시스코의 5단계 청사진: 견고한 서드파티 사이버보안 구축

자사 비즈니스 울타리 내 사이버보안을 강화하는 것도 벅찹니다. 그런데 글로벌 공급망을 구성하는 파트너 군단 전체에 대해 똑같이 하라니? 그건 거의 불가능에 가깝습니다.

일주일이 멀다 하고 주요 기업의 공급망을 겨냥한 사이버 공격 소식이 들려옵니다. 그리고 그 침투 경로는 대개 통제가 약한 서드파티인 경우가 많습니다.

현대 공급망에서의 서드파티 정의

현대 공급망에서 서드파티는 부품, 제품, 서비스, 지원, 소프트웨어 등을 판매하는 어떤 엔티티든 될 수 있습니다. 시스코 시스템즈(Cisco Systems) 글로벌 밸류 체인 최고보안책임자(CSO) Edna Conway는 "내게 서드파티는 가치 사슬 단계 중 어느 시점에서든 우리 솔루션에 실제로 관여하는, 우리를 제외한 누구나를 포함합니다."라고 말합니다.

시스코는 '밸류 체인(Value Chain)'이라는 용어를 선호합니다. 이는 여러 기업과 컨설턴트가 '공급망(Supply Chain)'을 대체하려 시도했지만 성공하지 못한, 제품의 시장까지 엔드투엔드 여정을 설명하는 일반적인 용어입니다. 하지만 기업의 유행어 채택 여부와 상관없이, 파트너의 확산이 심각한 사이버보안 이슈를 야기한다는 데는 의심의 여지가 없습니다. 적절한 시스템과 절차가 없으면 그들 중 누구라도 경쟁사, 정부, 갈취범, 심지어 지하실 해커 같은 악의적 행위자의 먹잇감이 될 수 있습니다.

Conway의 서드파티 사이버보안 5단계 접근법

1. 공급망의 '누가(Who), 무엇(What), 어디(Where)'를 알라

자명해 보이지만, 많은 기업이 비즈니스에 어떤 방식으로든 기여하는 모든 당사자를 파악하지 못합니다. 특히 다중 티어 공급망에서는 더욱 그렇습니다. 오늘날 다중 티어 구조에 의존하지 않는 제조 제품을 떠올리기는 어렵습니다.

2. 그 모든 당사자와 효과적으로 소통할 방안을 마련하라

Conway가 말하는 건 지정학적 이슈나 공급 연속성을 다루는 모든 상호작용이 아닙니다. 구체적으로 보안 이슈를 다루는 상호작용입니다. 그녀는 세 가지 주요 위협 유형을 설명합니다: 조작(정보 변경), 첩보(국가 차원 및 산업), 방해(비즈니스 셧다운 시도). 소프트웨어 라이선스 개발자나 서드파티 클라우드 서비스 프로바이더에게 이 세 위협 모두에 대비하는 것의 중요성을 각인시키기란 어려울 수 있습니다. 공장 현장 작업자들도 라인 가동에 집중하느라 마찬가지입니다. "보안을 누구나 어떤 역할에서든 일상적 사고의 일부로 만들려면 훈련이 필요합니다."라고 Conway는 말합니다.

3. '유연하고 탄력적인' 아키텍처 개발

시스코의 공급망 보안 접근법은 프로세스 복잡성을 반영하는 11개 개별 도메인을 포괄합니다. 설계, 개발, 전달, 서비스: 각 분야가 서드파티와 관계를 맺으며, 조직 안팎으로 수많은 약한 고리를 만듭니다. 이 전략은 다양한 생산 영역이 각자 운영에 고유한 가이드라인을 필요로 한다는 사실을 고려합니다. "요구사항을 매핑할 수 있게 썼습니다. 그래서 당신에게 납품하는 것의 성격에 기반한 것만 적용되게 합니다. 모두가 맞춤형 버전을 받습니다."라고 Conway는 설명합니다.

4. 모든 서드파티와의 모든 일에 보안을 내재화하라

Conway는 기업에 묻기를 권합니다: "왜 그들을 쓰며, 우리 서비스 지표에 따라 그들이 어떻게 수행하고 있는가?" 아이러니하게도 '품질'이 현수막과 사내 행사로 외쳐지던 시절, 그 개념은 조직 내에 '설득력 있게 내재화'되지 않았습니다. 이제 사이버보안에 있어 품질은 슬로건이나 개별 기능이 아닙니다. Conway에 따르면 공급망 내 모든 프로세스에 심어져 있습니다. 시스코는 품질 입증도에 따라 서드파티에 점수를 부여하며, 보안은 그 척도의 핵심 부분입니다. "수학적으로 의미 있게 만듭니다. 공급업체로서 환상적이지만 보안이 형편없으면 선호 공급업체로 남지 못할 수 있습니다."라고 그녀는 말합니다.

5. 모든 사람이 측정해야 한다

Conway는 조직 전반의 성과 측정을 강력히 추진해 왔습니다. "우리 자체 사양과 프로세스에 대한 허용 수준을 설정합니다. 결국 우리는 보안이 비즈니스의 언어를 말하게 만듭니다."

단계적 구현과 경영진 소통

시스코의 보안 이니셔티브는 한 번에 구현되지 않았습니다. 이전에 시스코의 지적재산권 전문 외부 변호사로 일했던 Conway는 2000년대 초 CSO가 되었습니다. 처음부터 '단일체 아키텍처'를 강요하는 대신, 시스코의 전자 제조 시스템(EMS) 파트너부터 시작해 인쇄회로 생산업체, 엔지니어링, 회사의 '밸류 체인'을 구성하는 수많은 채널 파트너로 단계적으로 확대했습니다.

사이버보안 복음을 전파하며 Conway는 이익과 손실 관점에 뿌리를 둔 경영진과 소통하는 것이 필수적이라고 봅니다. "내 허용 수준을 달러 리스크로 환산하고 싶습니다. 우리 모두 비즈니스의 언어를 말해야 합니다."