카스퍼스키, ‘공급망 보안 투자 분석 보고서’ 발표

지난 1년간 공급망 공격이 약 3개 기업 중 1개를 공격하고, 신뢰 관계 공격 기업의 4분의 1에 영향을 미친 상황에서[1], 조직들은 내부 보안 접근 방식을 재검토하고 있다. 특히 자사 인프라와 시스템에 접근 권한을 가진 협력업체나 파트너의 보안 수준이 곧 자사의 사이버 리스크와 직결된다는 점을 인식하며, 이에 따른 대응을 준비하고 있다.

설문 조사에 따르면, 응답자의 69%가 자사의 사이버 회복력 강화를 위해 협력업체 보안에 대한 투자를 고려하고 있다. 이러한 의지는 인도(83%), 인도네시아(80%), 러시아(80%), 브라질(76%)에서 특히 높게 나타났다. 특히 인도네시아, 브라질, 러시아의 기업들은 다른 국가 대비 협력업체에 대한 신뢰도가 높은데, 이는 해당 국가에서 기업 시스템에 접근 가능한 협력업체 수가 평균보다 많다는 점에서 확인된다.

동시에 전체 기업의 25%는 이미 협력업체와 보안 비용을 분담하기 시작했으며, 이는 단순한 의향을 넘어 실제 실행 단계로 전환되고 있음을 보여준다. 이러한 도입 비율은 홍콩 및 대만(33%), 스페인(33%), 터키(31%), 베트남(31%)에서 더 높게 나타났다.

카스퍼스키 세르게이 솔다토프 보안 운영 센터(SOC) 책임자는 “오늘날 기업들은 보안이 더 이상 조직 내부 경계에서 끝나서는 안 되며, 전체 생태계로 확장되어야 한다는 점을 인식하고 있다. 중소기업은 대기업 수준의 보안 역량을 갖추지 못한 경우가 많아 추가적인 리스크를 초래할 수 있다. 따라서 대기업이 자원과 전문성을 공유함으로써 이러한 격차를 해소하고, 전체 의존 관계 체인에서 취약 지점을 강화해 글로벌 사이버 회복력을 높이는 핵심 동력이 될 수 있다”라고 말했다.

카스퍼스키코리아 이효은 지사장은 “한국 산업을 겨냥한 고도화된 공급망 공격이 증가하는 상황에서, 사이버 보안은 더 이상 개별 기업만의 문제가 아니다. 제3자 파트너와 협력업체는 이제 보안 생태계의 핵심 연결 고리이며, 하나의 취약점이 전체 시스템 리스크로 이어질 수 있다. 수동적 방어를 넘어 공급업체와의 적극적인 협력, 보안 전문성 공유, 가치사슬 전반에 걸친 회복력 내재화가 필요하다. 하나의 통합된 생태계로 대응할 때만 진화하는 사이버 위협으로부터 한국의 디지털 인프라를 보호할 수 있다”라고 말했다.

카스퍼스키는 공급망 리스크를 줄이기 위해 기업이 소프트웨어 공급업체에 대한 엄격하고 증거 기반의 평가를 포함한 조직적 보안 조치를 강화할 것을 권장한다. 공급업체의 보안 관행을 평가하고, 소프트웨어 개발 프로세스를 검토하며, 구조화된 평가 프레임워크를 적용함으로써 기업은 내부 인프라에 안전하고 회복력 있는 제품만 도입할 수 있다. 최적의 제품 선택 방법에 대한 보다 자세한 가이드는 링크를 통해 확인할 수 있다.

카스퍼스키는 공급망 및 신뢰 관계 리스크를 완화하기 위해 다음과 같은 권장 사항을 제시했다:

ž   공급업체와 보안 협력 강화: 공급업체와 긴밀히 협력하여 보안 수준을 향상시키는 것이 중요하며, 이러한 협력은 상호 신뢰를 강화하고 보안을 공동의 우선 과제로 만든다.

ž   계약 체결 전 공급업체 철저 평가: 협력 시작 전 잠재 공급업체의 보안 수준을 평가하는 것이 필수적이며, 사이버 보안 정책 검토, 과거 사고 이력, 산업 보안 표준 준수 여부 확인이 포함된다.

ž   소프트웨어 제품 및 클라우드 서비스의 경우, 취약점 및 침투 테스트 데이터를 수집하고, 필요 시 동적 애플리케이션 보안 테스트(Dynamic Application Security Testing, DAST)를 수행하는 것이 권장된다.

ž   계약 기반 보안 요구사항 적용:공급업체와의 계약에는 정기 보안 감사, 조직의 보안 정책 준수, 사고 통지 프로토콜 등 구체적인 정보 보안 요구사항이 포함되어야 한다.

ž   선제적 기술 보안 조치 도입: 최소 권한 원칙, 제로 트러스트(zero trust), 강력한 신원 관리 체계를 적용하면 공급업체 침해로 인한 심각한 피해를 크게 줄일 수 있다.

공급망 리스크 관련 추가 권장 사항과 상세 내용은 링크를 통해 확인할 수 있다.

[1] “Supply chain reaction: securing the global digital ecosystem in an age of interdependence” 보고서에 따르면, 본 연구는 카스퍼스키 내부 마켓 리서치 센터가 수행했으며, 500명 이상 규모 기업에 속한 C레벨 임원부터 부사장, 팀 리드, 시니어 전문가까지 총 1,714명의 기술 전문가를 대상으로 진행되었다. 연구는 독일, 스페인, 이탈리아, 브라질, 멕시코, 콜롬비아, 싱가포르, 베트남, 중국, 인도, 인도네시아, 사우디아라비아, 터키, 이집트, 아랍에미리트, 러시아 등 16개국을 포함한다.