자동차 소프트웨어 자재 명세서(SBOM) 및 취약점 관리 시장 규모 및 점유율 2026-2035

자동차 소프트웨어 구성요소 명세서(SBOM) 및 취약점 관리 시장 규모

글로벌 자동차 소프트웨어 구성요소 명세서(SBOM) 및 취약점 관리 시장 규모는 2025년 9억2,050만 미국 달러로 평가되었으며, 2026년부터 2035년까지 연평균성장률(CAGR) 17.3%로 성장해 2035년에는 47억 미국 달러에 이를 전망입니다. Global Market Insights Inc.가 발표한 최신 보고서에 따르면 2026년 시장 규모는 11억 미국 달러입니다.

자동차 사이버보안 프로그램이 정기적인 문서화에서 소프트웨어 구성요소, 취약점 및 시정 조치 증빙을 지속적으로 관리하는 방식으로 전환되면서 시장이 확대되고 있습니다. 소프트웨어 정의 차량 아키텍처, OTA 소프트웨어 업데이트, 오픈소스 종속성 및 다단계 공급업체 간 데이터 교환으로 인해 OEM 및 공급업체 조직 전반에서 소프트웨어 거버넌스 업무의 양과 빈도가 증가하고 있습니다.

2035년까지의 성장은 연결형 차량 프로그램에서 소프트웨어 추적성이 규정 준수 산출물에서 운영 요건으로 전환되는 흐름을 반영할 전망입니다. OTA 출시, 공급업체 업데이트 및 취약점 공개로 차량 소프트웨어 상태가 변경되기 때문에 OEM은 최신 구성요소 목록을 확보해야 합니다. 이에 따라 수요는 초기 구축을 넘어 지속적인 모니터링, 공급업체 데이터 검증, 위험 우선순위화 및 감사 대응 보고로 확대됩니다. 또한 전기차(EV) 및 소프트웨어 정의 차량(SDV) 프로그램에서 수명주기 거버넌스가 필요한 배터리, 텔레매틱스, 클라우드 및 차량-사물 간 통신 소프트웨어 계층을 추가하면서 시장 성장이 뒷받침되고 있습니다.

주요 성장 요인

의무적 규제 준수

UNECE WP.29 규정 제155호는 2024년 7월부터 EU, 영국, 일본 및 한국에서 모든 신규 차량 형식 승인에 의무적으로 적용되었으며, 사이버보안 거버넌스를 자동차 시장 진입 요건으로 전환했습니다.^{[1]UNECE, "UN Regulation No. 155 - Cyber Security and Cyber Security Management System," unece.org}ISO/SAE 21434, 미국 행정명령 14028 및 중국의 GB/T 44464-2024 프레임워크는 구조화된 소프트웨어 추적성, 취약점 관리, 공급업체 증명 및 감사 증적을 추가로 요구하거나 장려합니다.^{[2]ISO, "ISO/SAE 21434 Road Vehicles - Cybersecurity Engineering," iso.org} 이러한 요구사항으로 인해 일회성 문서화가 아닌 SBOM 수명주기 모니터링에 대한 지속적인 수요가 발생합니다.

차량 소프트웨어 복잡성의 기하급수적 증가

현대적인 프리미엄 차량에는 수백 개의 ECU와 150개가 넘는 소프트웨어 공급 조직에 분산된 1억~3억 줄의 코드가 포함될 수 있습니다.^{[3]NIST, "National Vulnerability Database," nist.gov}소프트웨어 정의 차량 프로그램은 ADAS, 인포테인먼트, 클라우드 서비스, OTA 인프라 및 임베디드 제어 시스템 전반에 걸쳐 종속성을 추가합니다. Stellantis는 2024년에 2,500만 건이 넘는 OTA 업데이트를 완료했으며, 이는 차량 소프트웨어 상태와 관련 구성요소 목록이 얼마나 빠르게 변화할 수 있는지를 보여줍니다.

사이버 공격의 빈도 및 정교함 증가

NIST 국가 취약점 데이터베이스에는 2024년에 29,000건이 넘는 신규 CVE 공개가 기록되었습니다. 커넥티드 차량 랜섬웨어, ECU 익스플로잇, 텔레매틱스 침해, OTA 공격 경로 및 소프트웨어 공급망 취약점으로 인해 원시 취약점 데이터를 각 차량 프로그램의 실제 소프트웨어 및 아키텍처와 상호 연계해야 할 필요성이 커지고 있습니다. 지속적인 모니터링은 취약점 공개, 우선순위 지정, 해결 및 규정 준수 증적 간의 운영상 격차를 줄입니다.

EV 및 SDV 도입 가속화에 따른 공격 표면 확대

전 세계 EV 판매량은 2024년에 1,700만 대에 도달했습니다. 배터리 관리 시스템, 도메인 컨트롤러, V2X 모듈, 텔레매틱스 제어 장치 및 클라우드 연결 서비스 플랫폼은 구성요소 가시성과 체계적인 취약점 대응 프로세스가 필요한 소프트웨어 계층을 추가합니다. 따라서 SDV 도입은 거버넌스가 필요한 소프트웨어 자산의 수와 자동차 SBOM 플랫폼의 상업적 범위를 모두 확대합니다.

레거시 워크플로와의 통합 복잡성

많은 OEM 및 공급업체 프로그램은 여전히 하드웨어 중심의 납품을 기반으로 설계된 AUTOSAR 기반 ECU, 긴 차량 검증 주기 및 파편화된 개발 도구 체인을 사용하고 있습니다. 원본 소스 코드나 빌드 환경을 이용할 수 없는 경우, 사후 SBOM 생성에는 바이너리 소프트웨어 구성 분석이 필요할 수 있습니다. 이러한 우회 방식은 레거시 차량에 대한 적용 범위를 확대하지만, 임베디드 C, POSIX 시스템, 독점 미들웨어 및 이기종 검증 프로세스 전반의 구현 복잡성을 높입니다.

SBOM 형식 상호운용성 격차

ISO/IEC 5962:2021로 표준화된 SPDX와 CycloneDX는 모두 자동차 공급망 전반에서 사용되고 있어 형식 표준화 및 교환과 관련된 과제를 야기합니다. 2025년 자동차 2차 공급업체 중 자동화된 SBOM 생성 워크플로를 구축한 기업은 30% 미만이었으며, 이에 따라 OEM은 성숙한 공급업체의 기계 판독 가능한 제출 자료와 소규모 조직의 수동 확인서를 함께 취합해야 했습니다. CISA의 최소 요소 지침은 운영 기준을 제공하지만, 관할권을 넘나드는 공급업체 집행은 여전히 일관되지 않습니다.^{[4]CISA, "Software Bill of Materials Guidance," cisa.gov}

자동차 사이버보안 전문 인력 부족

자동차 SBOM 프로그램에는 기능 안전 지식, ISO/SAE 21434 사이버보안 엔지니어링, DevSecOps 실무, 소프트웨어 구성 분석 역량을 결합한 인력이 필요합니다. 그러나 이러한 인력은 OEM 및 공급업체의 수요에 비해 여전히 부족합니다. 인도, 멕시코, 동남아시아에서는 국내 자동차 소프트웨어 활동과 사이버보안 기대 수준이 전문 인력 양성 체계보다 빠르게 발전하고 있어 이러한 제약이 특히 심각합니다.

SBOM 프레임워크의 높은 구현 비용

기업 프로그램에는 스캔 인프라, 공급업체 포털, 취약점 인텔리전스 피드, 컴플라이언스 자동화, 모니터링 운영, 교육 및 감사 지원이 필요합니다. 이러한 비용은 수익성이 낮은 2차 및 하위 공급업체가 감당하기 어렵습니다. 애프터마켓 및 차량 운용 사업자 역시 조직 구조가 분산되어 있고 단기 사이버보안 예산이 적어, 차량 수명주기 전반의 위험이 확대되고 있음에도 도입 속도가 늦어지고 있습니다.

자동차 소프트웨어 자재 명세서(SBOM) 및 취약점 관리 시장 부문별 분석

솔루션별

소프트웨어 부문은 2025년 6억3,550만 미국 달러의 매출을 창출해 시장 매출의 69.0%를 차지했으며, 2035년에는 연평균성장률(CAGR) 17.7%로 33억5,950만 미국 달러에 이를 전망입니다. 이 부문에는 SBOM 생성, 구성요소 종속성 매핑, CVE 상관관계 분석, 컴플라이언스 대시보드, 개선 조치 추적 및 통합 CSMS 기능이 포함됩니다. Cybellum의 Product Security Platform, C2A Security의 AutoSPIN, Synopsys Black Duck, ETAS 및 Vector Informatik의 툴체인 생태계는 플랫폼 중심의 상업적 구조를 보여줍니다.

서비스 부문은 2025년 2억8,500만 미국 달러의 매출을 창출해 31.0%의 시장 점유율을 기록했으며, 2035년에는 연평균성장률(CAGR) 16.4%로 13억4,310만 미국 달러에 이를 전망입니다.전문 서비스에는 구현 및 시스템 통합, 컨설팅, 교육 및 인증이 포함되며, 관리형 서비스에는 SBOM 유지관리 및 취약점 모니터링, 공급업체 SBOM 포털 및 품질 보증, 규정 준수 보고 및 감사 지원이 포함됩니다. DNV, AVL, LTTS는 복잡한 OEM 및 공급업체 프로그램에 수반되는 보증, 엔지니어링 및 배포 요구사항을 충족합니다. 플랫폼 수요는 과거에 분리되어 있던 검색, 모니터링, 증거 관리 및 개선 기능을 연결된 운영 환경으로 통합하는 방향으로 형성되고 있습니다. 고객이 정기적인 스캔보다 최신 취약점 정보와 인벤토리 업데이트를 필요로 하면서 반복적인 SaaS 매출의 중요성이 커지고 있습니다. CSMS 및 DevSecOps 도구 체인과의 통합은 조달 우선순위도 변화시키고 있습니다. OEM과 공급업체는 기존 개발, 검증 및 OTA 프로세스에 적합하면서도 복잡한 레거시 및 공급업체 배포를 위한 서비스 역량을 유지하는 솔루션을 점점 더 선호하고 있습니다. 소프트웨어 성장은 차량 모델 적용 범위, 부품 수량 및 공급업체 참여도에 따라 확대되는 반복 라이선스 및 SaaS 매출의 뒷받침을 받고 있습니다.

레거시 시스템 통합과 공급업체 온보딩에는 여전히 서비스가 필수적이지만, 자동화가 진행되면서 매출 구성은 점차 소프트웨어 중심으로 전환될 전망입니다.

기능별 용도

SBOM 생성 및 검색 부문은 2025년에 2억6,930만 미국 달러의 매출을 기록했으며, 29.3%의 가장 큰 기능별 비중을 차지했습니다. 이 부문은 취약점 모니터링, 규정 준수 보고, 라이선스 거버넌스 및 공급망 분석에 필요한 부품 인벤토리와 종속성 맵을 구축합니다. 특히 OEM이 기본적인 SBOM 생성 워크플로를 지원하지 않는 레거시 ECU 펌웨어를 관리해야 하는 경우 바이너리 탐지와 소스 수준 생성이 모두 중요합니다.

취약점 및 위험 관리는 2025년에 2억2,460만 미국 달러의 매출을 기록해 24.4%의 비중을 차지했으며, 17.8%의 연평균성장률(CAGR)로 2035년에는 11억9,450만 미국 달러에 이를 전망입니다. 규정 준수 및 거버넌스 관리, 라이선스 규정 준수 관리, 공급망 위험 관리는 CSMS 증거 관리, 오픈소스 거버넌스, 공급업체 검증 및 다계층 위험 워크플로를 통해 애플리케이션 스택을 확장합니다. 기능별 수요는 초기 인벤토리 구축에서 위험, 규정 준수 및 공급업체 워크플로 전반에 걸친 SBOM 데이터의 지속적인 활용으로 이동하고 있습니다. AI 기반 우선순위 지정은 보안팀이 대량의 원시 CVE 공개 정보 중 운영상 중요한 노출과 그렇지 않은 노출을 구분하는 데 도움을 줍니다. 동시에 수명주기 모니터링과 규정 준수 자동화는 검색 결과를 개선 조치 증거와 연결하며, 공급망 기능은 형식, 도구 체인 및 사이버보안 성숙도가 서로 다른 Tier-1 및 하위 계층 조직 전반으로 이러한 통제를 확대합니다. 불완전한 부품 인벤토리는 이후의 모든 사이버보안 및 규정 준수 워크플로를 약화시키므로 검색은 여전히 기반이 되는 애플리케이션으로 남아 있습니다.

AI 기반 취약점 우선순위 지정은 대량의 CVE를 차량별 개선 과제로 전환함으로써 위험 관리 플랫폼의 가치를 높입니다.

최종 용도별

자동차 OEM은 2025년에 3억6,780만 미국 달러의 매출을 기록해 40.0%의 비중을 차지했으며, 18.2%의 연평균성장률(CAGR)로 2035년에는 20억2,960만 미국 달러에 이를 전망입니다. OEM은 차량 형식 승인, CSMS 거버넌스, 모델 라인 적용 범위, 공급업체 조정 및 수명주기 사이버보안 증거에 대해 직접적인 책임을 집니다. Volkswagen Group의 CARIAD 활동과 Stellantis의 사이버보안 및 OTA 거버넌스는 OEM 소프트웨어 보안 프로그램의 규모를 보여줍니다.

1차 공급업체는 2025년에 3억1,330만 미국 달러의 매출을 창출하며 34.0%의 시장 점유율을 차지했으며, 2035년에는 연평균성장률(CAGR) 17.2%로 추정 규모가 15억9,140만 미국 달러에 이를 전망입니다. 2차 및 하위 공급업체는 1억8,130만 미국 달러의 매출을 창출하며 19.7%의 시장 점유율을 기록했으며, 2035년에는 연평균성장률(CAGR) 16.7%로 추정 규모가 8억7,940만 미국 달러에 이를 전망입니다. 애프터마켓 및 차량 운영업체는 5,800만 미국 달러의 매출을 창출하며 6.3%의 시장 점유율을 기록했으며, 2035년에는 연평균성장률(CAGR) 12.8%로 추정 규모가 2억220만 미국 달러에 이를 전망입니다. 규제 압력이 낮고 예산이 제한적이기 때문에 이 부문의 성장률은 OEM 주도 수요의 성장률을 밑돌고 있습니다. 형식승인에 대한 책임과 사이버보안 거버넌스 요건이 공급업체 계약, 증빙 자료 요청 및 온보딩 업무 흐름에 반영되기 때문에 수요는 OEM 프로그램에서 단계적으로 확산됩니다. 따라서 1차 조직은 하위 단계 소프트웨어 데이터의 구매자이자 조정자 역할을 모두 수행합니다. 차량 및 애프터마켓 부문의 도입은 예산, 조직 구조 및 즉각적인 규정 준수 압력이 상대적으로 불리하기 때문에 여전히 느리지만, 연결형 차량 운영과 확대되는 수명주기 의무로 인해 시간이 지날수록 취약점 모니터링 및 관리형 서비스의 중요성이 높아질 전망입니다. 프로그램 참여 자격을 유지하려면 1차 및 하위 공급업체가 구성요소 목록과 사이버보안 증빙 자료를 제공해야 하므로 OEM 요건은 반복적인 수요를 창출합니다.

관리형 클라우드 서비스는 초기 기술 및 전문 인력 확보 요건을 낮추기 때문에 하위 단계 공급업체의 도입을 뒷받침하는 핵심 요소입니다.

차량별

승용차에는 해치백, 세단 및 SUV 프로그램이 포함되며, 연결형 인포테인먼트, ADAS, 클라우드 서비스, OTA 소프트웨어 및 대규모 ECU 구성으로 인해 SBOM 적용 범위 확대가 요구됩니다. 고급 승용차에는 수백 개의 ECU에 걸쳐 1억~3억 줄의 코드가 포함될 수 있으므로, 프로그램 규모에 맞춘 자동화된 구성요소 탐색 및 취약점 상관관계 분석이 필요합니다.

EV 및 SDV 아키텍처는 연결 기능이 개별 ECU를 넘어 배터리 제어, 텔레매틱스, V2X 인터페이스, 클라우드 서비스 및 OTA 프로세스로 확대되기 때문에 두 차량군 모두에서 소프트웨어 거버넌스 요건을 강화합니다. 승용차는 연결 기능의 광범위한 적용을 통해 수요 규모를 확대하는 반면, 상용차 프로그램은 차량 연결성과 지속적인 현장 운용을 통해 운영 측면의 중요성을 높입니다. 두 경우 모두 구성요소 변경 사항을 차량에서 작동하는 특정 소프트웨어 상태와 연결해야 할 때 SBOM 관리의 가치가 더욱 높아집니다. 승용차 수요는 연결형 및 고급 차량 아키텍처의 소프트웨어 집약도에 따라 형성됩니다.

상용차 수요는 차량군 단위 모니터링과 연결형 운영 보안 요건을 점점 더 반영할 전망입니다.

배포 모델별

클라우드 기반(SaaS) 배포는 2025년에 6억3,220만 미국 달러의 매출을 창출하며 68.7%의 시장 점유율을 차지했으며, 2035년에는 연평균성장률(CAGR) 17.6%로 추정 규모가 33억1,450만 미국 달러에 이를 전망입니다. SaaS 플랫폼은 지속적인 업데이트, 중앙 집중식 취약점 인텔리전스, 확장 가능한 공급업체 액세스 및 낮은 초기 인프라 비용을 지원합니다. Cybellum, C2A Security, VicOne 및 Upstream Security는 수명주기 모니터링, 위험 상관관계 분석, 공급업체 참여 및 차량군 인텔리전스를 위한 클라우드 연결형 접근 방식을 보여줍니다.

온프레미스 배포는 2025년에 2억8,830만 미국 달러의 매출을 창출하며 31.3%의 시장 점유율을 차지했습니다. 내부 인프라에 대한 직접적인 통제, 레거시 통합 또는 민감한 개발 환경을 요구하는 OEM 및 공급업체 조직에서는 여전히 관련성이 높습니다.

다계층 공급업체 협업과 지속적인 인텔리전스 업데이트는 중앙 집중식 플랫폼을 통해 확장하기가 더 쉽기 때문에 클라우드 배포가 우위를 차지합니다.

레거시 업무 흐름, 내부 통제 또는 프로그램별 아키텍처 요건으로 클라우드 도입이 제한되는 경우에는 온프레미스 배포가 계속해서 유효합니다.

자동차 소프트웨어 구성 명세서(SBOM) 및 취약점 관리 시장의 지역별 분석

북미

북미 시장은 2025년에 2억4,440만 미국 달러의 매출을 기록해 전 세계 매출의 26.6%를 차지했으며, 18.8%의 연평균성장률(CAGR)로 2035년에는 약 14억2,250만 미국 달러에 이를 전망입니다. 이는 지역별 시장 중 가장 빠른 성장률입니다. 미국이 주요 시장이며, 행정명령 14028, 미국 사이버보안·인프라 보안국(CISA)의 SBOM 최소 요소 지침, 미국 도로교통안전국(NHTSA)의 사이버보안 관행이 OEM 공급업체 자격 심사 및 위험 관리 프로세스에 영향을 미치고 있습니다. 2025년 3분기에 북미 자동차 소프트웨어 공급업체 95곳을 대상으로 실시한 설문조사에 따르면, 71%가 이전 18개월 동안 주요 OEM으로부터 공식적인 SBOM 제출 요건을 전달받은 것으로 나타났으며, 2023년 조사 대상 기업의 38%보다 증가했습니다. 연방 정책은 OEM의 공급업체 자격 심사 프로그램을 통해 점점 더 강화되고 있으며, 이에 따라 SBOM 제출은 일회성 사이버보안 활동이 아니라 거래 참여를 위한 반복적 요건으로 전환되고 있습니다. 이러한 구조는 대규모 내부 팀을 구축하지 않고도 공급업체가 최신 인벤토리와 증빙 자료를 유지할 수 있도록 지원하는 관리형 서비스, 클라우드 포털 및 규정 준수 지원에 유리하게 작용합니다. 북미 시장의 성장 궤도는 정책 방향, 기업 조달 규율, OEM 및 공급업체 생태계 전반의 커넥티드 차량 소프트웨어 투자가 결합된 결과를 반영합니다. 연방 정책과 OEM 계약이 결합되면서 아시아 태평양이 현재 더 큰 매출 기반을 보유하고 있음에도 북미는 가장 빠르게 성장하는 시장이 되고 있습니다.

공급업체 제출 요건은 클라우드 포털, 형식 검증 및 관리형 규정 준수 서비스에 대한 수요를 지속적으로 뒷받침할 전망입니다.

유럽

유럽 시장은 2025년에 2억5,150만 미국 달러의 매출을 기록해 27.3%의 점유율을 차지했으며, 17.6%의 연평균성장률(CAGR)로 2035년에는 약 13억1,300만 미국 달러에 이를 전망입니다. 독일은 지역 내 기술 중심지로 자리 잡고 있습니다. Volkswagen, BMW, Mercedes-Benz, ETAS, Vector Informatik 및 이들 기업의 Tier-1 네트워크에 자동차 개발 도구와 사이버보안 활동이 집중되어 있기 때문입니다. 유엔 유럽경제위원회(UNECE) WP.29 규정 제155호는 2024년 7월부터 EU와 영국에서 신규 차량 형식 승인에 의무적으로 적용되었으며, 유럽연합 사이버보안청(ENISA)의 2025년 1월 자동차 사이버보안 모범 사례 업데이트에는 명시적인 SBOM 관리 및 공급업체 증명 지침이 추가되었습니다.

유럽의 관련 프로그램은 초기 형식 승인 준비 단계에서 지속적인 수명주기 관리 단계로 이동하고 있습니다. 소프트웨어 업데이트, 공급업체 변경 및 취약점 공개로 인해 반복적인 증빙 자료가 요구되기 때문입니다. 독일에 OEM 엔지니어링 운영과 기존 개발 도구가 집중되어 있어 개별 스캐닝 제품보다는 통합 플랫폼의 도입이 확대되고 있습니다. ENISA 지침은 국가 당국과 공급업체를 위한 공통 운영 기준을 강화하는 한편, 공급업체 증명 요건은 시장의 범위를 중앙 OEM 사이버보안팀에서 분산된 개발 및 조달 기능으로 확대하고 있습니다. 유럽의 수요는 재량적 사이버보안 지출보다는 형식 승인 집행과 성숙한 OEM 개발 환경을 기반으로 형성됩니다.

독일의 확립된 도구체인 생태계는 기존 엔지니어링 및 진단 워크플로에 SBOM 기능을 통합할 수 있는 공급업체에 유리하게 작용합니다.

아시아 태평양

아시아 태평양은 가장 큰 지역 시장으로, 2025년 시장 매출은 3억1,850만 미국 달러를 기록했으며 시장 점유율은 34.6%였습니다. 아시아 태평양 시장은 16.6%의 연평균성장률(CAGR)로 성장해 2035년에는 15억2,830만 미국 달러에 이를 전망입니다. 중국은 가장 큰 국가 시장으로, GB/T 44464-2024에 따른 국내 자동차 사이버보안 요건이 SBOM, 취약성 관리, 공급망 증명 및 데이터 현지화 요건을 형성하고 있습니다. 일본과 한국은 UNECE WP.29 사이버보안 요건에 따라 운영되고 있으며, 인도의 커넥티드 차량 사이버보안 관련 규정 초안은 2026~2028년 규정 준수 기회를 뒷받침하고 있습니다. 인도와 한국은 이 지역의 주요 신흥 시장입니다. 중국이 국내 규정 준수 및 데이터 현지화 기준을 적용하는 한편 일본과 한국이 UNECE 절차에 맞춰 집행 체계를 정비하면서 지역 수요는 더욱 차별화되고 있습니다. 현지 제조 및 커넥티드 차량 활동이 확대됨에 따라 인도의 규정 준수 환경이 발전하면서 추가적인 수요원이 형성되고 있습니다. EV 및 SDV 프로그램은 배터리, 텔레매틱스, 클라우드 연결 시스템 전반에서 부품 가시성 확보의 필요성을 높이고 있으며, 이에 따라 국내 및 국경 간 공급업체 환경을 모두 지원할 수 있는 플랫폼의 가치가 커지고 있습니다. 아시아 태평양 시장의 규모는 자동차 생산, EV 및 SDV 도입, 그리고 각국의 사이버보안 요건 확대에 의해 뒷받침됩니다.

중국 특화 규정 준수 및 데이터 현지화 요건으로 인해 국내 공급망 및 거버넌스 환경에 맞게 조정된 플랫폼에 대한 수요가 발생하고 있습니다.

라틴 아메리카

라틴 아메리카는 2025년 아시아 태평양, 유럽, 북미를 제외한 글로벌 매출 잔여분 6.7% 중 일부를 차지했습니다. 브라질은 자동차 제조, 커넥티드 차량 활동, 브라질 일반 데이터 보호법을 비롯한 데이터 거버넌스 요건에 힘입어 가장 유망한 신흥 국가 시장입니다. 멕시코는 자동차 공급망에서의 역할을 바탕으로 잠재 시장 기반을 확대하고 있지만, 사이버보안 인력 제약과 구현 비용으로 인해 도입 속도는 제한되고 있습니다. 지역별 도입은 광범위한 독립형 사이버보안 현대화보다는 자동차 제조 및 수출 공급망을 따라 진행될 가능성이 높습니다. 브라질은 커넥티드 차량 활동과 현지 데이터 거버넌스 요건을 결합할 수 있어 가장 강력한 진입점이 되며, 멕시코는 북미 생산 네트워크와 연계된 공급업체 접근 기회를 제공합니다. 관리형 SaaS, 단계적 온보딩 및 집중적인 규정 준수 서비스는 광범위한 내부 사이버보안 팀을 필요로 하는 대규모 완전 통합형 구축보다 이 지역의 비용 구조에 더 적합합니다. 브라질은 신흥 시장의 자동차 사이버보안 수요를 모색하는 공급업체의 주요 라틴 아메리카 진입점이 될 전망입니다.

하위 단계 공급업체의 비용 구조와 전문 인력 부족으로 인해 대규모 선투자 프로그램보다 관리형 SaaS 및 단계적 규정 준수 서비스가 선호됩니다.

중동 및 아프리카

중동 및 아프리카(MEA)는 2025년 아시아 태평양, 유럽, 북미 및 라틴 아메리카를 제외한 글로벌 매출 잔여분 4.7% 중 나머지를 차지했습니다. GCC 사이버보안 규제 프레임워크, 사우디 국가사이버보안청(NCA)의 필수 사이버보안 통제, SASO 기술 규정 및 UAE 정보보증표준이 이 지역의 정책 환경을 형성하고 있습니다. 자동차 SBOM 도입은 구현 비용, 분산된 수요 및 전문 차량 사이버보안 인력의 제한적인 공급으로 인해 여전히 제약을 받고 있습니다. 국가 사이버보안 통제에 차량 소프트웨어 및 데이터에 대한 입증 가능한 거버넌스가 요구되는 분야에서는 커넥티드 모빌리티 이니셔티브가 가장 명확한 단기 수요를 창출하고 있습니다.

GCC 프레임워크와 사우디아라비아 및 UAE의 정책 방향으로 인해 광범위한 재량적 플랫폼 지출보다 규정 준수를 중심으로 한 프로그램의 중요성이 커지고 있습니다. 도입은 공급업체별 준비도 편차, 제한된 전문 인력 역량, 현재 지역 배포 프로그램의 제한적인 규모를 수용할 수 있는 호스팅형 모니터링, 선별적 평가 및 서비스 중심 계약부터 시작될 가능성이 높습니다. 중동·아프리카(MEA) 지역의 수요는 커넥티드 모빌리티 프로그램과 국가 차원의 사이버보안 통제가 명확한 규정 준수 요건을 마련하는 분야를 중심으로 선별적으로 발전할 전망입니다.

서비스 중심 및 클라우드 제공형 모델은 대규모 완전 통합형 엔터프라이즈 배포보다 현재 이 지역의 시장 성숙도에 더 부합합니다.

자동차 소프트웨어 구성 요소 명세서(SBOM) 및 취약점 관리 시장 점유율 및 경쟁 구도

Cybellum - 7.8% 점유율

LG Electronics가 소유한 Cybellum은 7.8%의 점유율을 기록한 시장 선도 기업입니다. LG Electronics는 2022년 약 2억4,000만 미국 달러에 Cybellum을 인수하여 자원과 자동차 부문 채널 접근성을 강화했습니다. Cybellum의 Product Security Platform은 바이너리 기반 구성 요소 탐지, 종속성 매핑, CVE 상관 분석, 개선 워크플로, 500개 이상의 접점을 지원하는 공급업체 포털 및 규정 준수 보고 기능을 결합하며, 이 플랫폼은 전 세계 상위 10개 OEM 프로그램 중 여러 프로그램에 배포되어 있습니다.

ETAS - 4.9% 점유율

ETAS는 Bosch Group 및 ESCRYPT의 역량을 바탕으로 4.9%의 시장 점유율을 기록했습니다. ETAS는 TARA, SBOM 생성, 취약점 모니터링 및 ISO/SAE 21434 규정 준수를 Bosch INCA, AUTOSAR, 진단 및 자동차 개발 환경과 통합합니다. 이러한 임베디드 툴체인 입지는 이미 Bosch 연계 엔지니어링 워크플로를 운영하는 OEM 및 Tier-1 고객의 통합 부담을 줄여줍니다.

Vector Informatik - 3.8% 점유율

Vector Informatik은 3.8%의 점유율을 기록했으며 CANalyzer, CANoe 및 VectorCAST 생태계를 자동차 사이버보안과 SBOM 생성 영역으로 확장하고 있습니다. 2024년 4월 Vector Informatik은 CycloneDX SBOM 내보내기 기능을 포함한 VectorCAST Security 확장 기능을 출시하여 공급업체가 기존 테스트 및 검증 워크플로에서 구성 요소 인벤토리를 생성할 수 있도록 했습니다. 툴체인 네이티브 생성 기능은 새로운 데이터 수집 경로를 구축해야 하는 독립형 플랫폼과 Vector를 차별화합니다.

Argus Cyber Security / PlaxidityX - 3.0% 점유율

Continental의 PlaxidityX 브랜드로 통합된 Argus Cyber Security는 3.0%의 점유율을 기록했습니다. Continental은 2017년 Argus를 인수하고 Argus의 ECU 및 텔레매틱스 보안 역량과 Elektrobit의 소프트웨어 보안 역량을 결합했습니다. Continental의 Tier-1 공급망 접근성은 전 세계 자동차 제조 프로그램 전반에서 PlaxidityX에 내재화된 상업적 채널을 제공합니다.

Synopsys - 2.5% 점유율

Synopsys는 Black Duck 플랫폼을 통해 2.5%의 점유율을 기록했습니다. 이 플랫폼은 독점 소프트웨어와 오픈소스 소프트웨어가 혼합된 스택을 관리하는 자동차 기업을 대상으로 엔터프라이즈 소프트웨어 구성 분석, 오픈소스 탐지, 라이선스 규정 준수 및 CVSS 기반 악용 가능성 점수 산정 기능을 제공합니다. Synopsys는 이미 확립된 DevSecOps 입지를 바탕으로 OEM과 공급업체가 엔터프라이즈 SCA 관행을 차량 거버넌스로 확장할 때 위험이 낮은 도입 경로를 제공합니다.

VicOne - 2.0%의 시장 점유율

2021년에 설립된 Trend Micro의 분사 기업 VicOne은 2.0%의 시장 점유율을 차지했습니다. VicOne의 xNexus 및 xCarbon 플랫폼은 자동차 SBOM 분석을 Trend Micro의 인텔리전스와 연계하며, 이 인텔리전스는 매일 2,500억 건이 넘는 위협 쿼리를 처리합니다. 2025년 3월 VicOne은 AI 기반 CVE 우선순위 지정 기능을 탑재한 xNexus 2.0을 출시했으며, 커넥티드 차량 차량군 운영 기업에서 경고량을 최대 70%까지 줄였다고 보고했습니다.

C2A Security - 1.8%의 시장 점유율

C2A Security는 1.8%의 시장 점유율을 차지했으며 AutoSPIN DevSecOps 플랫폼을 제공합니다. AutoSPIN은 SBOM 생성, CVE 관리 및 규정 준수 보고 기능을 CI/CD 워크플로에 통합해 차량 소프트웨어 개발과 보안 거버넌스 간의 격차를 해소합니다. 2025년 4월 AutoSPIN 3.0이 정식 제공되기 시작했으며, SPDX/CycloneDX 양방향 변환 기능과 다계층 SBOM 수집을 위한 공급업체 포털이 추가되었습니다.

자동차 SBOM 및 취약성 관리 시장에서 활동하는 주요 기업으로는 AUTOCRYPT, AVL, DNV, Harman International, LTTS, Upstream Security, CYMOTIVE Technologies, Finite State, Karamba Security, Secure Elements, Agnile Technologies 및 VxLabs (ThreatZ)가 있습니다.

최근 산업 동향

• 2025년 4월: C2A Security는 SPDX/CycloneDX 양방향 변환 기능과 다계층 SBOM 수집을 위한 공급업체 포털을 추가한 AutoSPIN 3.0의 정식 제공을 발표했습니다. 이번 출시로 상호운용성과 온보딩의 핵심 제약 요인이 해소되었습니다.

• 2025년 3월: VicOne은 Trend Micro의 위협 인텔리전스와 차량 아키텍처 맥락 점수를 결합한 AI 기반 CVE 우선순위 지정 기능을 탑재한 xNexus 2.0을 출시했습니다. 초기 도입 데이터에 따르면 커넥티드 차량 차량군 운영 기업의 경고량이 최대 70%까지 감소했습니다.

• 2025년 1월: ENISA는 UNECE WP.29 규정 제155호에 부합하는 명시적인 SBOM 관리 및 공급업체 증명 프레임워크를 포함하도록 자동차 사이버보안 모범 사례를 업데이트해 발표했습니다.

• 2024년 11월: Cybellum은 최대 500개의 공급업체 접점에서 데이터를 자동으로 수집하고, 형식을 검증하며, 시스템에 수집 데이터를 입력하는 Supplier SBOM Portal을 추가해 Product Security Platform을 확장했습니다. 이 모듈은 유럽 상위 10대 OEM 기업 2곳과의 구축에 이어 출시되었습니다.

• 2024년 10월: CISA는 자동차를 우선순위 핵심 인프라 부문으로 지정하고 최소 구성 요소를 NTIA 프레임워크에 맞춘 교통 인프라 SBOM 지침을 업데이트해 발표했습니다.