- 2025년 최대 사이버 위협으로 공급망 공격 지목…계약서에 정보보호 요건 반영한 기업 37%

 

카스퍼스키가 협력사 선정부터 운영, 계약 종료까지 공급망 전체를 관리하는 ‘에코시스템 기반 보안’ 전략을 제시했다. 공급업체를 계약하기 전 보안 수준을 검증하고 협업 기간에는 XDR·EDR과 위협 인텔리전스로 이상 행위를 추적하며, 계약이 끝나면 계정과 API 키 등 접근 권한까지 제거하는 방식이다. 카스퍼스키 조사에서는 공급망 공격이 2025년 기업이 직면한 가장 큰 사이버 위협으로 나타났지만, 협력사 계약에 정보보호 요구사항을 반영한 기업은 37%에 그쳤다.

 

협력사 선정부터 보안 수준 검증

기업의 시스템은 협력사와 공급업체, 서비스 제공업체까지 연결되면서 내부 보안만으로 전체 위험을 통제하기 어려워지고 있다. 공급망에 참여한 한 기업의 취약점이나 계정 탈취가 연결된 다른 조직으로 이어질 수 있기 때문이다. 카스퍼스키는 이를 개별 기업의 문제가 아닌 연결된 에코시스템 전체의 보안 문제로 보고, 협력사를 선정하는 단계부터 동일한 기준을 적용해야 한다고 설명했다. 공급업체 등록 절차와 데이터 처리 방식, 접근 권한, 최소 보안 수준을 사전에 정하고 ISO 27001이나 SOC 2 같은 보안 인증을 입찰 조건으로 활용하는 방안도 제시했다.  공개 정보 조사(OSINT)를 활용하면 취약점 공개 프로그램 운영 여부와 과거 CVE 이력, 버그 바운티 프로그램 등을 확인할 수 있다. 특히 발견된 취약점을 얼마나 빠르게 해결했는지를 살펴보면 공급업체의 실제 보안 대응 역량을 판단하는 자료로 활용할 수 있다.

 

계약서에 보안 책임·사고 대응 명문화

협력사를 선정한 뒤에는 보안 요구사항을 계약에 명확히 넣어야 한다. 카스퍼스키 조사에 따르면 공급망 위험을 줄이기 위해 협력사 계약서에 정보보호 요구사항을 포함한 기업은 37%에 불과했다. 계약에는 개인정보 보호와 암호화, 다중 인증(MFA), 안전한 소프트웨어 개발, 정기 보안 업데이트 같은 기술적 요건을 반영할 수 있다. 사고가 발생했을 때 협력사가 언제까지 이를 통보하고 조사와 대응 과정에서 어떤 역할을 맡는지도 미리 정하는 방식이다. 중요 시스템이나 핵심 소프트웨어를 공급받을 경우에는 인증과 데이터 처리, 통신을 담당하는 소스코드를 검토해 제품 내부의 위험 요소를 확인하는 방안도 제시했다.

 

XDR·EDR로 협업 기간 이상 행위 추적

계약 전 검증을 통과했더라도 위험이 사라지는 것은 아니다. 운영 과정에서 새로운 취약점이 발견되거나 협력사 계정이 탈취될 수 있고, 사용하는 오픈소스나 서드파티 솔루션에서도 공급망 취약점이 생길 수 있다. 카스퍼스키는 XDR·EDR을 이용해 비인가 접근과 이상 행위를 지속해서 확인하고, 위협 인텔리전스를 운영 환경과 연계해 새로 등장한 취약점과 공격 캠페인의 영향을 분석하도록 권고했다. 장기간 거래하는 공급업체는 최소 연 1회 보안 감사를 실시하고 침투 테스트와 협력사 환경을 가정한 모의 공격도 병행하는 방식이다.

 

소프트웨어 업데이트는 운영 시스템에 바로 적용하기보다 격리된 샌드박스에서 먼저 검증한다. 악성코드가 포함됐거나 정상적으로 동작하지 않는 업데이트가 실제 업무 환경으로 들어오는 것을 사전에 확인하기 위한 절차다. 공급망을 노린 사회공학 공격에도 대비해야 한다. 공격자가 협력사 임직원에게 피싱 메일을 보내거나 계정을 탈취한 뒤 내부 시스템으로 침투할 수 있어 자체 직원뿐 아니라 협력업체까지 보안 교육 대상에 포함하고, 공동 워크숍과 CTF 기반 실습 훈련을 진행하는 방안도 제시했다.

 

계약 끝나면 계정·API 키·클라우드 자원 회수

협력 종료 단계에서는 오프보딩 절차가 이어진다. 계정과 API 키, SSO 연동, VPN 프로필 등 외부 업체에 부여한 디지털 접근 권한을 비활성화하고, 협력사가 운영하던 클라우드 자원도 제거해야 한다. 외부 업체가 보유한 기업 데이터의 삭제 여부와 지식재산권 반환, 향후 기밀정보나 개인정보 접근 차단 여부도 확인 대상이다. 카스퍼스키는 공식 데이터 파기 증명서와 데이터 최소화 정책을 적용해 계약 종료 이후 남을 수 있는 정보 유출 위험을 관리하도록 권고했다.

 

카스퍼스키 세르게이 솔다토프 보안관제센터 총괄은 “최근 공급망 공격이 전 세계적으로 지속적으로 발생하면서 선제적인 대비는 더 이상 선택이 아닌 필수 요건이 됐다”며 “협력사의 선정부터 계약 체결, 공동 운영, 계약 종료에 이르기까지 공급망 전 과정에서 보안 체계를 구축하고 파트너와 지속적으로 협력하는 기업만이 사이버 복원력을 확보할 수 있을 것”이라고 밝혔다.

 

#카스퍼스키 #공급망보안 #공급망공격 #사이버보안 #XDR #EDR #위협인텔리전스 #OSINT #MFA #사이버복원력