공급망 최적화로 IoT 보안 격차 해소하기

전통적 사이버보안 전술은 인터넷오브싱스(IoT) 기기 보호에 종종 부족합니다. 많은 제조사가 알려진 위협만 차단하는 고립된 시스템에 의존해 더 광범위한 신흥 위험을 방치합니다. IoT 공급망을 '신뢰의 공급망(Supply Chain of Trust)'으로 재정의하는 더 전체적 접근법이 견고한 보안으로 가는 실용적 경로를 제시합니다.

2016년 IoT 보안 재단(IoT Security Foundation)이 신뢰의 공급망을 주창하며 단일 주체가 IoT 보안을 소유하지 않음을 강조했습니다. 대신 생태계의 모든 벤더가 직접 고객과 더 넓은 네트워크 보호에 공동 책임이 있습니다.

제조사 입장에선 모든 소프트웨어·하드웨어 구성요소를 추적하고 보안 태세를 평가하며 각 레이어에서 보호를 소유하는 것을 의미합니다. 단순하지만 종종 간과되는 원칙으로 취약점을 극적으로 줄일 수 있습니다.

문제

가트너에 따르면 글로벌 IoT 시장은 2016년 60억 기기에서 2017년 예상 80억 기기로 성장했습니다. 이는 산업 전반의 급속한 채택을 알립니다. 그러나 대부분 기업은 제품 설계에만 집중하며 해당 기기를 구동하는 구성요소 보안은 등한시합니다.

새 와이파이 지원 가젯을 출시하는 기업을 생각해 보세요. 독자 와이파이 칩 개발 대신 서드파티 공급사에서 대량 생산 칩을 조달할 겁니다. 제조사가 칩 출처, 펌웨어, 잠재적 공격 벡터를 검토하지 않으면 결과물은 그 약점을 물려받아 제품 전체가 취약해집니다.

IoT 기기 보안은 가장 약한 링크만큼만 강하기 때문에 구성요소 무결성 간과는 시스템적 리스크가 됩니다. 표준화된 사이버보안 거버넌스 부재와 업계 전반 모범사례 미채택이 이 격차를 부채질합니다.

해결책은?

장기적으로 산업 인증 프로그램이 안전한 IoT 제품의 명확한 벤치마크를 제공할 것입니다. 그런 표준이 성숙할 때까지 오늘 방어를 강화할 두 가지 실질적 조치가 있습니다.

첫째, 구매자—개인이든 기업이든—는 검증된 보안 기록을 가진 벤더에 실사를 수행해야 합니다. 비용 평가 시 미보안 기기 배포로 발생할 잠재적 침해 비용을 고려하세요.

둘째, 제조사는 모든 하드웨어 구성요소에 보안을 통합해야 합니다. 예를 들어 테이저(Taser)는 제품 출시 전 하드웨어, 소프트웨어, 보안을 평가하는 내부 교차기능팀을 둡니다. 이 선제적 전략으로 각 구성요소가 전체 보안 아키텍처와 정렬되고 엄격한 침투 테스트를 거치도록 보장합니다.

보편적 인증 부재 시 책임은 기업이 공급망 전반에 보안을 내재화하는 데 있습니다. 그렇게 함으로써 중요한 격차를 메우고 제공하는 기기에 대한 신뢰를 구축할 수 있습니다.