제품 지원 종료
더 많은 작업
- End of Life, End of Support; EOL, EOS, 수명 종료, 지원 종료
- 제조사가 제품의 판매·유지보수·보안 업데이트를 단계적으로 끝내는 시점과, 그에 맞춰 자산을 교체·보존·폐기하는 관리 활동
모든 하드웨어와 소프트웨어는 제조사가 정한 수명 주기를 가진다. 지원이 끝난 제품은 새로 발견된 취약점에 대한 패치가 나오지 않으므로, 공격자에게는 영원히 열린 문이 된다. CISSP 출제 기준 2.5는 수명 종료(EOL)와 지원 종료를 예로 들며 "자산을 알맞게 보존(asset retention)"하라고 요구한다. 즉 언제까지 쓰고, 언제 바꾸고, 바꾸기 전까지 어떻게 위험을 줄이며, 폐기할 때 데이터를 어떻게 처리할지를 미리 정하는 것이다.
용어의 정확한 뜻은 제조사마다 조금씩 다르므로 계약서와 제조사 수명 주기 정책을 확인해야 한다. 일반적인 의미는 다음과 같다.
| 용어 | 의미 | 보안 영향 |
|---|---|---|
| 판매 종료(End of Sale, EOS) | 신규 판매를 멈춤. 기존 고객 지원은 계속됨 | 당장 위험은 없음. 교체 계획 수립을 시작할 시점 |
| 수명 종료(End of Life, EOL) | 제조사가 제품을 단종하고 수명 주기 종료 단계에 들어감. 제조사에 따라 지원 종료와 같은 뜻으로 쓰기도 함 | 남은 지원 기간을 확인해 교체 일정을 확정 |
| 지원 종료(End of Support, EOS) | 보안 업데이트, 버그 수정, 기술 지원이 모두 끝남 | 새 취약점이 영구히 패치되지 않음. 가장 중요한 기준일 |
| 서비스 수명 종료(End of Service Life, EOSL) | 하드웨어 부품 공급·수리까지 끝남 | 고장 시 복구 불가. 가용성 위험 |
EOS라는 약어가 판매 종료와 지원 종료 양쪽에 쓰이므로 문서에는 풀어서 적는 편이 안전하다.
마이크로소프트는 윈도우 10(Home, Pro 등)의 지원 종료일을 2025년 10월 14일로 공지했고, 22H2가 마지막 버전이다. 이 날짜 이후 일반 사용자용 월간 보안 업데이트는 나오지 않는다. 기업·교육기관은 유료 확장 보안 업데이트(ESU, Extended Security Updates)에 가입하면 지원 종료 후 최대 3년간 보안 업데이트를 받을 수 있으며, 첫해 가격은 장치당 61달러이고 해마다 두 배가 된다. ESU에는 기술 지원이 포함되지 않는다. 즉 ESU는 교체할 시간을 버는 수단이지 해결책이 아니다. 마이크로소프트의 고정 수명 주기 정책(Fixed Lifecycle Policy)은 제품 출시 때 일정을 정해 최소 5년의 일반 지원(Mainstream Support)과, 일부 제품에 대해 그 뒤의 연장 지원(Extended Support)을 제공한다. 연장 지원 기간에는 보안 업데이트는 나오지만 기능 변경 요청은 받지 않는다.
| 대응 | 내용 | 언제 고르나 |
|---|---|---|
| 교체·업그레이드 | 지원되는 버전이나 다른 제품으로 이전 | 기본 답. 예산·호환성 검토를 지원 종료 훨씬 전에 시작 |
| 연장 지원 계약 | 제조사 유료 연장 지원, ESU, 제3자 유지보수 | 교체가 일정상 불가능할 때 한시적으로 |
| 격리 | 별도 네트워크 구역, 인터넷 차단, 접근 가능한 사용자·포트 최소화(네트워크 분할) | 산업제어·의료기기처럼 교체가 어려운 장비 |
| 보완 통제 | 가상 패치(웹 방화벽·IPS 규칙으로 알려진 취약점 공격 차단), 응용 프로그램 허용 목록, 강화 모니터링 | 격리와 함께 잔여 위험을 줄일 때 |
| 위험 수용 | 경영진이 잔여 위험을 문서로 승인하고 기한을 정함 | 위 수단을 써도 남는 위험. 무기한 수용은 피함 |
지원 종료 제품은 규제 준수에도 영향을 준다. 지원되지 않는 소프트웨어를 쓰면 취약점 관리 요건을 충족하지 못한다는 판정을 받을 수 있다.
지원 종료는 날짜가 미리 공개되므로 놓치는 것은 관리 실패이다. 자산 목록(CMDB)에 다음 항목을 두고, 지원 종료 일정 앞에 경고가 뜨게 한다.
| 항목 | 예 |
|---|---|
| 제품명·버전·빌드 | 운영체제 22H2, 펌웨어 버전 |
| 판매 종료일, 지원 종료일, 연장 지원 종료일 | 제조사 수명 주기 페이지 기준 |
| 교체 계획 | 예산 연도, 대체 제품, 책임자 |
| 예외 승인 | 지원 종료 후 사용 사유, 보완 통제, 승인자, 만료일 |
소프트웨어 구성 요소의 지원 종료도 놓치기 쉽다. 오픈소스 라이브러리나 런타임의 지원 종료 여부를 SBOM과 연결해 추적한다.
- 지원 종료 제품의 핵심 위험은 보안 패치가 더는 나오지 않는다는 것이다.
- 가장 좋은 답은 지원 종료 전에 교체하는 것이고, 불가능하면 격리와 보완 통제로 위험을 줄이고 경영진이 잔여 위험을 승인한다.
- 판매 종료와 지원 종료를 구분한다. 판매 종료는 계획 시작 신호, 지원 종료는 위험이 현실화되는 날이다.
- 자산 보존 기간은 데이터 보존 의무와 함께 결정한다. 자산을 폐기할 때는 저장 매체 소거가 따라온다.
- 수명 주기 날짜는 자산 목록에 기록해 사전에 관리한다.
- Windows 10 Home and Pro – Microsoft Lifecycle – Microsoft Learn
- Windows 10 Extended Security Updates (ESU) program – Microsoft Learn
- Fixed Lifecycle Policy – Microsoft Learn
- NIST SP 800-88 Rev. 2, Guidelines for Media Sanitization – NIST