제3자 벤더 사이버 보안 리스크 평가를 위한 필수 5가지 질문

마케팅 컨설턴트, 공급망 파트너부터 회계사, IT 서비스 제공업체까지, 오늘날 조직은 사실상 모든 비즈니스 기능에 제3자를 의존합니다.

포네몬 인스티튜트(Ponemon Institute) 최근 연구에 따르면, 제3자 의존의 의도치 않은 결과로 미국 조직의 61%가 제3자 또는 벤더로 인한 데이터 유출을 경험했습니다. 기업의 57%는 자사 벤더의 보안 정책과 방어가 유출을 적절히 방지할 수 있는지 판단할 수 없으며, 절반 미만이 민감하거나 기밀 정보 공유를 요구하는 비즈니스 계약 체결 전 벤더의 보안 및 프라이버시 관행을 평가합니다.

따라서 동일 연구에서 응답자의 단 16%만이 자사를 제3자 리스크 완화에 '매우 효과적'이라고 평가한 것은 놀라운 일이 아닙니다. 사실 아웃소싱 리스크 관리를 우선순위에 두는 기업은 소수에 불과합니다.

관계 초기에 리스크 줄이기

제3자 리스크를 줄이기 가장 좋은 시기는 관계의 바로 시작, 즉 계약 체결 전입니다. 그때 귀사가 떠안게 될 잠재적 노출을 식별하고, 침해를 피하는 최선의 방법을 찾아야 할 때입니다. 강력한 보안 관행을 가진 벤더는 보통 기꺼이 그에 대해 이야기하지만, 그런 논의를 피하는 벤더는 숨기는 것이 있을 수 있습니다. 이를 염두에 두고 제3자 고려 시 물어야 할 5가지 질문(내부 1개, 진지한 후보자에게 4개)을 소개합니다.

1. 내부 질문: 제3자가 어떤 데이터와 시스템을 보유하거나 접근하는가?

많은 제3자는 민감한 데이터나 시스템에 접근하지 않으므로, 그들이 유출을 겪어도 귀사에 대한 위협은 미미합니다. 조경 업체 예를 들어보면, 데이터나 시스템 접근이 거의 없고 시설 내부에 접근할 일도 없습니다. 접근할 수 있는 유일한 전산망이 관개 시스템 정도일 텐데, 이는 내부 기업 시스템과 격리되어 있을 가능성이 큽니다. 따라서 이 가상 조경 업체의 잠재적 유출은 영향이 거의 없거나 없을 것으로 예상됩니다.

반면 HR 제공업체, 재무 시스템 또는 벤더는 완전히 다릅니다. 예를 들어 마케팅이나 비즈니스 전략 지원을 위해 고객 분석 개발 컨설턴트를 고용한다면, 그 업체는 고객 신용카드 번호, 자택 주소, 기업 재무 등 회사 데이터를 폭넓게 접근할 수 있습니다. 이런 유형의 컨설턴트는 신중하게 심사해야 합니다.

2. 제3자는 어떤 로깅과 모니터링을 수행하는가?

로깅과 모니터링은 조직이 환경 내 활동을 기록하고 대응하는 주요 수단입니다. 하지만 시스템 및 네트워크 활동 로그는 장황합니다. 오늘날 여러 다양한 시스템과 고대역폭 네트워크로 구성된 현대 컴퓨팅 환경에서 로그 이벤트 양은 인간이 관리하기에 금방 압도적으로 변합니다. 보안 이벤트를 제대로 모니터링하려면 이 이벤트를 저장하고 분류(Triage)하는 도구가 배포되어야 합니다. 벤더의 인력과 도구 선택을 알면 그들이 보안을 얼마나 심각하게 받아들이는지 이해할 수 있습니다. 결국 사람 + 도구 = 비용 = 리소스 = 우선순위입니다. 보안을 우선시하고 투자하는 파트너를 찾으십시오.

3. 제3자는 물리적·기술적 접근 통제를 어떻게 관리하는가?

접근 통제는 취약성을 줄이고 따라서 리스크를 줄이는 한 가지 방법입니다. 물리적과 기술적 두 가지 주요 형태가 있습니다. 초연결 세상에서 물리적 통제의 중요성을 잊기 쉽습니다. 제3자가 데이터를 저장, 처리, 전송하는 물리적 위치와 그 위치의 물리적 보안 수준을 파악해야 합니다. 데이터가 모바일 기기에 저장되는 경우, 해당 기기와 관련된 보안 통제를 이해하는 것이 중요합니다. 기기가 항상 정적인 물리적 위치에 있는 것은 아니기 때문입니다.

기술적 접근 통제도 시스템과 네트워크 평가에 중요합니다. 귀사 데이터에 접근할 인원이 몇 명이고 어떤 목적인지 물어보십시오. 제3자가 다중 인증(MFA)을 어떻게 사용하는지, 관리자 그룹 사용자가 얼마나 자주 검토되는지, 시스템 권한이 얼마나 자주 검토되는지, 퇴사자 접근 권한이 어떻게 제거되는지 이해하십시오. 또한 네트워크 세분화 관행과 도구가 어떻게 사용되는지 파악하십시오. 예를 들어, 프로덕션 시스템을 인터넷 같은 다른 환경으로부터 격리하기 위해 어떤 통제가 있는가? 제3자는 내부 네트워크를 어떻게 세분화하는가?

종종 좋은 물리적 접근 통제가 약한 기술적 통제를 보완하고, 그 반대도 가능합니다. 하지만 모범 사례는 서비스 제공에 필요한 개인만 데이터와 시스템에 물리적·기술적으로 접근하도록 제한하는 것입니다. 느슨한 접근 통제는 공격 표면을 넓히고 귀사의 리스크를 증가시킵니다.

4. 제3자는 시스템 패칭(Patching)에 어떤 접근 방식을 취하는가?

알려지지 않았거나 공개되지 않은 취약점은 극적이고 많은 관심을 끌지만, 드뭅니다. 조직은 알려지지 않은 취약점보다 알려진 취약점에 더 위험합니다. 결과적으로 제3자는 알려진 취약점을 신속히 수정하는 강력한 프로그램을 갖추어야 합니다. 결함을 업데이트하고 근본적인 취약 소프트웨어를 제거하는 보안 패치를 빠르게 적용함으로써 말입니다.

주요 소프트웨어 벤더는 정기적 주기로 업데이트를 릴리스합니다. 제3자 검토 시, 귀사 데이터를 처리, 저장, 전송하는 시스템이 정기적이고 시기적절한 업데이트를 받을 것이며, 즉각적이고 치명적인 취약점에 대한 신속 프로세스가 존재한다는 확신을 가져야 합니다.

5. 제3자는 독립적 감사나 테스트를 받는가? 어떤 보안 인증을 획득했는가?

감사는 조직에 책임을 부여합니다. 제3자는 SIG Lite나 CSA CAIQ 같은 표준화된 보안 설문지를 작성하고 최신 상태로 유지하며 자가 감사를 수행해야 합니다. 자가 평가 외에도 독립적 감사는 제3자가 자사 정책과 절차를 따르고 있음을 안심시켜 줍니다. 독립적 감사에는 침투 테스트나 SOC 2가 포함될 수 있습니다. 일부 산업은 의료 분야의 HITRUST, 결제 프로세서의 PCI, 미국 연방 정부의 FedRAMP 같은 고유 인증을 가집니다. 모든 경우에 독립적 감사는 중요하며, 검증된 공식 정보 보안 프로그램 유지 의지를 보여줍니다.

종합적 판단

이 핵심 영역들에 대한 논의를 종합하면 벤더의 보안 태세(Security Posture)를 가늠할 수 있습니다. 벤더의 답변이 투명하고 전략적 우선순위와 사전 예방적 근면함을 나타내면 더 자신 있게 진행할 수 있습니다. 벤더의 보안 태세가 미성숙하다면 리스크를 감수하거나, 이를 통제하기 위한 다른 완화책을 고려해야 합니다.

데이터 보안을 사후 고려 사항으로 두지 마십시오. 제품과 서비스 논의의 필수 부분으로 만드십시오. 방대하고 정교한 공격이 만연한 오늘날 환경에서 사이버 보안 은 비즈니스 문제입니다. 귀사의 리스크를 이해하기 위해 실사(Due Diligence)를 수행해야 합니다.

작성자: 제레미 하스(Jeremy Haas) 최고보안책임자, 라이언 버그퀴스트(Ryan Bergquist) 사이버보안 애널리스트, LookingGlass Cyber Solutions.