오픈소스는 오랫동안 "있는 그대로 제공하며, 어떤 보증도 하지 않는다"라는 문장 위에 서 있었다. 취미로든 열정으로든 코드를 무료로 공개하는 사람에게 법적 책임까지 묻지는 않는다는 암묵적 합의였다. 그런데 소프트웨어 보안을 강화하려는 규제 흐름이 세계 곳곳에서 강해지면서, 이 오래된 전제가 새로운 질문에 부딪혔다. 유럽의 사이버 회복력법(Cyber Resilience Act, CRA)이 그 대표적 촉발점이다.
핵심 질문은 이것이다. 디지털 제품에 보안 의무를 지우는 법이 생기면, 그 제품 안에 들어간 오픈소스를 만든 사람에게도 책임이 번지는가. 나는 이 문제가 앞으로 몇 년간 오픈소스 생태계가 가장 크게 씨름할 주제 중 하나라고 본다.
무료로 코드를 나눠 준 사람에게 제품 책임을 물을 수는 없다.
규제의 방향은 돈을 버는 쪽에 의무를 지우는 것이다. 하지만 그 경계를 어떻게 긋느냐가 뜨거운 쟁점이다.
책임주체 제품화한 사업자 |
비영리예외 순수 기여자는 대상 아님 |
경계모호 상업의 기준선 논쟁 |
문서화부담 보안 관리 증빙 요구 |
규제는 왜 소프트웨어를 겨눴나
배경은 단순하다. 우리 삶의 거의 모든 것이 소프트웨어로 돌아가는데, 그 소프트웨어의 보안 수준이 제각각이고 취약한 제품이 시장에 넘쳐난다. 자동차나 전자제품에는 안전 기준이 있는데, 왜 디지털 제품에는 없느냐는 문제의식이 규제로 이어졌다. 그래서 디지털 요소가 든 제품을 파는 사업자에게 취약점 관리, 업데이트 제공, 사고 보고 같은 의무를 지우려는 것이다.
여기까지는 이해가 된다. 문제는 오늘날의 상업 소프트웨어가 오픈소스 없이는 만들어지지 않는다는 사실이다. 제품 하나에 수많은 오픈소스가 부품처럼 들어간다. 그렇다면 그 부품을 만든 자원봉사자에게도 보안 의무가 넘어가는 것 아니냐는 공포가 오픈소스 진영에 번졌다.
핵심은 '누가 돈을 버느냐'
이 우려에 대한 규제의 기본 답은, 책임은 그 오픈소스를 가져다 제품으로 만들어 파는 사업자에게 있다는 것이다. 취미로 코드를 공개하거나 순수하게 기여하는 개인, 그리고 이를 관리하는 비영리 재단은 원칙적으로 제품 제조자의 의무 대상이 아니다. '시장에 상업적으로 내놓는 행위'가 책임의 기준선이 된다는 논리다.
그러나 현실의 경계는 흐릿하다. 오픈소스 프로젝트가 후원을 받거나, 유료 지원을 곁들이거나, 관련 서비스를 팔면 어디까지가 '상업'인가. 한 사람이 자기 코드로 약간의 후원을 받는다고 갑자기 제조자 의무를 지는 것은 부당하다. 이 경계를 어떻게 설계하느냐에 따라, 선의의 메인테이너가 뜻밖의 부담을 떠안느냐 아니냐가 갈린다.
순수 오픈소스와 상업 제품, 의무는 어떻게 나뉘나
| 구분 | 순수 기여·재단 | 상업 제품화 |
|---|---|---|
| 제조자 의무 | 원칙적 비대상 | 대상 |
| 취약점 대응 | 권장·자율 | 의무 |
| 문서·증빙 | 가벼움 | 체계적 요구 |
| 책임 소재 | 제한적 | 제조자 |
실제로 무엇이 달라질까
규제가 자리 잡으면 오픈소스를 쓰는 방식에도 변화가 온다. 제품을 파는 회사는 자기가 가져다 쓴 오픈소스의 보안 상태를 더 꼼꼼히 챙겨야 하고, 그 과정에서 상류 프로젝트에 자원과 인력을 대는 흐름이 강해질 수 있다. 역설적으로 이것은 오랫동안 저평가돼 온 오픈소스 유지보수에 돈이 흘러 들어가는 계기가 될 수도 있다. 소비만 하고 기여는 안 하던 관행에 제동이 걸리는 것이다.
- 메인테이너 — 상업적 지위인지 아닌지에 따라 부담이 크게 갈림
- 기업 — 자기 제품의 오픈소스 구성요소 보안까지 책임져야 함
- 재단 — 프로젝트와 개인 기여자를 규제 부담에서 보호하는 완충 역할
결국 이 논쟁은 "안전한 소프트웨어를 만들자"라는 정당한 목표와 "자발적 나눔의 생태계를 죽이지 말자"라는 요구 사이의 균형 찾기다. 나는 그 균형이 어디에 놓이느냐가, 앞으로 오픈소스에 참여하는 사람들의 마음가짐까지 바꿔 놓을 것이라고 생각한다.
자주 묻는 질문
취미로 오픈소스를 공개하는 개인도 규제 대상인가요?
원칙적으로는 아닙니다. 상업적 활동으로 제품을 시장에 내놓는 행위에 의무가 붙는 구조이므로, 순수하게 코드를 공개하거나 기여하는 개인은 제품 제조자의 책임 대상이 아닙니다. 다만 상업성의 경계가 모호한 경우가 있어, 구체적 상황에 대한 해석 지침이 계속 다듬어지고 있습니다.
오픈소스를 쓰는 회사는 무엇을 준비해야 하나요?
자기 제품에 어떤 오픈소스가 들어갔는지 목록을 관리하고, 그 구성요소의 취약점을 추적하며 업데이트를 제공할 체계를 갖춰야 합니다. 결과적으로 소프트웨어 구성요소 관리와 공급망 보안 역량이 필수가 되며, 상류 프로젝트에 대한 기여 필요성도 커집니다.
이 규제가 오픈소스에 나쁜 소식인가요?
양면이 있습니다. 선의의 기여자에게 부담이 전가될 위험은 분명한 걱정거리입니다. 반면 오랫동안 무료로 소비되기만 하던 오픈소스 유지보수에 기업의 자원이 흘러 들어가는 계기가 될 수도 있습니다. 균형 있게 설계되면 생태계의 지속 가능성에 도움이 될 여지가 있습니다.
재단은 이 상황에서 어떤 역할을 하나요?
재단은 개별 기여자와 프로젝트를 규제의 직접 부담에서 보호하는 완충 장치 역할을 합니다. 프로젝트의 상표와 자산을 중립적으로 보유하고 보안 관리 체계를 대신 갖춰 줌으로써, 자원봉사 기여자들이 법적 위험 없이 참여를 이어갈 수 있게 돕습니다.
댓글 0