의 SolarWinds 공격( )은 사이버 보안 커뮤니티의 거의 모든 이들의 주목을 끌었습니다. 자신이 속한 조직이 해킹 피해를 입지 않았다는 사실에 틀림없이 무척이나 감사해하는 최고정보보안책임자(CISO)들이 수없이 많습니다. 하지만 누가 다음 대규모 공급망 공격의 피해자가 되지 않을 것이라고 장담할 수 있겠는가? 다음 기회가 있을 테니까요.
타사 소프트웨어, 하드웨어, 서비스 제공업체 등 어떤 경우를 막론하고, 조직들은 여전히 사이버 위험에 대한 보증을 제공하기 위해 신뢰와 수작업 방식, 스프레드시트 기반의 접근 방식에 지나치게 의존하고 있다. 우리 업계는 풍부하고 정량적인 데이터와 신뢰할 수 있는 제3자의 검증 및 평가를 결합한, 더 나은 업무 방식을 마련해야 합니다.
물론 공급망을 처음부터 끝까지 관리해야 할 때는 어려움이 더욱 커집니다. 귀사가 이용하는 제3자의 제3자가 시행하는 보안 관행을 보증할 수 있습니까? 전 세계의 여러 기관들은 수년 동안 이 문제로 고심해 왔으며, 이에 대한 간단한 해답은 없습니다. 한 가지 확실한 점은, 모범 사례에 따른 공급망 보안은 항상 가시성, 즉 자사의 IT 자산과 파트너사의 IT 자산에 대한 가시성 확보에서 시작되어야 한다는 것입니다.
이러한 ‘기본으로 돌아가기’ 방식만이야말로 위험 노출도를 산정하는 데 도움이 되는 다음과 같은 근본적인 질문들에 대한 답을 찾아갈 수 있는 출발점이 됩니다. 귀사의 공급업체는 어디인가요? 그들의 보안 성숙도는 어느 정도인가요? 그들은 어떤 데이터에 접근할 수 있나요? 그럼 사람들은 그것을 어떻게 사용하나요?
공급망의 문제점
현대 공급망의 복잡성 때문에 위험 관리 노력이 순식간에 통제 불능 상태에 빠질 수 있다. 수십 년 동안 많은 조직이 공급업체 위험을 산정하기 위해 지나치게 단순화된 질문(예: ‘ 패치 관리 프로그램이 있습니까??’)에 기반한 수동 프로세스와 감사를 사용해 왔다는 점도 상황을 더 어렵게 만듭니다. 이러한 접근 방식은 이분법적인 반응이나, 어떠한 형태의 제3자 검증으로도 확인될 수 없는 매우 주관적인 답변을 이끌어낼 수 있습니다.
SolarWinds 사건의 여파를 예로 들어 보자. 일부 조직은 공급업체에 “귀사의 환경에 SolarWinds Orion의 취약점이 있는 버전이 있었습니까?”라고 물었습니다. 하지만 이로 인해 도출된 “예/아니오” 식의 응답만으로는 중요한 위험 계산을 뒷받침하기에는 부족합니다. 만약 해당 공급업체의 자산 및 애플리케이션 관리 프로세스가 미흡했다면, 그들도 확실한 답을 알지 못했을 수도 있습니다. 그리고 부분적이거나 불완전한 데이터에 근거한 확신이 무슨 소용이 있겠습니까?
나중에 살펴보겠지만, 성숙한 조직들은 보다 개방형 질문을 더 많이 던졌습니다(예: 귀사는 위협 모델링을 어떻게 접근하고 있습니까? (패치 관리에 대한 귀하의 접근 방식을 설명하십시오.) 이러한 보다 포괄적인 질문들에 답함으로써, 공급업체의 보안에 대해 훨씬 더 확실한 확신을 얻을 수 있습니다.
또한 일부 조직은 수작업으로 스프레드시트를 활용하는 방식을 벗어나, 공급업체의 보안 상태를 보다 철저하게 산출하려는 기술적 솔루션을 도입하려 시도해 왔다. 그러나 많은 서비스는 제한된 기준과 주관적인 평가 점수에 기반해 공급업체에 대한 불완전하고 “외부에서 내부로 바라본” 관점만을 제시하는 데 그칠 것입니다. 그것들은 종합적이지 못해서 별 도움이 되지 않는다.
이건 빙산의 일각에 불과합니다. 공급망 보안과 관련된 그 밖의 과제로는 다음과 같은 것들이 있습니다:
보안/위험 관리 팀의 개입이 너무 늦었다:
공급망 거버넌스는 종종 온보딩 과정에서 너무 늦은 시점에 이루어집니다. 그때가 되면 위험을 완화하거나 제거하기에는 이미 너무 늦을 수도 있습니다. 보안 및 리스크 팀은 경영진으로부터 새로운 거래에 대한 승인을 내주라는 엄청난 압력을 받을 수 있다. “거절만 하는 부서”로 비춰지는 것을 꺼리는 CISO들은 어쩔 수 없이 그렇게 할 수밖에 없다고 느낄 수 있다.
재인증은 이루어지지 않습니다:
신규 고객 유치 전 철저한 실사도 중요하지만, 해당 관계에 대한 정기적인 재평가 역시 매우 중요합니다. 원래는 테스트 데이터만을 사용하여 소수의 개발자에게만 서비스를 배포했던 SaaS 제공업체일 수도 있습니다.
현재 그 앱은 수백 명의 직원이 사용하고 있으며, 중요한 업무 정보를 처리하고 있을 수 있습니다. 위험이 변화함에 따라 이를 능동적으로 관리하기 위해서는 정기적인 재인증이 필수적입니다. 안타깝게도 많은 조직에서 공급망 보안은 “한 번 설정해 두고는 신경 쓰지 않는” 상태입니다.
전 과정에 걸친 가시성 및 보장:
제3자 리스크 관리는 한 가지 문제이지만, 공급망의 상류나 하류로 갈수록 관리하기가 더 어려워집니다. 공급업체의 공급업체는 어떻습니까? 그들의 공급업체는 어떨까요? 여기서 문제가 되는 점은 공급업체 리스크를 종단 간(end-to-end)으로 관리하는 데 있어 업계 전반에 걸쳐 일관된 모범 사례가 없다는 것입니다.
저는 공급업체들에게 위협 모델과 위험 분석을 바탕으로 한 상세한 데이터를 제공해 줄 것을 요청하지만, 공급업체들이 자사 파트너사를 검증하는 절차는 대개 형식적이고 피상적인 점검에 그칠 수 있습니다. 공급망의 각 구성 요소가 서로 다를 경우, 전체 공급망에 걸친 종합적인 위험을 평가하는 것은 매우 어려워집니다.
다음에는 어떻게 될까요?
모든 조직은 어느 정도 이러한 과제에 직면해 있으며, 사이버 보안 체계가 비교적 잘 갖춰진 조직조차 예외는 아닙니다. 그렇기 때문에 기본으로 돌아가, 우선 공급업체가 누구인지, 보안 성숙도는 어느 정도인지, 그리고 데이터를 사용하는지 여부와 그 방식은 어떤지 등 기본적인 질문들에 답해 보는 것이 도움이 됩니다.
이는 결국 가시성 문제로 귀결됩니다. 즉, 어떤 IT 자산을 보유하고 있는지, 그 자산에서 어떤 것이 실행되고 있는지, 그리고 어떤 타사 의존성이 있는지 파악하는 것입니다. 말로는 간단하지만, 실제로 해내기는 항상 쉬운 일은 아닙니다.
이러한 투명성은 공급업체들에게도 확대되어야 합니다. 엔드포인트의 현황과 설치된 소프트웨어 버전을 파악하기 위해서는 IT 자산에 대한 포괄적이고 정확한 목록을 제공할 수 있어야 합니다. 또한 위험을 동적으로 완화하기 위해 신속하게 패치를 적용할 수 있어야 합니다.
이는 공급업체의 보안 태세 전반에 걸친 성숙도를 종합적으로 평가하기 위한 노력의 일환이 되어야 합니다. 즉, 특정 시점의 — 종종 불완전한 — 패치 및 취약점 원격 측정 데이터뿐만 아니라, 위협 모델링, 안전한 소프트웨어 개발, 보안 아키텍처 등에 대한 공급업체의 접근 방식 등도 함께 고려해야 합니다.
“악성 SolarWinds Orion 업데이트를 실행하고 있었습니까?”와 같은 구체적인 질문에 초점을 맞추고 있습니다. 특정 시점에서는 겉보기에는 확실한 보장을 제공하지만, 다음 번 전 세계적인 사이버 공격이 발생하면 아무런 도움이 되지 않을 것입니다. 효과적인 공급망 보안을 위해서는 훨씬 더 포괄적인 접근 방식이 필요합니다.
이러한 정량적 데이터를 확보한 후에는, 제3자의 검증 및 평가 결과와 결합하여 각 공급업체의 위험 요소를 360도 전방위적으로 파악하십시오. 이 문제를 해결하는 데 도움이 될 수 있는 국제 표준을 참고해 보시는 것도 좋습니다. 예를 들어, , ISO 27001 등이 있습니다.
최소한의 요구 사항들을 정의하고 이를 계약서에 명시하십시오. 이를 통해 우리 중 여전히 너무 많은 이들이 고수하고 있는, 임의적이고 스프레드시트 기반의 검증 방식에 대한, 보다 일관성 있고 데이터 기반의 대안을 마련하는 데 도움이 될 것입니다.
다음은 고려해야 할 몇 가지 다른 사항입니다:
- 새로운 공급업체 실사 절차에 보안/리스크 팀을 가능한 한 초기 단계부터 참여시키십시오. 요구 사항은 제공되는 서비스의 민감도에 근거하여 정해져야 합니다.
- 보안 재인증은 정기적으로 수행되어야 하며, 제공되는 서비스의 중요도에 맞춰야 합니다.
- 주요 적대 세력이 누구인지, 어디를 공격할지, 그리고 어떤 방식으로 공격할지 더 잘 파악하기 위해 포괄적인 위협 모델링 및 위험 분석을 수행하십시오. 이는 귀사의 공급망 보안 전략 수립에 도움이 될 것입니다.
- 최악의 상황이 발생할 경우를 대비하여, 공급업체들이 정보 유출 사고 발생 시 명확한 신고 절차를 갖추고 있는지 확인하십시오.
- 공급업체의 보안 소프트웨어 개발 수명 주기(SDLC)에 대한 접근 방식을 파악하십시오. 해당 공급업체의 개발자들은 애플리케이션 보안 분야에서 어떻게 교육을 받고 자격을 취득하고 있습니까? 정적 분석과 동적 분석에 대한 그들의 프로세스는 어떻게 되나요?
- 최악의 상황이 발생했을 때 어떤 대응이 바람직한지 파악할 수 있도록 사고 대응 매뉴얼을 마련하십시오.
이 목록은 모든 사항을 망라한 것은 아니며, 종단간 공급망 보증이라는 과제를 다루지 않고 있다는 점을 아실 수 있을 것입니다. 이는 우리 업계가 좀 더 신중하게 고민해야 할 주제입니다.
IT 환경의 상태를 파악하고 싶으신가요? 에서 무료 위험 평가를 신청하여 귀사의 엔드포인트 현황을 파악하고, 주요 취약점을 식별하며, 사이버 위험 점수를 확인하고, IT 보안 상태를 개선하는 방법을 알아보세요.
