반도체 전문 온라인 매거진 - 올포칩

글로벌 사이버 보안 리더 카스퍼스키(Kaspersky)의 연구에 따르면, 기업의 2/3(69%) 이상이 사이버 공격에 대한 대응력을 확보하기 위해 협력업체 및 공급업체의 보안에 투자할 의향이 있는 것으로 나타났다. 추가로 전체 기업의 1/4(25%)은 이미 이를 실제 실행에 옮기고 있다. 이는 기업들이 협력업체를 단순한 외부 공급자가 아니라 하나의 보안 체계를 함께 책임지는 핵심 파트너로 인식하기 시작했다는 방증이다.

공급망 리스크 고조에 따른 대기업 주도의 보안 생태계 확장

최근 1년간 공급망 공격이 약 3개 기업 중 1개를 겨냥하고 신뢰 관계를 악용한 공격이 전체 기업의 25%에 영향을 미친 상황에서, 조직들은 내부 보안 접근 방식을 근본적으로 재검토하고 있다. 자사 인프라와 시스템에 접근 권한을 가진 협력업체의 보안 수준이 곧 자사의 사이버 리스크와 직결되기 때문이다. 설문 조사 결과 자사의 사이버 회복력 강화를 위해 협력업체 보안 투자를 고려 중인 비율은 인도(83%), 인도네시아(80%), 러시아(80%), 브라질(76%) 순으로 높게 관측됐다.

동시에 홍콩 및 대만(33%), 스페인(33%), 터키(31%), 베트남(31%) 등의 국가에서는 이미 협력업체와 보안 비용을 분담하는 구체적인 행동에 돌입했다. 카스퍼스키 세르게이 솔다토프(Sergey Soldatov) 보안 운영 센터(SOC) 책임자는 "보안은 더 이상 조직 내부 경계에서 끝나서는 안 되며 전체 생태계로 확장되어야 한다"며 "대기업이 자원과 전문성을 공유함으로써 중소 협력업체의 보안 격차를 해소하고 전체 의존 관계 체인의 취약 지점을 강화해야 한다"고 설명했다.

공급업체 사전 평가와 계약 기반 보안 요구사항 적용

카스퍼스키는 공급망 리스크를 완화하기 위해 소프트웨어 공급업체에 대한 엄격하고 증거 기반의 평가를 포함한 조직적 보안 조치 강화를 권장한다. 우선 계약 체결 전 잠재 공급업체의 사이버 보안 정책, 과거 사고 이력, 산업 표준 준수 여부를 철저히 평가해야 한다. 특히 소프트웨어 제품 및 클라우드 서비스의 경우 취약점 및 침투 테스트 데이터를 수집하고 필요 시 동적 애플리케이션 보안 테스트(DAST)를 수행하는 것이 효과적이다.

또한 공급업체와의 계약서에는 정기 보안 감사 수행, 조직의 보안 정책 준수, 사고 발생 시 통지 프로토콜 등 구체적인 정보 보안 요구사항을 명시해야 한다. 아울러 기술적으로는 최소 권한 원칙과 제로 트러스트(Zero Trust) 및 강력한 신원 관리 체계를 적용하여 공급업체가 침해되더라도 자사 내부로 피해가 확산되는 것을 선제적으로 차단해야 한다.

가치사슬 전반의 회복력 내재화와 국내 디지털 인프라 보호

이번 조사 결과는 한국 산업을 겨냥한 고도화된 공급망 공격이 증가하는 현 시점에도 시사하는 바가 크다. 제3자 파트너와 협력업체가 보안 생태계의 핵심 연결 고리로 부상함에 따라, 수동적인 방어에서 벗어나 가치사슬 전반에 걸친 회복력 내재화가 요구되는 시점이다.

카스퍼스키코리아 이효은 지사장은 "사이버 보안은 더 이상 개별 기업만의 문제가 아니며 하나의 취약점이 전체 시스템 리스크로 이어질 수 있다"며 "공급업체와의 적극적인 협력과 보안 전문성 공유를 통해 하나의 통합된 생태계로 대응할 때만 진화하는 사이버 위협으로부터 한국의 디지털 인프라를 안전하게 보호할 수 있다"고 강조했다.