반도체 전문 온라인 매거진 - 올포칩

글로벌 사이버 보안 선도 기업인 카스퍼스키(Kaspersky)가 기업의 공급망 전반을 하나의 연결된 보안 체계로 관리하는 에코시스템 기반 공급망 보안 전략을 제시했다. 카스퍼스키는 공급망 공격이 기업이 직면한 가장 큰 사이버 위협으로 부상함에 따라 협력사 선정부터 운영, 계약 종료에 이르는 전체 수명주기 전반에 걸친 통합적인 관리 체계 구축이 필수적이라고 강조했다.

오늘날 기업들은 수많은 협력사와 공급업체, 서비스 제공업체와 유기적으로 연결된 생태계 안에서 운영된다. 이에 따라 단 한 곳의 협력사에서 발생한 보안 취약점도 기업 전체의 운영과 신뢰도, 비즈니스 연속성에 치명적인 타격을 줄 수 있다. 실제로 카스퍼스키 내부 시장조사센터의 조사 결과에 따르면 공급망 공격은 기업의 최우선 위협 요소로 꼽혔으며, 외부 파트너 네트워크가 광범위한 대기업일수록 이러한 위험에 노출될 가능성이 높은 것으로 나타났다.

세르게이 솔다토프(Sergey Soldatov) 카스퍼스키 보안관제센터 총괄은 "최근 공급망 공격이 전 세계적으로 지속해서 발생하면서 선제적인 대비는 더 이상 선택이 아닌 필수 요건이 됐다"라며 "협력사의 선정부터 계약 체결, 공동 운영, 계약 종료에 이르기까지 공급망 전 과정에서 보안 체계를 구축하고 파트너와 지속적으로 협력하는 기업만이 사이버 복원력을 확보하는 것은 물론 장기적인 경쟁 우위까지 확보할 수 있을 것이다"라고 말했다.

수명주기별 통합 통제와 사전 검증 체계 구축

카스퍼스키가 제안한 에코시스템 기반 보안 방식은 공급망의 어느 한 지점에서 발생한 취약점도 결국 기업 전체의 위험으로 번질 수 있다는 전제 아래 모든 참여 조직에 동일한 보안 기준과 책임, 통제 체계를 적용하는 데 주력한다. 첫 번째 방어선인 계약 이전 단계에서는 등록 절차, 데이터 처리 방식, 접근 권한 관리 등 내부 보안 기준을 명확히 정의하고 공개 정보 조사(OSINT)와 과거 CVE 이력을 확인해 사전 검증을 진행해야 한다. 조사에 따르면 계약서에 정보보호 요구사항을 명시하는 기업은 37%에 불과한 실정이므로, 다중 인증(MFA)과 안전한 코드 작성 등 기술적 기준과 사고 대응 절차를 계약 단계부터 명문화하는 조치가 시급하다.

협력 기간에는 XDR 및 EDR 기반의 지속적인 모니터링을 통해 이상 행위를 조기에 탐지하고 위협 인텔리전스를 실제 운영 환경과 연계해 분석해야 한다. 또한 소프트웨어 업데이트는 샌드박스 환경에서 사전 검증을 거쳐 악성코드 유입을 차단하고 임직원과 협력사를 대상으로 실습형 CTF 기반의 통합 교육을 실시해야 한다. 계약 종료 시점에는 체계적인 오프보딩 절차를 적용해 API 키, VPN, SSO 연동 등 디지털 접근 권한을 즉시 비활성화하고 완전한 데이터 파기를 검증함으로써 보안 허점을 원천 차단해야 한다.

지속 가능한 파트너십을 통한 기업 사이버 복원력 확보

공급망 보안은 일회성 점검에 그치지 않고 장기 협력 과정에서 최소 연 1회 이상의 정기 보안 감사와 모의 침투 테스트를 병행해야 완성도를 높일 수 있다. 카스퍼스키는 이러한 수명주기별 보안 통제 체계가 단순한 기술적 방어를 넘어 기업의 지속 가능한 비즈니스 경쟁력으로 직결된다고 설명한다.

이번 전략 제시는 복잡해지는 글로벌 ICT 환경에서 공급망 전체의 사이버 복원력을 높이는 실질적인 이정표가 될 전망이다. 기업이 파트너와 함께 상호 신뢰할 수 있는 보안 생태계를 조성할 때 외부 위협에 흔들리지 않는 견고한 방어 체계를 완성할 수 있을 것으로 기대된다.