수많은 파트너사 중 고위험군 업체는 기업의 핵심 데이터나 인프라에 직접 접근하거나, 서비스 중단 시 비즈니스 연속성에 치명적인 타격을 입히는 곳입니다. 보안 역량 평가는 NIST CSF 2.0의 거버넌스(GV.SC) 체계를 기준으로 SBOM 제출 요구, 글로벌 보안 인증 확인, 데이터 침해 시 통지 의무 준수 여부 등을 두루 점검해야 합니다.
제3자 사이버 리스크의 파급효과: Change Healthcare 사례
현대 기업의 인프라는 수많은 SaaS 및 외부 파트너사와 연결되어 있습니다. 이는 공급망 리스크가 단일 업체의 사고로 그치지 않고 생태계 전체로 확산될 수 있음을 보여줍니다.
대표적인 사례가 2024년 2월 21일에 발생한 Change Healthcare 랜섬웨어 공격입니다. 러시아 랜섬웨어 그룹인 ALPHV/BlackCat이 일으킨 이 공격으로 연간 150억 건의 의료 거래를 처리하는 시스템 상당 부분이 암호화되어 기능이 마비되었습니다. 이 사고는 환자 3명 중 1명의 기록에 영향을 미쳤으며, 전 미국 의료기관의 청구 처리가 멈추는 광범위한 결과를 낳았습니다.
특히 의료 제공업체들은 현금 흐름 문제로 임대료 지급이 어려워지거나 환자들이 필수 약물을 처방받지 못하는 등 실무적 피해가 컸습니다. 공격자는 최대 6TB의 데이터를 탈취했으며 약 2,200만 달러의 랜섬이 지급된 것으로 전해집니다. 이에 미국 사이버보안 및 인프라 보안국(CISA)은 해당 사건에 대해 공식 대응 애드버토리를 발간하며 제3자 리스크 관리의 중요성을 짚었습니다.
고위험 공급업체 분류 기준과 글로벌 프레임워크의 변화
공급망 리스크 관리(C-SCRM)는 단순 식별 단계를 넘어 기업 거버넌스의 핵심 영역으로 자리 잡았습니다.
1. NIST CSF 2.0의 거버넌스 체계 전환
2024년에 업데이트된 NIST CSF 2.0은 공급망 리스크 관리 범주를 기존 ‘Identify(식별)’ 기능에서 ‘Governance(거버넌스)’ 기능(GV.SC)으로 이전했습니다. 공급망 보안은 일회성 점검이 아니라, 조직의 이해관계자가 식별, 수립, 운영, 모니터링 및 개선해야 하는 지속적인 거버넌스 프로세스라는 뜻입니다.
2. 국내외 규제 및 로드맵 동향
공급망 보안 요구사항은 법적 의무로 구체화되고 있습니다.
- 미국 연방정부: 2021년 행정명령 EO 14028을 통해 연방정부에 소프트웨어를 공급하는 업체에 SBOM(Software Bill of Materials) 제출을 요구합니다.
- 한국 정부: 2026년 6월 ‘SW 공급망 보안 강화 로드맵’을 발표하였으며, 2026년부터 2028년까지 SBOM 제출, 보안적합성 검증 강화, 정보통신망법 개정 등을 단계적으로 구체화할 계획입니다.
- 금융권: 금융위원회 가이드라인에 따라 AI 도입 전후의 위험 식별, 상시 모니터링, 외부 서비스 연계 시의 공급망 점검 등 강화된 보안 통제가 필요합니다.
공급업체 보안 역량 평가 체크리스트
고위험군으로 분류된 공급업체를 평가할 때는 단순 설문 조사를 넘어, 증적 기반의 기술적·관리적 통제 항목을 꼼꼼히 살펴야 합니다.
1. 소프트웨어 투명성 및 구성 요소 점검 (SBOM)
소프트웨어 공급망 공격의 글로벌 피해액은 2023년 460억 달러에서 2031년 1,380억 달러까지 늘어날 것으로 추산됩니다. 따라서 공급업체가 제공하는 소프트웨어의 구성 요소를 명확히 파악하는 일은 필수적입니다. NTIA(National Telecommunications and Information Administration)는 2021년 SBOM의 최소 7개 데이터 필드를 다음과 같이 제시했습니다.
| 구분 | 필수 포함 데이터 필드 (최소 7개) | 비고 |
|:— |:— |:— |
| 구성 요소 | 컴포넌트 이름, 버전 | 소프트웨어 내부 모듈 식별 |
| 공급처 | 공급업체명 | 책임 소재 및 연락처 파악 |
| 관계 | 종속성 관계 | 컴포넌트 간의 연결 구조 |
| 식별 및 기록 | 고유 식별자, 작성자, 생성 시각 | 버전 관리 및 무결성 검증 |
2. 컴플라이언스 및 데이터 보관 요건 점검
공급업체가 처리하는 데이터 성격에 따라 적용되는 법적 보관 및 통지 요건은 다릅니다. 이를 계약서(SLA)에 명시하고 준수 여부를 확인해야 합니다.
- 침해 사고 통지: GDPR의 경우 개인 데이터 침해 발생 시 72시간 이내 통지를 의무화하고 있습니다.
- 데이터 보관 기간:
- SOX(Sarbanes-Oxley Act): 공시기업의 회계 감사 기록 및 내부 통제 문서에 대해 7년 보관 요건을 적용합니다.
- HIPAA: 개인건강정보(PHI) 관련 정책 및 절차 문서에 대해 6년 보관 요건을 둡니다.
3. 핵심 보안 통제 항목 리스트
실무적으로 공급업체 평가 시 반드시 확인해야 할 리스트는 다음과 같습니다.
- 접근 권한 관리: 최소 권한 원칙(Least Privilege)이 적용되어 있는지, 공급업체의 접속 계정에 대해 MFA(다요소 인증)가 강제되는지 점검합니다.
- 인증 보유 현황: ISO 27001, SOC 2 등 글로벌 표준 인증의 최신 유지 상태와 감사 보고서의 범위(Scope)가 제공 서비스와 일치하는지 검토합니다.
- 사고 대응 체계: 보안 사고 발생 시 기업에 통지하는 프로세스가 정의되어 있는지, 그리고 앞서 언급한 GDPR 등 관련 법규의 통지 시한을 준수할 수 있는 체계인지 평가합니다.
- 지속적 모니터링: NIST CSF 2.0(GV.SC)에 따라 공급망 리스크 관리 프로세스가 지속적으로 모니터링되고 개선되고 있는지 확인합니다.
보안 담당자와 리스크 관리자는 이러한 객관적 기준으로 공급업체를 등급화하고, 고위험군 업체에 대해서는 더 엄격한 SBOM 제출 요구와 정기적인 보안 감사를 진행함으로써 제3자로부터 유입되는 사이버 리스크를 줄여야 합니다.