카스퍼스키, 공급망 공격 대응 '에코시스템 기반 보안 전략' 제시

오늘날 기업은 더 이상 독립적으로 운영되지 않는다. 수많은 협력사와 공급업체, 서비스 제공업체가 연결된 하나의 에코시스템 안에서 운영되며, 이들 가운데 단 한 곳의 보안 취약점도 기업 전체의 운영과 신뢰도, 비즈니스 지속성에 직접적인 영향을 미칠 수 있다.

실제로 카스퍼스키 내부 시장조사센터(Internal Market Research Center)가 실시한 최신 조사에 따르면 공급망 공격은 2025년 기업이 직면한 가장 큰 사이버 위협으로 나타났다. 특히 협력업체와 외부 공급업체를 광범위하게 운영하는 대기업일수록 이러한 위험에 더욱 취약한 것으로 조사됐다. 이러한 환경에서 기업의 사이버 복원력은 내부 시스템만 보호해서 확보되는 것이 아니라 협력사와 공급망 전체를 포함하는 통합적인 보안 체계를 구축해야 가능하다.

이를 위해 카스퍼스키는 기업과 협력사, 공급업체를 하나의 연결된 보안 체계로 관리하는 에코시스템 기반 보안(Ecosystem Approach)을 제안했다. 이는 공급망 어느 한 곳에서 발생한 취약점도 결국 기업 전체의 위험으로 이어질 수 있다는 전제 아래, 모든 참여 조직이 동일한 보안 기준과 책임, 통제 체계를 적용하는 방식이다.

또한 공급망 보안은 특정 시점의 점검으로 끝나는 것이 아니라 ▲협력사 선정 이전 ▲협업 기간 ▲계약 종료 이후까지 공급망의 전체 수명주기에 걸쳐 지속적으로 관리되어야 한다고 강조했다.

첫 번째 방어선은 계약 이전… 공급망 보안은 협력사 선정부터 시작

공급망 보안은 계약이 체결된 이후가 아니라 협력사를 선정하는 단계에서부터 시작된다. 우선 기업은 공급업체를 평가하고 승인하며 관리하기 위한 내부 보안 기준을 마련해야 한다. 공급업체 등록 절차, 데이터 처리 방식, 접근 권한 관리, 그리고 협력사가 반드시 충족해야 하는 최소 보안 수준을 명확하게 정의하는 것이 중요하다. 예를 들어 입찰 참여 조건으로 ISO 27001 또는 SOC 2와 같은 국제 보안 인증을 요구할 수 있다. 또한 공개 정보 조사(OSINT)를 활용하면 공급업체가 취약점 공개 프로그램(Coordinated Vulnerability Disclosure Program)을 운영하는지, 과거 CVE 이력을 보유하고 있는지, 버그 바운티(Bug Bounty) 프로그램을 운영하는지 등을 확인할 수 있다. 무엇보다 중요한 것은 발견된 취약점을 얼마나 신속하게 해결하는가이다. 이는 공급업체가 제품과 서비스의 보안을 얼마나 중요하게 관리하는지를 보여주는 대표적인 지표가 될 수 있다. 이처럼 명확한 내부 보안 기준과 철저한 검증 절차를 갖추면 기업은 공급망에 참여하는 모든 협력사가 일정 수준 이상의 보안 역량을 확보한 상태에서 업무를 시작하도록 할 수 있다. 카스퍼스키는 기업이 협력사의 보안 수준을 보다 효과적으로 검증할 수 있도록 공급망 보안 점검 체크리스트(Check List)도 별도로 제공하고 있다.

계약 단계에서 보안 요구사항을 명문화하는 것도 중요한 요소다.

카스퍼스키 조사에 따르면 공급망 위험을 줄이기 위해 협력사 계약서에 정보보호 요구사항을 포함하는 기업은 전체의 37% 에 불과했다. 그러나 계약 단계에서부터 보안 요구사항을 명문화하면 협력사가 민감한 데이터를 어떻게 보호하고, 취약점을 어떻게 관리하며, 보안 사고 발생 시 어떤 절차에 따라 대응해야 하는지를 명확하게 규정할 수 있다.

예를 들어 개인정보 보호 조항은 기업과 고객 정보를 안전하게 보호하도록 의무화하고, 암호화(Encryption), 다중 인증(MFA), 안전한 소프트웨어 개발(Secure Coding), 정기적인 보안 업데이트 등 기술적 보안 기준을 계약 조건에 포함하면 취약한 시스템을 통한 침해 가능성을 크게 줄일 수 있다. 또한 사고 대응 절차를 계약서에 명시하면 보안 사고가 발생했을 때 협력사가 언제까지 기업에 통보해야 하는지, 조사와 대응 과정에서 어떤 역할을 수행해야 하는지도 명확하게 규정할 수 있다. 특히 중요 시스템이나 핵심 소프트웨어를 공급받는 경우에는 소스코드 검토를 요구하는 것도 효과적인 방법이다. 특히 인증, 데이터 처리 또는 통신을 담당하는 구성 요소의 코드를 직접 검토함으로써, 제품 내부에 숨어 있는 위험 요소를 보다 정확하게 확인할 수 있으며, 공급받는 제품에 대한 신뢰성도 한층 높일 수 있다.

협력 이후에도 지속적인 검증과 모니터링 필요

공급업체가 철저한 검증을 거쳐 선정됐더라도 시간이 지나면서 새로운 취약점이 발견되거나 내부 계정이 탈취되고, 협력사가 사용하는 오픈소스나 서드파티솔루션에서 공급망 취약점이 발생할 수 있는 만큼 공급망 보안은 계약 이전의 점검만으로 끝나서는 안 된다.

기업은 XDR/EDR 기반의 지속적인 모니터링 체계를 운영해 비인가 접근과 이상 행위를 조기에 탐지해야 하며, 위협 인텔리전스(Threat Intelligence)를 실제 운영 환경과 연계해 새롭게 발견된 취약점이나 공격 캠페인이 자사 환경에 미치는 영향을 지속적으로 분석해야 한다. 공급망 보안은 일회성 심사가 아닌 협력 기간 전반에 걸쳐 지속적으로 운영되는 방어 체계가 되어야 한다.

또한 장기간 협력하는 공급업체일수록 최소 연 1회 이상 정기적인 보안 감사를 실시해 보안 정책 준수 여부를 점검하고, 침투 테스트와 공급업체 환경을 가정한 모의 공격을 수행해 실제 공격 가능성을 사전에 확인해야 한다.

소프트웨어 업데이트 역시 운영 환경에 즉시 적용하기보다 격리된 샌드박스(Sandbox) 환경에서 먼저 검증해야 한다고 밝혔다. 이를 통해 악성코드가 포함됐거나 정상적으로 동작하지 않는 업데이트가 운영 시스템으로 유입되는 것을 사전에 차단할 수 있다.

특히 공급망 공격이 기술적인 취약점뿐 아니라 사람을 노리는 사회공학 공격으로도 확산되고 있다. 공격자는 협력업체 임직원을 대상으로 피싱 이메일을 발송하거나 계정을 탈취해 공급망 전체를 침해하기도 하는 만큼, 자체 임직원뿐 아니라 협력업체까지 포함한 통합 보안 교육 체계를 운영해야 한다. 공동 보안 워크숍과 CTF(Capture The Flag) 기반 실습형 훈련을 통해 동일한 보안 기준과 대응 역량을 확보하면 공급망 전체의 사이버 복원력을 높일 수 있다.

협력 종료 단계까지 관리해야 완전한 공급망 보안

공급업체와의 계약 종료 시점 역시 공급망 보안에서 가장 위험도가 높은 단계 가운데 하나다. 따라서 협력 관계가 종료되면 체계적인 오프보딩(Offboarding) 절차를 통해 모든 접근 권한을 제거하고 민감한 데이터를 안전하게 보호해야 한다.

우선 계정, API 키, SSO(Single Sign-On) 연동, VPN 프로필 등 모든 디지털 접근 권한을 즉시 비활성화하고, 공급업체가 구축하거나 운영했던 클라우드 리소스까지 완전히 제거해야 한다. 이를 통해 계약 종료 이후에도 외부 사용자가 내부 시스템에 접근하는 위험을 차단할 수 있다.

또한 공급업체가 보유한 기업 정보를 완전히 삭제했는지 확인하고, IP를을 반환했는지, 향후 기밀 정보나 개인정보에 접근할 수 없도록 조치했는지도 반드시 검증해야 한다. 공식적인 데이터 파기 증명서와 데이터 최소화 정책을 함께 적용하면 계약 종료 이후 발생할 수 있는 정보 유출과 오남용 위험을 효과적으로 줄일 수 있다.

카스퍼스키 세르게이 솔다토프 보안관제센터 총괄은 "최근 공급망 공격이 전 세계적으로 지속적으로 발생하면서 선제적인 대비는 더 이상 선택이 아닌 필수 요건이 됐다"라고 말하며, "협력사의 선정부터 계약 체결, 공동 운영, 계약 종료에 이르기까지 공급망 전 과정에서 보안 체계를 구축하고 파트너와 지속적으로 협력하는 기업만이 사이버 복원력을 확보하는 것은 물론 장기적인 경쟁 우위까지 확보할 수 있을 것이다"라고 말했다.