와 평가 방식이 다르므로 해당 언어의 문서를 확인해야 한다.<ref>부울 논리 연산자 - C# reference, https://learn.microsoft.com/ko-kr/dotnet/csharp/language-reference/operators/boolean-logical-operators, 확인한 날짜: 2026년 6월 5일</ref>

== 단락 평가 ==
단락 평가(short-circuit evaluation)는 논리식의 결과가 이미 결정된 경우 나머지 피연산자를 평가하지 않는 방식이다. 예를 들어 AND 연산에서 첫 번째 조건이 거짓이면 전체 결과는 반드시 거짓이므로 두 번째 조건을 평가하지 않아도 된다. OR 연산에서는 첫 번째 조건이 참이면 전체 결과가 참으로 결정된다.

C#의 `&&`와 `||` 같은 조건부 논리 연산자는 필요한 경우에만 오른쪽 피연산자를 평가한다.<ref>부울 논리 연산자 - C# reference, https://learn.microsoft.com/ko-kr/dotnet/csharp/language-reference/operators/boolean-logical-operators, 확인한 날짜: 2026년 6월 5일</ref>

== 예시 ==
다음은 논리 연산의 간단한 예이다.

<syntaxhighlight lang="csharp">
bool a = true;
bool b = false;

bool andResult = a && b; // false
bool orResult = a || b; // true
bool notResult = !a; // false
bool xorResult = a ^ b; // true
</syntaxhighlight>

위 예에서 `a && b`는 두 값이 모두 참이어야 참이므로 거짓이고, `a || b`는 둘 중 하나가 참이면 참이므로 참이다. `!a`는 `a`의 값을 반대로 바꾸며, `a ^ b`는 두 값이 서로 다르므로 참이다.

== 디지털 회로와의 관계 ==
논리 연산은 디지털 회로의 논리 게이트로 구현된다. AND 연산은 AND 게이트, OR 연산은 OR 게이트, NOT 연산은 인버터로 구현할 수 있다. 여러 논리 게이트를 조합하면 가산기, 비교기, 멀티플렉서, 산술 논리 장치(ALU) 같은 복잡한 회로를 만들 수 있다.

특히 NAND와 NOR 게이트는 다른 논리 연산을 구성할 수 있는 범용 게이트로 알려져 있어 디지털 회로 설계에서 중요하게 사용된다.

== 같이 보기 ==

== 각주 ==
<references />

[[분류:논리학]]
[[분류:컴퓨터 과학]]
[[분류:디지털 회로]]

산술 논리 장치

2026-06-04T16:45:09Z

기사기사: 새 문서: 산술 논리 장치(算術論理裝置, Arithmetic Logic Unit, ALU)는 중앙 처리 장치(CPU) 등 디지털 연산 회로에서 정수 산술 연산과 비트 단위 논리 연산을 수행하는 조합 논리 회로이다. == 개요 == 산술 논리 장치는 컴퓨터의 명령 실행 과정에서 실제 계산을 담당하는 핵심 구성 요소이다. 일반적으로 두 개 이상의 피연산자와 수행할 연산을 지정하는 제어 신호를 입력으로 받아...

산술 논리 장치(算術論理裝置, Arithmetic Logic Unit, ALU)는 중앙 처리 장치(CPU) 등 디지털 연산 회로에서 정수 산술 연산과 비트 단위 논리 연산을 수행하는 조합 논리 회로이다.

== 개요 ==
산술 논리 장치는 컴퓨터의 명령 실행 과정에서 실제 계산을 담당하는 핵심 구성 요소이다. 일반적으로 두 개 이상의 피연산자와 수행할 연산을 지정하는 제어 신호를 입력으로 받아, 덧셈·뺄셈 같은 산술 연산이나 AND·OR·XOR 같은 논리 연산의 결과를 출력한다.<ref>Arithmetic logic unit, https://en.wikipedia.org/wiki/Arithmetic_logic_unit, 확인한 날짜: 2026년 6월 5일</ref>

ALU는 CPU 내부의 실행 장치에 포함되는 경우가 많으며, 레지스터, 제어 장치, 데이터 버스와 함께 명령어 실행 경로를 구성한다. 정수 연산을 주로 다루는 ALU와 달리, 부동소수점 수의 연산은 별도의 부동소수점 장치(FPU)가 담당하는 구조가 일반적이다.<ref>산술 논리 장치, https://ko.wikipedia.org/wiki/%EC%82%B0%EC%88%A0_%EB%85%BC%EB%A6%AC_%EC%9E%A5%EC%B9%98, 확인한 날짜: 2026년 6월 5일</ref>

== 기능 ==
ALU가 제공하는 기능은 프로세서 설계와 명령어 집합 구조에 따라 달라지지만, 일반적으로 다음 기능을 포함한다.

{| class="wikitable"
! 구분 !! 대표 연산 !! 설명
|-
| 산술 연산
| 덧셈, 뺄셈, 증가, 감소
| 정수형 이진수 값을 대상으로 계산을 수행한다.
|-
| 논리 연산
| AND, OR, NOT, XOR
| 비트 단위로 논리 연산을 수행한다.
|-
| 비교 연산
| 같음, 큼, 작음
| 두 값을 비교하고 상태 플래그나 조건 분기 판단에 필요한 결과를 만든다.
|-
| 시프트 및 회전 연산
| 논리 시프트, 산술 시프트, 비트 회전
| 비트열을 좌우로 이동하거나 회전시켜 곱셈·나눗셈, 비트 마스크 처리 등에 활용한다.
|}

일부 간단한 ALU는 덧셈기, 논리 게이트, 멀티플렉서만으로 구성되며, 복잡한 프로세서에서는 여러 ALU가 병렬로 배치되어 여러 명령을 동시에 처리할 수 있다.<ref>ALU, http://www.ktword.co.kr/test/view/view.php?no=374, 확인한 날짜: 2026년 6월 5일</ref>

== 동작 원리 ==
ALU는 보통 조합 논리 회로로 설계된다. 입력 피연산자와 연산 선택 신호가 안정되면, 회로 내부의 전파 지연 시간이 지난 뒤 결과가 출력된다.<ref>Arithmetic logic unit, https://en.wikipedia.org/wiki/Arithmetic_logic_unit, 확인한 날짜: 2026년 6월 5일</ref>

일반적인 동작 흐름은 다음과 같다.

# 명령어 해석 단계에서 제어 장치가 수행할 연산을 결정한다.
# 레지스터나 데이터 경로에서 피연산자가 ALU 입력으로 전달된다.
# ALU는 제어 신호에 따라 산술 회로 또는 논리 회로의 결과를 선택한다.
# 계산 결과와 상태 플래그가 출력된다.
# 결과는 목적지 레지스터, 메모리 경로 또는 다음 명령의 조건 판단에 사용된다.

== 상태 플래그 ==
ALU의 연산 결과는 단순한 결과값뿐 아니라 상태 플래그로도 표현된다. 상태 플래그는 조건 분기, 오버플로우 처리, 다중 정밀도 연산 등에 사용된다.<ref>2) ALU - IA32 어셈블리 프로그래밍, https://wikidocs.net/146024, 확인한 날짜: 2026년 6월 5일</ref>

{| class="wikitable"
! 플래그 !! 의미
|-
| ZF
| 결과가 0이면 설정되는 제로 플래그
|-
| CF
| 자리올림이나 빌림이 발생했음을 나타내는 캐리 플래그
|-
| OF
| 부호 있는 정수 연산에서 표현 범위를 벗어났음을 나타내는 오버플로우 플래그
|-
| SF 또는 N
| 결과의 부호 비트가 음수 방향임을 나타내는 사인 플래그 또는 네거티브 플래그
|}

플래그의 이름과 세부 의미는 프로세서 아키텍처마다 다를 수 있다. 예를 들어 x86 계열에서는 ZF, CF, OF, SF 등이 조건 분기 명령과 함께 사용된다.

== 구성 요소 ==
ALU는 목적에 따라 다양한 회로 블록을 조합해 구현된다.

* '''가산기''': 덧셈과 뺄셈의 기반이 되는 회로이다. 뺄셈은 보통 2의 보수 표현과 가산기를 이용해 구현한다.
* '''논리 게이트''': AND, OR, XOR, NOT 등의 비트 단위 연산을 수행한다.
* '''시프터''': 비트열을 좌우로 이동한다.
* '''비교 회로''': 두 피연산자의 차이나 부호, 플래그를 이용해 비교 결과를 만든다.
* '''멀티플렉서''': 여러 연산 회로의 출력 중 제어 신호에 맞는 결과를 선택한다.
* '''플래그 생성 회로''': 결과값을 바탕으로 제로, 캐리, 오버플로우 등의 상태 정보를 만든다.

== CPU에서의 역할 ==
CPU는 명령어를 가져오고 해석한 뒤, 필요한 데이터 연산을 ALU에 맡긴다. ALU는 산술 연산과 논리 연산을 처리하므로 프로그램 실행에서 변수 계산, 주소 계산, 조건 비교, 비트 조작 등 다양한 작업에 관여한다.

현대 CPU는 하나의 단일 ALU만 사용하는 구조가 아니라, 정수 실행 유닛 안에 여러 개의 ALU를 두거나 파이프라인 구조와 결합하여 명령 처리량을 높인다. GPU, DSP, 마이크로컨트롤러, FPGA 기반 연산 회로 등도 목적에 맞는 형태의 ALU 또는 유사한 연산 블록을 포함할 수 있다.<ref>ALU Functions and Bus Organization, https://www.geeksforgeeks.org/computer-organization-architecture/introduction-of-alu-and-data-path/, 확인한 날짜: 2026년 6월 5일</ref>

== 역사적 배경 ==
ALU라는 개념은 초기 컴퓨터의 연산 장치에서부터 존재했으며, 집적회로와 마이크로프로세서의 발전에 따라 하나의 칩 내부에 포함되는 형태로 발전했다. 인텔 4004는 1971년에 등장한 초기 상용 마이크로프로세서 중 하나로, 계산기용 칩셋 프로젝트에서 출발해 프로그래머블 로직 마이크로칩의 중요한 사례가 되었다.<ref>Announcing a New Era of Integrated Electronics, https://www.intel.com/content/www/us/en/history/virtual-vault/articles/the-intel-4004.html, 확인한 날짜: 2026년 6월 5일</ref>

이후 마이크로프로세서는 더 넓은 데이터 폭, 더 많은 실행 유닛, 파이프라인, 슈퍼스칼라 구조를 채택하며 발전했다. 이에 따라 ALU도 단순한 1비트 또는 4비트 단위 회로에서 다중 비트 병렬 연산 회로와 복수 실행 유닛 구조로 확장되었다.

== ALU와 FPU의 차이 ==
ALU는 주로 정수와 비트 단위 연산을 처리한다. 반면 FPU(Floating Point Unit)는 부동소수점 형식의 실수 연산을 처리한다. 정수 연산은 주소 계산, 배열 인덱스, 조건 비교, 비트 마스크 등에 자주 사용되고, 부동소수점 연산은 과학 계산, 그래픽스, 인공지능, 시뮬레이션 등에 많이 사용된다.

일부 단순한 프로세서나 마이크로컨트롤러는 별도의 FPU 없이 정수 ALU만 제공할 수 있으며, 이 경우 부동소수점 연산은 소프트웨어 루틴으로 처리된다.

== 설계 관점 ==
ALU 설계에서는 다음 요소가 중요하다.

* '''비트 폭''': 8비트, 16비트, 32비트, 64비트 등 한 번에 처리할 수 있는 데이터 크기를 의미한다.
* '''지연 시간''': 입력이 들어온 뒤 결과가 안정될 때까지 걸리는 시간이다.
* '''면적''': 반도체 칩에서 회로가 차지하는 공간이다.
* '''전력 소비''': 모바일·임베디드·서버 환경에서 중요한 설계 요소이다.
* '''명령어 지원 범위''': 프로세서가 제공하는 산술·논리·시프트·비트 조작 명령에 따라 ALU 구조가 달라진다.

고성능 프로세서에서는 빠른 가산기 구조, 병렬 실행, 파이프라인, 분기 예측과 같은 기술이 ALU 주변의 데이터 경로와 함께 성능에 영향을 준다.

== 같이 보기 ==
* [[CPU 병렬 처리]]
* [[FPGA]]
* [[ASIC]]
* [[GPGPU]]
* [[FLOPS]]

== 각주 ==
<references />

[[분류:컴퓨터 구조]]
[[분류:하드웨어]]

사이드채널 공격

2026-06-04T16:39:09Z

기사기사: 새 문서: 사이드채널 공격(Side-channel attack, SCA)은 암호 알고리즘이나 시스템의 논리적 출력이 아니라 실행 시간, 전력 소비, 전자기파, 음향, 캐시 상태 등 구현 과정에서 부수적으로 누출되는 정보를 분석하여 비밀 키나 민감 정보를 추론하는 공격 기법이다.<ref name="nist">NIST CSRC, “Side-Channel Attack - Glossary”, https://csrc.nist.gov/glossary/term/side_channel_attack, 확인일: 2026-06-05.</ref> ==...

사이드채널 공격(Side-channel attack, SCA)은 암호 알고리즘이나 시스템의 논리적 출력이 아니라 실행 시간, 전력 소비, 전자기파, 음향, 캐시 상태 등 구현 과정에서 부수적으로 누출되는 정보를 분석하여 비밀 키나 민감 정보를 추론하는 공격 기법이다.<ref name="nist">NIST CSRC, “Side-Channel Attack - Glossary”, https://csrc.nist.gov/glossary/term/side_channel_attack, 확인일: 2026-06-05.</ref>

== 개요 ==
사이드채널 공격은 알고리즘 자체의 수학적 취약점을 직접 깨는 방식이 아니라, 알고리즘이 실제 하드웨어·소프트웨어에서 실행될 때 발생하는 물리적·미시구조적 흔적을 이용한다. 예를 들어 같은 암호 연산이라도 입력값이나 비밀 키의 특정 비트에 따라 실행 시간이 달라지거나, CPU 캐시 접근 패턴이 달라지거나, 전력 소비량이 변할 수 있다. 공격자는 이러한 차이를 반복 측정하고 통계적으로 분석하여 내부 상태를 추론한다.<ref name="nist" />

전통적으로는 스마트카드, 임베디드 장치, 암호 모듈의 전력·전자기파 분석이 대표적이었으나, 현대 시스템에서는 CPU 캐시, 분기 예측, 추측 실행, 공유 클라우드 자원, 웹 브라우저 환경까지 공격 표면이 확대되었다.<ref name="spectre">Paul Kocher 외, “Spectre Attacks: Exploiting Speculative Execution”, https://spectreattack.com/spectre.pdf, 확인일: 2026-06-05.</ref>

== 특징 ==
* '''간접 정보 누출''': 평문이나 키를 직접 읽는 것이 아니라, 시간·전력·캐시 상태 같은 부수 신호를 통해 추론한다.
* '''구현 의존성''': 이론적으로 안전한 암호 알고리즘도 구현 방식이 부주의하면 취약해질 수 있다.
* '''반복 측정과 통계 분석''': 단일 측정보다 다수의 관측값을 수집해 잡음을 줄이고 패턴을 찾는 경우가 많다.
* '''공유 자원 악용''': 캐시, 분기 예측기, 메모리 버스, 가상화 환경 등 여러 프로세스나 테넌트가 공유하는 자원이 공격 경로가 될 수 있다.
* '''탐지 어려움''': 정상적인 연산 시간 측정이나 자원 접근처럼 보일 수 있어 전통적인 침입 탐지로 식별하기 어렵다.

== 주요 유형 ==
{| class="wikitable"
! 유형
! 설명
! 예시
|-
| 시간 기반 공격
| 연산 완료 시간이나 응답 시간의 차이를 분석한다.
| 비밀번호 비교 함수의 조기 종료, RSA 연산 시간 차이
|-
| 전력 분석 공격
| 장치가 소비하는 전력 패턴을 측정해 내부 연산을 추론한다.
| 단순 전력 분석(SPA), 차분 전력 분석(DPA)
|-
| 전자기파 분석 공격
| 연산 중 발생하는 전자기 방출을 측정한다.
| 암호 칩 주변 전자기파 측정
|-
| 음향 공격
| 장치에서 발생하는 소리나 진동을 분석한다.
| 키보드 입력음, 전자부품 동작음 분석
|-
| 캐시 타이밍 공격
| CPU 캐시 적중·미스에 따른 시간 차이를 이용한다.
| Flush+Reload, Prime+Probe
|-
| 추측 실행 기반 공격
| CPU의 분기 예측·추측 실행이 남기는 미시구조적 흔적을 이용한다.
| Spectre, Meltdown 계열 취약점
|}

== 공격 절차 ==
일반적인 사이드채널 공격은 다음과 같은 흐름으로 진행된다.

# '''관측 지점 선정''': 시간, 전력, 캐시, 전자기파 등 측정 가능한 부수 신호를 정한다.
# '''입력 제어 또는 유도''': 공격자가 선택한 입력을 반복 제공하거나, 피해자가 특정 연산을 수행하도록 유도한다.
# '''측정값 수집''': 고해상도 타이머, 전력 측정 장비, 성능 카운터, 캐시 상태 측정 기법 등을 이용해 데이터를 수집한다.
# '''통계 분석''': 측정값과 가설 키 또는 비밀 상태 사이의 상관관계를 계산한다.
# '''비밀 정보 복원''': 키 바이트, 메모리 값, 인증 토큰, 사용자 입력 등 민감 정보를 단계적으로 추론한다.

== 대표 사례 ==
'''타이밍 공격'''은 입력값이나 키 값에 따라 연산 시간이 달라지는 구현을 이용한다. 예를 들어 문자열 비교 함수가 첫 번째 불일치 지점에서 즉시 종료되면, 공격자는 응답 시간 차이를 이용해 올바른 접두사를 한 글자씩 추론할 수 있다. 암호 구현에서는 모듈러 지수승, 조건 분기, 테이블 조회 등이 시간 차이를 만들 수 있다.<ref name="timing">M. Mehdi Kholoosi, M. Ali Babar, Cemal Yilmaz, “Empirical Analysis of Software Vulnerabilities Causing Timing Side Channels”, https://arxiv.org/abs/2308.11862, 확인일: 2026-06-05.</ref>

'''캐시 공격'''은 CPU 캐시가 메모리 접근 속도를 크게 바꾼다는 점을 이용한다. 공격자는 특정 캐시 라인을 비우거나 채운 뒤 피해자 프로그램의 접근 여부를 시간 차이로 추정할 수 있다. 이러한 기법은 암호 키 복원뿐 아니라 프로세스 간 정보 누출, 가상화 환경의 테넌트 간 공격에도 연구되어 왔다.<ref name="rascache">Guangyuan Hu, Ruby B. Lee, “Random and Safe Cache Architecture to Defeat Cache Timing Attacks”, https://arxiv.org/abs/2309.16172, 확인일: 2026-06-05.</ref>

'''Spectre'''와 '''Meltdown'''은 현대 CPU의 성능 최적화 기능인 추측 실행과 미시구조적 부작용을 결합한 대표적 공격 계열이다. Spectre는 피해자가 정상 실행에서는 접근하지 않을 데이터를 추측 실행 중 접근하도록 유도하고, 그 흔적을 사이드채널로 읽는다. Meltdown은 권한 경계를 우회해 접근된 메모리 정보가 캐시 흔적으로 남는 점을 이용한다.<ref name="spectre" /><ref name="cisa">CISA, “Meltdown and Spectre Side-Channel Vulnerability Guidance”, https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance, 확인일: 2026-06-05.</ref>

== 영향 ==
사이드채널 공격은 다음과 같은 보안 영향을 줄 수 있다.

* 암호 키, 세션 키, 개인키 등 비밀 값 복원
* 비밀번호, PIN, 인증 토큰 추론
* 프로세스·컨테이너·가상 머신 간 정보 누출
* 클라우드 환경에서 동일 물리 서버를 공유하는 테넌트 간 공격 가능성 증가
* 브라우저 또는 자바스크립트 환경에서 고해상도 타이머와 공유 자원을 이용한 정보 누출
* 보안 모듈, 스마트카드, IoT 장치의 물리적 보안 약화

특히 클라우드와 컨테이너 환경에서는 논리적 격리가 잘 되어 있더라도, CPU 캐시나 분기 예측기 같은 하드웨어 공유 자원을 통해 정보가 새어 나갈 수 있다는 점이 중요하다.

== 방어 기법 ==
{| class="wikitable"
! 방어 기법
! 설명
! 한계
|-
| 상수 시간 구현
| 비밀 값에 따라 실행 시간이나 분기 경로가 달라지지 않도록 구현한다.
| 컴파일러 최적화, CPU 미시구조, 라이브러리 호출로 인해 보장이 깨질 수 있다.
|-
| 블라인딩
| 암호 연산에 난수를 섞어 관측값과 실제 비밀 값의 상관관계를 낮춘다.
| 난수 품질과 구현 정확성에 의존한다.
|-
| 마스킹
| 중간 값을 여러 조각으로 나누어 전력·전자기파 분석을 어렵게 한다.
| 고차 분석 공격에 대비하려면 설계와 검증이 복잡하다.
|-
| 캐시 격리
| 민감한 연산이 공유 캐시 상태에 영향을 덜 주도록 격리하거나 플러시한다.
| 성능 저하가 크고 모든 공격 변종을 막기 어렵다.
|-
| 하드웨어 완화
| CPU 마이크로코드, 펌웨어, 운영체제 패치를 통해 추측 실행 부작용을 제한한다.
| CPU 세대와 제조사별로 적용 범위가 다르며 성능 영향이 있을 수 있다.
|-
| 노이즈 삽입
| 측정값에 잡음을 추가해 통계 분석을 어렵게 한다.
| 충분한 반복 측정으로 우회될 수 있다.
|-
| 물리적 차폐
| 전자기파·전력 측정 장비 접근을 어렵게 한다.
| 소프트웨어 기반 사이드채널에는 효과가 제한적이다.
|}

== 보안 구현 시 고려사항 ==
* 비밀 값에 따라 분기하지 않는다.
* 비밀 값으로 배열 인덱스나 테이블 조회 위치가 달라지지 않도록 한다.
* 비밀번호·토큰 비교에는 상수 시간 비교 함수를 사용한다.
* 암호 라이브러리는 검증된 구현을 사용하고 자체 구현을 피한다.
* 컴파일러 최적화가 상수 시간 특성을 깨지 않는지 확인한다.
* 공유 호스팅·클라우드 환경에서는 CPU 격리, SMT 비활성화, 보안 패치 적용 여부를 검토한다.
* 취약점 대응 시 운영체제, 브라우저, 하이퍼바이저, 펌웨어, 마이크로코드를 함께 갱신한다.
* 성능 카운터와 고해상도 타이머 접근 제한을 검토한다.

== 관련 개념 ==
'''은닉 채널(Covert channel)'''은 두 주체가 의도적으로 공유 자원이나 부수 신호를 이용해 정보를 전달하는 통신 경로를 의미한다. 반면 '''사이드채널'''은 주로 피해 시스템이 의도하지 않게 남긴 정보를 공격자가 관측하는 경로를 말한다. 두 개념은 캐시, 시간, 전력 같은 매체를 공유할 수 있으므로 실제 연구에서는 함께 다뤄지는 경우가 많다.

'''오라클 공격'''은 시스템의 응답 차이를 질의하여 정보를 얻는다는 점에서 사이드채널과 유사하지만, 반드시 물리적·미시구조적 신호를 이용하는 것은 아니다. 예를 들어 패딩 오류 메시지를 이용하는 공격은 응답 내용 자체가 정보 누출 경로가 된다.

== 같이 보기 ==
* [[보안 공격]]
* [[취약점]]
* [[AES]]
* [[트러스트존]]
* [[클라우드 보안]]

== 각주 ==
<references />

[[분류:보안 공격]]
[[분류:보안 취약점]]
[[분류:보안]]