공급망 위험 관리(SCRM)란?

오늘날의 디지털 환경에서는 공급망 보호와 사이버 보안 방어가 밀접하게 연결되어 있습니다. 조직이 외부 공급업체와 제3자 소프트웨어에 점점 더 의존하면서, 조직의 경계 밖에서 새로운 위험이 발생하고 있습니다. 이러한 공급망 위험은 소프트웨어 설계부터 배포된 소프트웨어 제품까지 기업의 모든 영역에 영향을 미칠 수 있습니다.

이 글에서는 공급망 위험 관리의 개념과 사이버 보안에서의 역할을 살펴봅니다. 일반적인 위험을 식별하고 효과적인 평가 방법과 보안 전략을 수립하는 방법도 알아봅니다. 또한 조직이 공급망 보안을 확보하는 데 활용할 수 있는 주요 프레임워크, 산업별 활용 사례, 모범 사례를 다룹니다.

공급망 위험 관리란

공급망 위험 관리(SCRM)는 외부 파트너, 공급업체, 서비스 제공업체와 관련된 위험을 식별, 평가, 최소화하는 활동과 프로세스입니다. 여기에는 제품이나 서비스를 제공하는 데 필요한 디지털 요소도 포함됩니다.

공급망 위험 관리는 다양한 구성 요소가 조직 환경에 도입되기 전에 취약점을 검사합니다. 이후 발생할 수 있는 문제를 탐지하기 위한 모니터링 체계도 구축합니다. 외부와 내부 시스템이 접하는 모든 지점을 보호하는 접근 방식입니다.

SCRM이 효과를 거두려면 보안, IT, 조달, 법무, 사업 팀이 협력해야 합니다. 이러한 부서 간 협업은 공급업체 선정부터 계약 관리와 정기 보안 검토까지, 공급업체 관계에 따른 보안 위험 전반을 다룹니다.

공급망 위험 관리가 중요한 이유는 무엇인가요?

조직의 외부 공급업체와 제3자 라이브러리 의존도가 높아지면서 공급망 위험 관리의 중요성이 커졌습니다. 오늘날 대부분의 기업은 수십에서 수백 개의 제3자 업체에 의존해 사업을 운영합니다. 이러한 관계마다 조직의 보안 태세에 영향을 줄 수 있는 위험이 따릅니다.

많은 최신 소프트웨어 애플리케이션은 다양한 출처의 구성 요소로 이루어집니다. 업무용 애플리케이션의 코드에는 일반적으로 수십 개의 제3자 라이브러리와 프레임워크가 포함됩니다. 이 중 하나라도 보안 취약점이 있으면 애플리케이션 전체가 침해될 수 있습니다. 이러한 의존성 문제는 클라우드 서비스, 관리형 서비스 제공업체, 하드웨어 공급업체에도 적용됩니다.

일반적인 공급망 위험 유형

공급망 위험은 변조된 소프트웨어, 서비스 공격, 내부자, 제3자 접근 등 다양한 형태로 나타납니다. 각 위험에는 그에 맞는 탐지 및 보호 방법이 필요합니다. 가장 일반적인 유형은 다음과 같습니다:

코드 삽입 공격

코드 삽입 공격은 공격자가 개발 또는 배포 과정에서 정상 소프트웨어에 악성코드를 삽입하는 공격입니다. 공격자가 소스 코드 저장소, 빌드 시스템 또는 업데이트 서버에 접근하면 발생할 수 있습니다. 대표적인 사례로는 소프트웨어 업데이트에 백도어 코드를 삽입해 수천 곳의 고객에게 배포한 SolarWinds 공격이 있습니다.

공급업체 보안 침해

변조된 소프트웨어

조직의 시스템이나 데이터에 접근 권한이 있는 공급업체가 보안 사고를 겪을 때 위험이 발생합니다. 네트워크나 민감한 정보에 접근할 수 있는 사람이 침해당하면, 공격자는 이 관계를 악용하여 고객 환경으로 측면 이동할 수 있습니다.

변조된 소프트웨어 구성 요소도 심각한 위험입니다. 오픈소스 라이브러리는 개발 속도를 높여 널리 사용되지만, 취약점이나 악성코드를 포함할 수도 있습니다. 이러한 구성 요소가 애플리케이션에 포함되면 보안 결함도 함께 유입됩니다.

하드웨어 변조

공급업체 보안 침해

펌웨어 공급망 공격은 하드웨어 구성 요소에 내장된 소프트웨어를 침해하는 것을 포함합니다. 여기에는 펌웨어 업데이트에 악성 코드를 주입하거나, 장치 드라이버를 침해하거나, 부팅 프로세스를 조작하는 것이 포함될 수 있습니다.

조직의 시스템이나 데이터에 접근할 수 있는 공급업체에서 보안 사고가 발생하면 위험이 커집니다. 네트워크나 민감한 정보에 접근할 수 있는 업체가 침해되면, 공격자는 이 관계를 악용해 고객 환경으로 내부 이동할 수 있습니다.

업데이트 메커니즘 악용

하드웨어 변조

업데이트 메커니즘 악용은 실제 소프트웨어 업데이트 전달에 활용되는 채널을 표적으로 삼습니다. 공격자는 신뢰할 수 있는 배포 경로를 침해하여 신뢰할 수 있는 공급업체에서 제공된 것처럼 위장한 악성 코드를 배포할 수 있게 합니다.

펌웨어 공급망 공격은 하드웨어 구성 요소에 내장된 소프트웨어를 침해합니다. 펌웨어 업데이트에 악성코드를 삽입하거나, 장치 드라이버를 침해하거나, 부팅 프로세스를 조작하는 방식이 포함됩니다.

공급망 위험 관리의 핵심 구성 요소

업데이트 메커니즘 악용

공급망 위험 관리에는 함께 사용될 때 효과적인 핵심 구성 요소가 있습니다. 이들은 제3자 공급업체 및 그 구성 요소가 초래하는 위험을 발견, 모니터링 및 관리하기 위한 포괄적인 생태계를 형성합니다.

업데이트 메커니즘 악용은 정상적인 소프트웨어 업데이트가 전달되는 경로를 노립니다. 공격자는 신뢰받는 배포 경로를 침해해, 신뢰할 수 있는 공급업체가 제공한 것처럼 위장한 악성코드를 배포합니다.

공급업체 위험 평가 및 관리

공급망 위험 관리의 핵심 요소

공급업체 위험 평가는 공급망 보안의 기초를 마련합니다. 이 프로세스는 신규 및 기존 공급업체에 시스템이나 데이터에 대한 접근 권한을 부여하기 전에 공급업체의 보안 관행을 평가합니다. 좋은 평가는 기술적 통제 및 보안 정책, 과거 사건 검토, 전반적인 보안 성숙도를 검토합니다. 평가 과정에서 조직은 공급업체에 대해 표준화된 설문지와 점수 시스템을 마련해야 하며, 이는 공급업체를 객관적으로 비교하는 데 도움이 될 수 있습니다.

공급망 위험 관리의 핵심 요소는 함께 적용할 때 효과를 발휘합니다. 이 요소들은 제3자 공급업체와 그 구성 요소에서 발생하는 위험을 발견, 모니터링, 관리하기 위한 포괄적인 체계를 이룹니다.

SCA 및 소프트웨어 부품 목록(SBOM)

공급업체 위험 평가 및 관리

SCA 도구는 애플리케이션 코드를 스캔하여 사용된 모든 타사 구성 요소를 식별하고 그 안에 알려진 취약점을 찾습니다. 이러한 도구는 모든 소프트웨어 종속성의 포괄적인 목록을 생성하고, 해당 구성 요소 내에서 취약점이 탐지될 경우 팀에 알립니다. SCA는 일반적으로 애플리케이션 내 모든 구성 요소와 그 버전, 구성, 존재할 수 있는 취약점을 요약한 소프트웨어 부품 명세서(SBOM)를 출력합니다.

공급업체 위험 평가는 공급망 보안의 토대입니다. 신규 및 기존 공급업체에 시스템이나 데이터 접근 권한을 부여하기 전에 보안 관행을 평가합니다. 효과적인 평가에서는 기술적 통제와 보안 정책, 과거 사고 이력, 전반적인 보안 성숙도를 검토합니다. 표준화된 설문지와 점수 체계를 사용하면 공급업체를 객관적으로 비교할 수 있습니다.

SCA와 소프트웨어 자재 명세서(SBOM)

SCA 도구는 애플리케이션 코드를 검사해 사용 중인 모든 제3자 구성 요소를 식별하고 알려진 취약점을 확인합니다. 모든 소프트웨어 의존성 목록을 생성하고, 구성 요소에서 취약점이 발견되면 담당 팀에 알립니다. SCA는 일반적으로 애플리케이션의 모든 구성 요소와 각 버전, 구성, 잠재적 취약점을 정리한 소프트웨어 자재 명세서(SBOM)를 생성합니다.

공급망 공격 대응 계획

공급망 공격에는 일반적인 사고 대응 계획에서 다루지 않을 수 있는 고유한 요소가 있습니다. 따라서 조직은 신뢰하는 공급업체를 통해 발생하는 침해에 특화된 대응 계획을 마련해야 합니다. 이러한 계획은 기기 격리, 해당 공급업체와의 연락, 침해 범위 파악, 피해 완화에 초점을 맞춰야 합니다. 대응팀에는 침해된 공급업체의 접근을 언제 어떻게 차단하고 사고가 종료된 후 서비스를 복구할지에 관한 명확한 지침이 필요합니다.

공급망 위험을 식별하고 평가하는 방법은 무엇인가요?

공급망 위험을 식별하고 분석하려면 기술적 자원과 비즈니스 프로세스 분석을 결합한 체계적인 접근 방식이 필요합니다. 조직은 잠재적인 문제가 운영에 영향을 미치기 전에 이를 발견할 명확한 방법을 마련해야 합니다.

디지털 공급망 위험 식별은 조직 전반에서 사용하는 모든 제3자 코드, 의존성, 컨테이너, 클라우드 서비스에 대한 포괄적인 소프트웨어 자재 명세서(SBOM)를 구축하는 것에서 시작합니다. 이를 자동화된 목록으로 관리하고, 각 애플리케이션의 구성 요소와 버전 정보, 알려진 취약점, 비즈니스 운영상 중요도를 기록해야 합니다.

보안 팀은 검사 도구를 CI/CD 파이프라인에 통합하고 개발 및 IT 팀과 협력해 의존성, API, 마이크로서비스가 누락되지 않도록 해야 합니다.

공급망 위험 완화 기법

조직은 여러 효과적인 전략을 적용해 공급망 보안 위험을 줄일 수 있습니다. 이러한 기법을 함께 사용하면 외부 위협에 대응하는 다층 방어 체계를 구축할 수 있습니다.

공급업체 보안 요구 사항

공급업체 계약에 명확한 보안 요구 사항을 명시하면 공급망 보안의 견고한 토대가 마련됩니다. 최소 보안 통제, 규정 준수 인증, 침해 사고 통지 기한, 감사 권한을 포함해야 합니다. 법적 계약에는 보안을 필수 조건으로 명시해 조직이 공급업체에 기준 준수를 요구하고 보안상 과실에 대한 책임을 물을 수 있어야 합니다. 요구 사항은 구체적이고 측정 가능해야 하며, 미준수에 따른 조치도 명시해야 합니다.

코드 무결성 검증

코드의 무결성을 검증하면 환경에 유입되는 소프트웨어가 변조되지 않았는지 확인할 수 있습니다. 여기에는 디지털 서명 검증, 해시값 확인, 유입되는 코드의 출처 추적이 포함됩니다. 조직은 설치 전에 소프트웨어 업데이트, 타사 라이브러리, 앱 구성 요소의 무결성을 검증하는 자동화 도구를 배포해야 합니다. 이를 통해 공급망에 악성코드가 삽입되는 것을 방지할 뿐 아니라 정상적인 소프트웨어의 무단 변경도 탐지할 수 있습니다.

최소 권한 접근

보안 테스트

각 제3자 연동 지점에는 기능 수행에 필요한 최소한의 API 권한과 시스템 접근 권한만 부여해야 합니다. 이러한 제한은 침해 사고의 영향 범위를 줄이고, 침해된 구성 요소가 필요한 범위를 넘어 중요 시스템에 접근하지 못하도록 막습니다.

제3자 제품 및 서비스에 대한 지속적인 보안 테스트는 제공된 소프트웨어에 대한 침투 테스트, 취약점 스캔, 코드 검토 등 공급업체의 보안 관련 주장을 검증합니다. 가장 높은 위험은 종종 벤더 시스템과 내부 네트워크의 연결 지점에서 발생하므로, 테스트는 이러한 통합 지점을 대상으로 해야 합니다.

의존성 이중화

공급망 위험 관리 프레임워크 및 표준

핵심 패키지와 라이브러리의 공급원을 이중화하면 저장소나 컨테이너 레지스트리 한 곳이 침해되더라도 피해를 제한할 수 있습니다. 특정 패키지에서 보안 문제가 발견되면 다른 의존성으로 신속하게 전환할 수 있습니다. 핵심 의존성의 검증된 공급원을 여러 곳 유지하려면 추가 개발 자원이 필요하므로, 중요도가 낮은 구성 요소에는 보안상 이점에 비해 투입할 노력이 크다고 판단할 수 있습니다.

여러 확립된 프레임워크와 표준은 조직이 공급망 보안에 대한 체계적인 접근 방식을 구축하는 데 도움을 줍니다.

보안 테스트

미국 국립표준기술원(NIST) 사이버 보안 프레임워크

제3자 제품과 서비스를 지속적으로 보안 테스트하면 공급업체의 보안 관련 주장을 검증할 수 있습니다. 여기에는 제공된 소프트웨어의 침투 테스트, 취약점 검사, 코드 검토가 포함됩니다. 가장 큰 위험은 공급업체 시스템과 내부 네트워크의 연결 지점에서 발생하는 경우가 많으므로, 테스트는 이러한 연동 지점에 집중해야 합니다.

미국 국립표준기술연구소(NIST) 사이버보안 프레임워크에는 공급망 위험 관리를 위한 구체적인 지침이 포함되어 있습니다. NIST 특별 간행물 800-161은 공급망 위험을 식별, 평가 및 대응하기 위한 상세한 지침을 제공합니다. 이 프레임워크는 계층적 접근 방식을 사용하여 조직이 위험 수준과 자원 제약에 맞춰 보안 노력을 조정할 수 있도록 지원합니다.

공급망 위험 관리 프레임워크 및 표준

ISO/IEC 27036

여러 확립된 프레임워크와 표준을 활용하면 공급망 보안에 체계적으로 접근할 수 있습니다.

ISO/IEC 27036은 공급업체 관계에서의 정보 보안에 특별히 초점을 맞춥니다. 이 국제 표준은 조달 프로세스 및 지속적인 공급업체 관리에 대한 보안 지침을 제공합니다. 이는 조직이 선정부터 종료까지 공급업체 라이프사이클 전반에 걸쳐 보안 요구사항을 포함하도록 돕습니다.

미국 국립표준기술연구소(NIST) 사이버 보안 프레임워크

사이버 보안 성숙도 모델 인증(CMMC)

미국 국립표준기술연구소(NIST) 사이버 보안 프레임워크에는 공급망 위험 관리에 관한 구체적인 지침이 포함되어 있습니다. NIST 특별 간행물 800-161은 공급망 위험의 식별, 평가, 대응에 대한 상세한 지침을 제공합니다. 이 프레임워크는 단계별 접근 방식을 사용해 조직이 위험 수준과 자원 제약에 맞춰 보안 활동을 조정하도록 합니다.

사이버 보안 성숙도 모델 인증(CMMC) 프레임워크는 방위 산업체 공급망 요구사항을 포함합니다. 공급업체가 취급하는 정보의 민감도에 따라 반드시 구현해야 할 구체적인 통제 사항을 설정합니다. 방위 산업을 위해 설계되었지만, 많은 조직이 자체 공급망 요구사항 모델로 CMMC를 활용합니다.

ISO/IEC 27036

코드 우수성 소프트웨어 보증 포럼(SAFECode)

ISO/IEC 27036은 공급업체 관계의 정보 보안에 중점을 둡니다. 이 국제 표준은 조달 절차와 지속적인 공급업체 관리에 적용할 보안 지침을 제공합니다. 조직이 공급업체 선정부터 계약 종료까지 전 과정에 보안 요구사항을 반영하도록 안내합니다.

코드 우수성 소프트웨어 보증 포럼(SAFECode)은 공급망 내 안전한 소프트웨어 개발을 위한 모범 사례를 제공합니다. 이 업계 주도 노력은 소프트웨어에 처음부터 보안을 구축하기 위한 실용적인 기술에 중점을 둡니다.

사이버 보안 성숙도 모델 인증(CMMC)

공급망 위험 관리와 관련된 과제

사이버 보안 성숙도 모델 인증(CMMC) 프레임워크에는 방위산업 계약업체를 위한 공급망 요구사항이 포함됩니다. 공급업체가 취급하는 정보의 민감도에 따라 구현해야 할 구체적인 보안 통제를 규정합니다. 방위산업을 위해 설계되었지만, 많은 조직이 자체 공급망 요구사항의 모델로 CMMC를 활용합니다.

효과적인 공급망 위험 관리를 구현하는 데에는 여러 가지 주요 과제가 있습니다. 외부 종속성을 잘 보호하기 위해서는 조직이 이러한 여러 가지 도전 과제를 해결해야 합니다.

우수 코드 소프트웨어 보증 포럼(SAFECode)

가시성 제한

우수 코드 소프트웨어 보증 포럼(SAFECode)은 공급망 내 안전한 소프트웨어 개발을 위한 모범 사례를 제공합니다. 업계가 주도하는 이 활동은 개발 초기부터 소프트웨어에 보안을 적용하는 실용적인 기법에 중점을 둡니다.

조직이 공급망을 파악하는 능력은 불완전합니다. 대부분의 공급업체는 자체 공급망을 통해 조달하므로 추적하기 어려운 다단계 의존 관계가 형성됩니다. 보안 팀은 오픈소스 의존성이나 제3자 간 관계로 인해 발생할 수 있는 잠재적 위험을 인지하지 못할 수 있습니다. 이로 인해 투명성이 크게 저하되고 모든 위협 지점을 파악하기 어렵습니다.

공급망 위험 관리의 과제

자원 제약

효과적인 공급망 위험 관리를 구현하려면 여러 주요 과제를 해결해야 합니다. 조직은 외부 의존성을 충분히 보호하기 위해 이러한 과제를 하나씩 살펴보고 해결해야 합니다.

공급망 보안을 효과적으로 구현하려면 상당한 자원이 필요합니다. 보안 팀은 공급업체 검토의 철저함과 이를 수행할 수 있는 시간 및 예산 사이에서 균형을 맞춰야 합니다. 이로 인해 조직은 주요 의존성과 핵심 코드 저장소에 보안 노력을 집중하는 반면, 소프트웨어 공급망에서 여전히 상당한 보안 위험을 초래할 수 있는 소규모 구성 요소와 마이크로서비스는 소홀히 하는 경우가 많습니다.

가시성의 한계

보안 대 운영 효율성

조직은 공급망 전체를 완전히 파악하기 어렵습니다. 대부분의 공급업체도 자체 공급업체를 통해 조달하므로 추적하기 어려운 여러 단계의 의존성이 생깁니다. 보안 팀은 오픈소스 의존성이나 제3자 간 관계에서 발생하는 잠재적 위험을 인지하지 못할 수 있습니다. 이처럼 투명성이 부족하면 모든 위협 지점을 파악하기 어렵습니다.

엄격한 공급망 통제는 비즈니스 중단과 주요 계획 지연을 초래할 수 있습니다. 보안 검토는 조달 프로세스를 지연시켜 공급업체의 신속한 온보딩이 필요한 사업부와의 심각한 갈등을 유발합니다. 조직은 보안 요구사항과 비즈니스 요구사항 사이에서 균형을 맞춰야 합니다. 반면, 보안에 지나치게 집중하면 경쟁력을 저해하는 병목 현상이 발생할 수 있으며, 속도를 우선시하면 감당하기 어려운 위험이 발생할 수도 있습니다.

리소스 제약

레거시 시스템

공급망 보안을 효과적으로 구현하려면 많은 리소스가 필요합니다. 보안 팀은 공급업체 검토의 철저함과 검토에 사용할 수 있는 시간 및 예산 사이에서 균형을 잡아야 합니다. 그 결과 조직은 주요 의존성과 기본 코드 저장소에 보안 역량을 집중하는 경우가 많습니다. 반면 소프트웨어 공급망에 상당한 보안 위험을 초래할 수 있는 소규모 구성요소와 마이크로서비스는 간과하기 쉽습니다.

수많은 조직이 여전히 현대적인 보안 기능을 갖추지 못한 레거시 시스템을 사용하고 있습니다. 이러한 레거시 애플리케이션은 공급업체가 오래전에 지원을 중단한 상태이므로 알려진 취약점이 있는 구식 구성 요소를 사용하고 있을 수 있습니다. 문제는 이러한 시스템을 교체하는 데 비용이 많이 들고 비즈니스에 지장을 준다는 점입니다. 레거시 구성 요소는 결국 교체될 계획이 있어야 하지만, 그 동안 보안 팀은 이를 완화하기 위한 전략이 필요합니다.

보안과 운영 효율성

일관된 보안 표준

엄격한 공급망 통제는 사업 운영을 중단시키고 중요한 프로젝트를 지연시킬 수 있습니다. 보안 검토로 조달 절차가 늦어지면 공급업체의 신속한 온보딩이 필요한 사업 부서와 갈등이 생길 수 있습니다. 조직은 보안 요구와 사업 요구 사이에서 균형을 잡아야 합니다. 보안에 지나치게 집중하면 경쟁력을 해치는 병목 현상이 생기고, 속도를 우선하면 감당하기 어려운 위험이 발생할 수 있습니다.

서로 다른 공급업체에 걸쳐 일관된 보안을 구축하는 것은 거의 불가능합니다. 그들은 서로 다른 산업에 속하며, 서로 다른 법규와 보안 성숙도 수준을 가지고 있습니다. 클라우드 서비스 제공업체는 하드웨어 제조업체와 다를 수 있습니다. 보안 보장을 희생하지 않으면서 이러한 차이점을 고려할 수 있을 만큼 민첩한 평가 기법을 만드는 것이 조직의 과제입니다.

레거시 시스템

공급망 위험 관리를 위한 모범 사례

많은 조직이 최신 보안 기능을 갖추지 못한 레거시 시스템을 여전히 사용합니다. 이러한 레거시 애플리케이션은 공급업체의 지원이 오래전에 종료되어 알려진 취약점이 있는 구형 구성요소를 사용할 수 있습니다. 하지만 시스템 교체에는 많은 비용이 들고 사업 운영에도 차질을 줍니다. 레거시 구성요소를 최종적으로 교체할 계획을 세우는 한편, 보안 팀은 그때까지 위험을 완화할 전략을 마련해야 합니다.

효과적인 공급망 보안은 일관된 접근 방식과 기록, 정책, 조직의 헌신에 달려 있습니다. 다음 모범 사례는 조직이 공급망 위협에 대한 강력한 방어 체계를 구축하는 데 도움이 됩니다.

일관된 보안 표준

공급업체 보안 평가 프로토콜

서로 다른 공급업체에 일관된 보안 수준을 적용하기는 거의 불가능합니다. 공급업체마다 속한 산업, 적용 법규, 보안 성숙도가 다릅니다. 클라우드 서비스 제공업체와 하드웨어 제조업체의 상황도 다를 수 있습니다. 조직의 과제는 보안에 대한 확신을 유지하면서 이러한 차이를 반영할 만큼 유연한 평가 기법을 마련하는 것입니다.

모든 공급업체가 동일한 방식으로 평가받도록 표준화된 테스트 프로세스를 수립해야 합니다. 여기에는 보안 설문지, 문서 검토, 공급업체 위험 수준에 부합하는 검증 단계 등의 프로토콜이 포함되어야 합니다. 조직은 위험 기반 접근 방식을 수립하고 각 수준에서 수행해야 할 점검 항목을 정의해야 합니다. 즉, 저위험 및 중위험 공급업체에 대한 기본 점검과 핵심 공급업체에 대한 심층 검토를 구분해야 합니다.정기 보안 감사

공급망 위험 관리 모범 사례

효과적인 공급망 보안에는 일관된 접근 방식과 기록, 정책, 조직 차원의 노력이 필요합니다. 다음 모범 사례는 조직이 공급망 위협에 대한 강력한 방어 체계를 구축하는 데 유용합니다.

공급업체 보안 평가 절차취약점 관리 및 사고 대응을 포함해야 합니다. 계약서에는 사이버 보안 위반 시 계약 해지 권한도 명시되어야 합니다.

표준화된 평가 절차를 마련하면 모든 공급업체를 동일한 방식으로 평가할 수 있습니다. 여기에는 공급업체의 위험 수준에 맞춘 보안 설문지, 문서 검토, 검증 단계 등이 포함되어야 합니다. 조직은 위험 기반 접근 방식을 수립하고 수준별 점검 항목을 정의해야 합니다. 예를 들어 위험도가 낮거나 중간인 공급업체에는 기본 점검을, 핵심 공급업체에는 심층 검토를 적용합니다.

정기적인 보안 감사

불시 감사는 공급업체가 약속한 보안 조치를 실제로 이행하는지 확인합니다. 자동화된 코드 스캔, 동적 API 테스트, 핵심 의존성에 대한 저장소 접근 권한 감사가 그 예입니다. 감사에서는 CI/CD 파이프라인, 컨테이너 레지스트리, 패키지 저장소의 무결성을 검증해 보안 통제가 제대로 구현되었는지 확인해야 합니다.

계약에 명시하는 보안 요구사항

공급업체에 대한 상세한 보안 요구사항을 계약에 명시하면 이를 강제할 수 있는 의무가 생깁니다. 관련 조항에는 최소 보안 통제 수준, 침해 통지 기한, 감사 권한, 미준수 시 결과를 구체적으로 명시해야 합니다. 법무 팀은 보안 팀과 협력해 기술적으로 정확한 문구를 협의해야 합니다. 요구사항에는 데이터 보호, 접근 통제, 취약점 관리 및 사고 대응이 포함되어야 합니다. 계약에는 사이버 보안 위반 시 계약을 종료할 권리도 명시해야 합니다.

코드 서명 및 검증

모든 소프트웨어 구성요소에 코드 서명을 적용하면 코드가 생성된 후 변경되지 않았는지 확인할 수 있습니다. 기업은 공급업체에 디지털 서명된 코드와 검증 방법을 요구해야 합니다. 내부 시스템은 업데이트나 새 구성요소를 설치하기 전에 서명을 확인해야 합니다. 이 과정은 코드의 무결성과 진위를 보장하기 위한 것입니다. 서명이 없거나 올바르게 서명되지 않은 코드는 모두 경고를 발생시키고 설치를 차단해야 합니다.

보안 인식 문화

모든 팀과 공급업체 담당자의 보안 인식을 높이면 공급망 보안의 인적 측면을 강화할 수 있습니다. 여기에는 직원 대상 보안 표준 교육, 개발자의 구성요소 출처 확인, 사업 부서에 공급업체 보안 위험 알리기가 포함됩니다. 직원에게 새로운 공급망 위협과 공격 기법을 정기적으로 알려야 합니다.

주요 공급망 공격 사례

아래 두 건은 대표적인 대규모 공급망 공격 사례입니다.

SolarWinds 공격

침해가 발견된 지 한 달도 지나지 않아 여러 컴퓨터 보안 업체와 정부 사이버 보안 기관은 2020년 12월에 발견된 SolarWinds 공격을 당시까지 확인되거나 시도된 공급망 침해 중 가장 정교한 사례 중 하나로 평가했습니다.

해커들은 해당 기업의 개발 환경에 침입해 Orion 네트워크 모니터링 프로그램에 공격 도구를 심었습니다. 침해된 소프트웨어의 이 업데이트는 디지털 서명을 거쳐 약 18,000명의 고객에게 배포되었습니다. 설치 후 SUNBURST라는 악성코드가 백도어를 생성해 공격자가 영향을 받은 네트워크에 침입할 수 있는 통로를 열었습니다. 이 공격은 수개월 동안 탐지되지 않은 채 여러 미국 정부 기관, Microsoft, FireEye, 다수의 Fortune 500 기업을 포함한 주요 표적에 피해를 입혔습니다.

결론

NotPetya 공격

조직들이 외부 공급업체 및 소프트웨어 의존성을 통해 공격을 받는 경우가 점점 더 많아짐에 따라 공급망 보안은 매우 중요해지고 있습니다. 현대 공급망의 복잡성은 종종 공격자들이 더 적극적으로 악용하려는 보안 취약점을 생성합니다. 조직은 어느 정도 이러한 사이버 위협으로부터 스스로를 보호할 수 있지만, 이는 체계적인 위험 관리 접근 방식이 마련된 경우에만 가능합니다.

2017년 6월의 NotPetya 공격은 세금 신고에 사용되는 우크라이나 회계 소프트웨어 M.E.Doc의 업데이트에서 시작되었습니다. 해커들은 소프트웨어 업데이트 서버에 침입해 정상적인 업데이트로 위장한 시스템 파괴형 악성코드를 업로드했습니다.

공급망 보안은 기술적 통제, 공급업체 평가 프로세스, 조직적 인식의 조합으로 귀결됩니다. 조직은 보안 요구사항과 비즈니스 필요성을 저해하지 않으면서도 외부 의존성에 대한 가시성을 확보해야 합니다. 공급망 공격은 날이 갈수록 정교해지고 있으며, 보안 팀은 이를 효과적으로 탐지하기 위해 차세대 도구가 필요할 것입니다.

우크라이나 조직만 공격하도록 설계되었지만, 자가 복제하는 악성코드는 네트워크 연결을 통해 빠르게 전 세계로 확산되었습니다. 해운 대기업 Maersk, 제약회사 Merck, 배송업체 FedEx가 심각한 운영 차질을 겪었습니다. 예를 들어 Maersk는 컴퓨터 45,000대와 서버 4,000대를 교체해야 했으며, 피해액은 3억 달러를 넘었습니다.

결론

외부 공급업체와 소프트웨어 의존성을 통한 공격이 늘면서 공급망 보안이 중요해지고 있습니다. 복잡한 현대 공급망에는 공격자가 악용하려는 보안 허점이 생기기 쉽습니다. 조직은 체계적인 위험 관리 방식을 갖춰야 이러한 사이버 위협으로부터 어느 정도 스스로를 보호할 수 있습니다.

공급망 보안의 핵심은 기술적 통제, 공급업체 평가 절차, 조직의 보안 인식을 결합하는 것입니다. 조직은 보안 요구사항과 사업 요구를 충족하면서도 외부 의존성을 파악해야 합니다. 공급망 공격이 날로 정교해지는 만큼, 보안 팀이 이를 효과적으로 탐지하려면 차세대 도구가 필요합니다.