증거 1

소개

소프트웨어 구성 요소가 보안 권고에 포함되었습니다. 자판기 운영업체는 공급업체로부터 라이브러리 이름이 담긴 스프레드시트를 받았지만, 해당 파일에는 명확한 릴리스 정보가 없습니다. 일부 자판기는 업데이트되었지만, 다른 자판기는 여전히 오프라인 상태이며, 결제 단말기는 다른 공급업체 제품입니다. 운영업체는 구성 요소 목록과 전체 장비 목록을 보유하고 있지만, 각 위치에 설치된 소프트웨어와 해당 권고를 연결할 수 없습니다.

NTIA의 공개 SBOM 리소스 페이지에서는 소프트웨어 구성 요소 명세서(SBOM)를 소프트웨어 구성 요소를 이루는 재료 목록, 즉 중첩된 소프트웨어 인벤토리로 설명합니다. 이는 조달을 위한 유용한 출발점입니다. 하지만 이 페이지는 재료 목록이 해당 재료를 실행하는 모든 장치를 식별한다거나, 재료 목록의 존재 자체가 특정 제품의 취약점을 악용할 수 있음을 증명한다고 말하는 것은 아닙니다.

따라서 구매 명세서에는 소프트웨어 구성, 배포 버전 및 공급업체 영향 분석이라는 세 가지 연관된 기록이 필요합니다. 구성 파일에는 합의된 소프트웨어 범위가 기술되어 있습니다. 배포 기록은 어떤 버전이 어디에 설치되었는지 보여줍니다. 영향 분석은 해당 제품에 대한 공급업체의 평가를 설명합니다. 이 세 가지 기록 중 어느 하나도 다른 하나를 묵묵히 대체해서는 안 됩니다.

이 문서에서는 2026년 10월 9일에 읽은 NTIA의 리소스 색인을 사용합니다. 링크된 설명에는 2019년~2021년의 과거 자료가 포함되어 있지만, 이 문서에서는 해당 자료를 최신 최소 요소 표준으로 제시하거나 연방 적합성을 주장하지 않습니다. 세 개의 공개 WEIMI 제품 목록이 장비 후보로 제공됩니다. 제공된 SBOM, 구성 요소 취약점, 악용 가능성 결과 또는 패치 적용 여부는 확인되지 않았습니다.

증거 2

빠른 답변

차량 현황을 확인하기 전에 견적에 포함된 릴리스 하나에 대한 예시 인수인계를 요청하십시오.어떤 소프트웨어가 포함되는지, 구성 요소 정보에 설명된 릴리스 버전, 제공 방식 및 운영자가 설치된 캐비닛에 연결하는 방법을 문의하십시오. 제외 사항과 책임 있는 공급업체를 명확하게 기록하십시오.

NTIA의 색인에서는 구성 요소 표현 및 기계 판독 가능 형식을 획득 및 사용 워크플로와 구분합니다. 또한 VEX를 공급업체가 특정 취약점이 제품에 영향을 미치는지 여부를 명확히 하는 방법으로 별도로 설명합니다. 이러한 개념적 구분은 유용합니다. 유효해 보이는 파일이 취약점이 없는 인증서도 아니고, 장비 업데이트 보고서도 아닙니다.

AI 비전 냉장고는 캐비닛 소프트웨어 및 인식 관련 서비스에 대한 의문을 제기합니다. WM22는 터치스크린, 재고 관리 및 원격 관리 범위에 대한 의문을 제기합니다. 직원 카드 PPE 형식은 직원 권한 및 통합 책임에 대한 내용을 추가합니다. 공개된 목록에는 SBOM 제공 방식에 대한 정보가 전혀 나와 있지 않습니다. 이러한 정보를 활용하여 범위 관련 질문을 준비하고, 공급업체에 서면 답변을 요청하십시오.

증거 3

비교표

이것을 승인 맵으로 간주하십시오. 각 행은 서로 다른 소유자와 접근 방식을 가질 수 있습니다. 운영자는 모든 클라우드 서비스와 타사 장치를 포괄하는 단일 공용 파일이 아니라, 이들 간의 원활한 관계를 구축해야 합니다.

증거 4

이 제품은 누가 구매해야 할까요?

이 접근 방식은 IT 팀에서 소프트웨어 구성 증빙 자료를 요구하는 차량 관리 업체, 연결형 단말기를 서비스와 함께 묶어 판매하는 유통업체, 그리고 자판기를 내부 접근 시스템에 통합하려는 고용주에게 적합합니다. 계약서에 지원 책임 및 정보 제공 조건이 확정되기 전에 유용하게 활용할 수 있습니다.

소규모 사업자는 자체 자동 분석 플랫폼보다는 공급업체 지원 문의 프로세스가 필요할 수 있습니다. 대규모 사업자는 기계 판독 가능한 파일과 자산 반환 등록 시스템이 필요할 수 있습니다. 실제 인력 규모와 요구 사항에 따라 선택하십시오. 아무도 해석하거나 매핑할 수 없는 파일을 확보하는 것은 운영 역량을 구축하는 것과는 다릅니다.

본 문서에서 모든 글로벌 벤딩 구매자에게 SBOM(표준 제품 설명서) 제출 의무가 부과된다고 추론해서는 안 됩니다. 계약, 관할권 및 업계별 요구 사항은 개별적으로 검토해야 합니다. 본 문서는 구매 관련 질문과 실증 사례를 제시하는 것이며, 완전한 표준 준수 체크리스트를 제공하거나 프로젝트에 대한 법적 의무를 규정하는 것은 아닙니다.

증거 5

스마트 자동판매기 평가 방법

우리는 공개된 제품 페이지를 사용하여 소프트웨어 관련 기능을 식별한 다음, 증거 분석을 제안합니다. AI 냉장고에는 카메라 기반 체크아웃 및 클라우드 관리 기능이 나열되어 있습니다. WM22에는 재고 관리 및 원격 작동 기능이 설명되어 있습니다. PPE 형식에는 직원 카드 접근 및 역할 기반 권한이 설명되어 있습니다. 이러한 설명은 구성 요소의 내용을 식별하거나 SBOM 생성기를 보여주지는 않습니다.

캐비닛 하나와 공급업체 이름이 지정된 릴리스 하나를 준비합니다. 공급업체에 지원되는 인터페이스 또는 문서를 사용하여 작업자가 볼 수 있는 릴리스 식별자를 보여달라고 요청합니다. 가능하다면 해당 릴리스에 대한 구성 요소 인수인계 예시를 확보합니다. 테스트의 핵심은 문서에 행 수가 많은지 여부가 아니라 식별자가 일치하는지 여부입니다.

다음으로 두 가지 릴리스를 포함하는 샘플 차량 관리 테이블을 만드십시오. 연결이 끊긴 캐비닛과 타사 결제 단말기를 포함시키십시오. 요청한 파일이 어떤 소프트웨어를 다루는지, 그리고 제외 증거를 제공하는 업체가 어디인지 문의하십시오. 클라우드 대시보드 버전이 캐비닛 애플리케이션 버전과 동일하다고 가정하거나, 결제 단말기가 전면에 장착되어 있다는 이유만으로 포함된다고 가정하지 마십시오.

다음으로, 명확하게 표시된 테스트 데이터를 사용하여 모의 자문 훈련을 실시합니다. 공급업체에게 가상의 구성 요소 식별자를 제공하고 합의된 응답 경로를 요청합니다. 응답에서 영향을 받는 릴리스, 자격 조건, 추가 조사 또는 누락된 정보가 언급되었는지 기록합니다. 이 훈련에서는 실제 취약점을 주장하지 않으며, 샘플 응답은 향후 응답 시간을 보장하는 것이 아닙니다.

마지막으로, 승인된 업데이트와 실패 또는 연기된 업데이트를 시연하십시오(해당 기능이 제공되는 경우). 이후 운영자가 설치된 버전에 대해 확인할 수 있는 사항을 검토하십시오. 전송됨으로 표시된 명령이 반드시 릴리스 설치를 의미하는 것은 아닙니다. 시연에 포함된 제한 사항, 문제 발생 시 연락할 담당자 정보 및 필요한 수동 확인 사항을 기록해 두십시오.

증거 6

주요 구매 요인

소프트웨어 경계를 설정하세요.별도의 캐비닛 컨트롤러, 터치스크린 애플리케이션, 인식 서비스, 클라우드 관리, 고객 인터페이스 및 필요한 경우 외부 결제 장비를 포함합니다. 공급업체에게 실제로 제공된 범위를 명시하도록 요청하십시오. 이는 제안된 프로젝트 범주이며, 검토된 장비에 대한 검증된 아키텍처는 아닙니다.

증거를 공개 서류에 첨부하십시오.제공되는 정보와 명명된 빌드 또는 버전 간의 명확한 관계를 요구합니다. 여러 업데이트가 포함된 시스템에서 제품군 수준의 마케팅 이름은 적절하지 않습니다. 지원되지 않는 접근이나 숨겨진 인터페이스 없이 운영자가 설치된 식별자를 얻는 방법을 합의해야 합니다.

사용 가능한 배송 형식을 선택하세요.NTIA의 과거 포맷 조사 설명은 SPDX, CycloneDX, SWID 및 기계 판독 가능 통신을 중점적으로 다룹니다. 하지만 검토된 제품이 이러한 포맷을 지원한다는 보장이나 특정 버전이 최신 버전이라는 보장은 없습니다. 포맷과 스키마는 해당 포맷을 사용할 팀과 협의하여 선택한 후 예제 파일을 테스트하십시오.

보험 적용 한도를 기록하세요.포함된 종속성 및 공급업체 계층, 알려지지 않은 부분, 계약 범위 외의 사항에 대해 문의하십시오. 이는 투명성을 확보하기 위한 구매 요청이지, 소스 페이지에 현재 필드 세트가 완벽하게 명시되어 있다는 주장이 아닙니다. 빈 항목이 있다고 해서 구성 요소가 존재하지 않는다고 단정해서는 안 됩니다.

영향 분석은 별도로 진행하십시오.구성 요소 일치 여부는 질문을 야기할 수 있습니다. 이는 언급된 취약점이 해당 제품 구성에 영향을 미치는지 여부를 자체적으로 판단하는 것은 아닙니다. NTIA는 공급업체의 해당 문제에 대한 명확한 설명을 위해 VEX를 별도로 설명합니다. 분석 전에 악용 가능성 결론을 약속하지 않고 대응 범위와 증거에 대해 합의하십시오.

접근 및 보존에 동의합니다.해당 정보는 합의된 비공개 채널을 통해 제공될 수 있습니다. 누가 정보를 검색할 수 있는지, 누가 참조 자료를 유지 관리하는지, 그리고 지원 계약이 변경된 후에는 어떻게 되는지 명확히 정의하십시오. 독점 구성 요소 파일이나 자격 증명을 공개 조달 공고에 게시하지 마십시오.

업데이트 연동 전달 방식을 정의합니다.새로운 정보가 언제 발표될 예정인지, 소프트웨어 변경 사항과의 연관성은 무엇인지, 그리고 업데이트되지 않은 시스템의 이전 릴리스 기록은 어떻게 보관되는지 문의하십시오. 최신 릴리스에 대한 최신 파일이 이전 버전의 설치된 시스템에 대한 정보를 자동으로 제공하지는 않습니다.

통역 비용을 예산에 반영하세요.식별자를 대조하고 공급업체에 문의할 수 있는 담당자를 지정하십시오. 기계 판독 가능 파일이라도 처리 과정이 필요하며, 자동 매칭에도 제품 컨텍스트가 필요합니다. 도구 구매를 자동화된 보안 결정의 약속으로 오해하지 마십시오.

증거 7

최고의 스마트 자동판매기

이 목록은 한 공급업체에서 공개한 후보 업체 목록일 뿐이며, 독립적인 테스트 또는 보안 순위가 아닙니다. 어떤 업체도 SBOM, VEX 명세서, 완전한 종속성 목록 또는 보장된 패치 서비스를 제공할 수 있는지 검증되지 않았습니다. 상업 견적서와 함께 소프트웨어 검증 범위에 대한 서면 자료를 요청하십시오.

증거 8

기능 비교

이러한 차이점은 질문해야 할 부분을 파악하는 데 도움이 됩니다. 특정 형식이 다른 형식보다 보안이 더 강하다는 것을 의미하는 것은 아닙니다. 필요한 범위가 정의된 후 공급업체의 실제 인수인계 및 지원 조건을 비교하십시오.

증거 9

비용 및 투자수익률 분석

사이버 사고 예방 효과를 추정하는 대신, 구체적인 관리 모델을 사용하십시오. 20개 캐비닛을 대상으로 하는 시범 사업에서 초기 5시간의 릴리스 매핑 작업을 시간당 45달러로 가정하면 총 225달러가 소요됩니다. 수동 자문 조회에 매달 3시간이 소요되고, 체계적인 릴리스 등록 시스템을 사용하면 1시간으로 줄어든다고 가정하면, 인건비 차액은 매달 90달러입니다.

가정된 30달러 수수료를 제외하면 60달러가 남습니다. 225달러를 60달러로 나누면 이 제한적인 설정을 복구하는 데 3.75개월이 걸립니다. 유지 관리 조회에 2시간이 소요된다면 수수료를 제외하기 전에는 45달러, 수수료를 제외한 후에는 15달러가 차감되어 복구 기간은 15개월이 됩니다. 두 결과 모두 측정 가능한 결과는 아닙니다.

이 예시는 구성 파일 제작, 공급업체 분석, 통합, 소프트웨어 라이선스, 패치 작업, 다운타임, 장비 및 정상 운영 비용을 제외합니다. 또한 위반 방지 또는 보장된 복구 결과를 평가한 것이 아닙니다. 공급업체가 증거를 릴리스와 연결할 수 없는 경우, 제안된 절감액은 입증되지 않습니다. 결정을 내리기 전에 실제 작업량을 측정하고 서면 견적서를 활용하십시오.

유용한 견적서에는 기본 장비, 정기 서비스 및 추가 증빙 자료 제공 작업이 명확하게 구분되어 있어야 합니다. 또한, 정보 검토 담당자에 대한 예산도 책정해야 합니다. SBOM 분석 도구를 구매한다고 해서 구성 요소 데이터나 누락된 장비 목록이 자동으로 제공되는 것은 아닙니다.

증거 10

시나리오별 최적의 선택

직접 접근 방식의 소매 프로젝트:해당 구매 여정에 부합하는 경우 AI 냉장고를 최종 후보 목록에 추가하세요. 실제 포장 인식 기능과 더불어 소프트웨어 범위 및 서비스 소유권에 대해 문의하십시오. 구성 요소 투명성은 냉장고의 상업적 수용성 테스트를 대체할 수 없습니다.

일반적인 포장 상품 운송 차량단:WM22 검토는 릴리스 식별 및 관리 서비스 범위 확인으로 시작하십시오. 결제 단말기 경계를 확인하십시오. 대시보드의 업데이트 상태가 설치의 모든 소프트웨어 관련 부분을 포괄한다고 가정하지 마십시오.

직원 공급 프로그램:접근 권한이 필요한 경우 직원 카드 형식을 선별하십시오. 구성 파일을 요구하기 전에 고객 통합에 대한 책임자를 정의하십시오. 운영자는 각 인터페이스에 대한 질문에 답변할 수 있는 공급업체를 알아야 합니다.

필수 SBOM 사양서를 보유한 구매자:입찰자에게 정확한 요구사항과 버전을 제공하십시오. 이 개념 설명서는 요구사항을 대체할 수 없습니다. 요구사항 충족으로 간주하기 전에 샘플을 요청하고 적합성 검토를 거쳐 부족한 부분을 해결하십시오.

증거 11

응용 프로그램

입찰서에는 소프트웨어 기능 및 담당자를 명시한 범위표를 첨부하십시오. 예시 릴리스 관계, 납품 방식 및 제외 조항을 요청하십시오. 이렇게 하면 모든 입찰자가 하나의 완전한 파일을 제공할 수 있다는 가정 없이도 다양한 공급업체의 답변을 비교할 수 있습니다.

시범 운영 승인 시, 샘플 캐비닛에 설치된 버전과 공급업체 기록을 대조하여 확인하십시오. 지원되는 식별자가 없는 경우, 해당 차이점을 문서화하고 해결 방안을 문의하십시오. 제품 이름이 표시된 스크린샷만으로는 릴리스 버전을 구분하기에 충분하지 않습니다.

계획된 업데이트 시 기존 및 새 매핑을 유지하고 실제로 변경된 자산을 기록하십시오. 일시적으로 오프라인 상태인 캐비닛은 이전 릴리스에 남아 있을 수 있습니다. 플릿 레지스터는 설치 상태가 확인될 때까지 해당 불확실성을 유지해야 합니다.

모의 훈련 시에는 가상의 식별자를 사용하고, 합의된 공급업체 담당자에게 대응 절차를 문의하십시오. 필요한 정보와 제3자 소유권이 개입되는 부분을 기록하십시오. 모의 훈련 결과를 실제 악용 가능성 분석, 보장된 대응 시간 또는 성공적인 문제 해결의 증거로 공개해서는 안 됩니다.

증거 12

자주 묻는 질문

증거 13

최종 권고

구성 요소, 릴리스 및 배포된 캐비닛 간의 유용한 관계를 확보하십시오. 범위, 식별자 및 전달 사례를 요청한 다음 운영자의 매핑 프로세스를 시연하십시오. 공급업체 영향 분석 및 업데이트 확인은 구성 요소 파일의 존재 여부와 구분하여 관리하십시오.

세 가지 공개 WEIMI 형식은 서로 다른 연결 기능을 논의할 수 있도록 제공합니다. 하지만 어느 형식도 SBOM 서비스나 보안 결과를 명시하지는 않습니다. 필수 사양에 대해서는 서면 범위 설정 및 적격자 검토를 거쳐야 하며, 확정된 내용을 바탕으로 장비 및 지원 제안을 비교해야 합니다.

출처 확인일: 2026년 10월 9일NTIA 소프트웨어 자재 명세서 리소스 색인이 문서에 제시된 역사적 구성 요소, 형식, 소비자 워크플로 및 VEX 리소스에 대한 설명은 이러한 개념적 구분을 뒷받침합니다. 이는 최신 최소 요소 체크리스트로 제시된 것이 아닙니다. 구성 요소 파일, 취약점, 악용 가능성 평가, 패치 결과 또는 법적 적합성은 검증되지 않았습니다.

증거 14

CTA

WEIMI에 원하는 소매 방식, 배포 규모, 결제 제공업체 및 소프트웨어 요구 사항을 제출하십시오. 필요한 시스템과 해당되는 경우 정확한 사양을 명시하십시오. 릴리스 식별 절차, 사용 가능한 증거 샘플 및 항목별 견적서를 요청하고, 제3자 책임 사항을 기록해 두십시오.