글로벌 공급망 보안: 국경 없는 데이터 활용한 사이버 방어

공급망 사이버 보안 공격은 새로운 것이 아니지만, 여전히 통제에서 멀리 떨어져 있습니다.

Resilience 360의 최근 연구에 따르면 2019년 공급망 기업에 영향을 미친 사이버 보안 사고가 거의 300건에 달했습니다. 평균적인 기업이 500개 이상의 제3자와 데이터를 공유하는 상황에서, Ponemon Institute는 미국 기업의 약 61%가 공급망 내에서 데이터 유출을 경험했다고 보고합니다.

지정학적 긴장이 그러한 공격의 광범위한 원인이었지만, 2020년은 코로나19가 전 세계 인력의 큰 부분을 원격 근무로 강제하면서 완벽한 폭풍의 기회를 제공했습니다. 정부부터 기업까지 조직은 자신들이 처리하고 공유하는 데이터를 보호할 책임을 져야 합니다. 협업이 혁신과 생산성 유지에 매우 중요하므로, 이는 아이디어와 정보의 흐름을 질식시키거나 시스템과 프로세스를 작동 불능으로 만들지 않으면서 이루어져야 합니다.

코로나19가 올해 1분기 미국을 강타하자 조직들은 하룻밤 사이에 직원들을 원격 근무로 전환했습니다. 2020년 6월 기준 미국 근로자의 놀라운 42%가 자택에서 원격으로 업무를 수행하며 사무실을 이전했습니다. 고도로 이동적인 인력과 점점 더 복잡하고 전 세계적으로 분산되는 공급업체 생태계 속에서 지적재산과 기밀 또는 민감 정보에 대한 위협이 심화되고 있습니다.

프로젝트 팀은 모바일과 클라우드 플랫폼을 매일 사용해 데이터를 공유하고 저장하며, 잠재적으로 무단 사용자의 접근에 노출시킵니다. 데이터는 스마트폰, 이동식 하드 드라이브, USB 저장 장치에 물리적으로 반출되기도 하는데, 이들은 분실과 도난에 취약합니다. 이 맥락에서 데이터는 끊임없이 기업과 국경의 경계를 넘나듭니다. 더 이상 방어할 명확한 경계가 없습니다.

의도적 해킹이 이제 일상화되었지만, 보안에 대한 가장 큰 위협 중 하나는 이동 중인 데이터의 도난, 분실, 오용입니다. Apricorn의 2018년 연구에 따르면 조사 대상 조직의 29%가 모바일 작업의 직접적 결과로 데이터 유출을 겪었습니다. 2020년 동일 연구에서는 응답자의 절반 이상이 여전히 원격 근무자가 조직을 데이터 유출 위험에 노출시킬 것이라고 믿습니다.

또한 Digital Guardian의 최근 연구에 따르면 코로나19 발생 이후 직원이 USB 미디어로 다운로드한 데이터 양이 123% 증가했으며, 이는 팀이 대용량 데이터를 집에 가져가기 위해 이동식 저장 장치를 사용하고 있음을 시사합니다. 이러한 장치가 암호화되지 않는 한, 원격 근무자 취약성과 관련된 데이터 유출 급증을 보는 것은 시간문제입니다.

데이터 중심의 정책 기반 보안 접근법은 정보 자체를 조직의 중앙 시스템 내부와 외부, 이동 중과 정지 상태 모두에서 보호하면서 안전한 통신을 가능하게 합니다. 답은 사람, 프로세스, 기술을 결합한 다층적 접근법에 있습니다.

내부에서 시작하라

보안은 기술 솔루션만으로 되지 않습니다. 보안 인식 교육과 참여 프로그램을 파트너와 계약업체 팀까지 확대해야 합니다. 목표는 모든 직원이 데이터의 가치와 관련 리스크를 인식하고, 데이터를 보호하는 자신의 역할을 정의하고 강화하게 하는 것입니다.

또한 데이터 보안 모범 사례를 수립하고 그 이행을 관리하십시오. 팀과 공급망을 위한 데이터 상호작용 및 보호 모범 사례를 수립하고 시행함으로써 조직에 이점을 줄 수 있습니다. 책임 문화를 구축하는 데 도움이 됩니다.

데이터를 라이프사이클 관점에서 생각하라

데이터 작업과 보안을 위한 모범 사례를 수립한 후, 조직은 다음을 포괄하는 종합 감사를 수행해야 합니다.

• 어떤 종류의 데이터가 어떤 목적으로 보관되는지;
• 누가 해당 데이터에 접근할 수 있는지;
• 데이터가 어디로 흐르는지;
• 현재 어떻게 통제되고 있는지.

이를 통해 규정 미준수 영역을 파악하고, 데이터가 보호되지 않는 지점을 특정하며, 리스크 노출을 최소화할 기술, 정책, 프로세스를 식별하기 쉬워집니다.

보안 시행

민감 데이터가 처리되고 사용되는 방식을 통제하고, 파트너와 계약업체를 포함한 모든 엔드포인트로 확장되는 정책의 문서화와 시행을 포함한 전략을 수립하십시오. 암호화는 전략의 핵심 요소여야 합니다. 이동식 미디어 기기가 잘못된 손에 들어가도 암호화된 정보는 접근을 시도하는 누구에게도 해독 불가능합니다.

특히 원격 근무의 '뉴노멀'에서 IT 부서가 기업 표준 암호화 모바일 저장 장치를 조사, 식별, 의무화하고 화이트리스트 정책으로 그 사용을 강제하는 것은 필수적입니다. 기기는 비밀번호 강도 등 보안 요건을 준수하도록 사전 구성 가능해야 합니다.

공급망 이야기를 하고 있으므로, 요건을 제3자 계약에 명시해야 합니다. 예를 들어 사용해야 할 도구와 기술, 업데이트 시기 등을 정합니다. 조직은 더 적극적 접근으로 RFP(제안 요청) 프로세스에 이러한 요건을 설정해 제3자 선정 전부터 기대를 설정할 수도 있습니다.

측정, 모니터링, 보고

IT와 보안 팀에게 '측정할 수 없으면 관리할 수 없다'는 말은 특히 적절합니다. 조직 내부와 공급망 전반의 규정 준수에 대한 지속적 감사는 정책 위반을 신속히 가시화해 교육이나 징계 절차로 대처할 수 있게 합니다. 모니터링은 조직이 규정 준수 입장을 입증하고, 규정을 위반한 사용자 행동의 정확한 기록을 남길 수 있는 상세한 감사 추적도 제공합니다.

기술적·조직적 조치의 결합은 공급망의 리스크 노출을 줄이면서, 재택근무가 지속되는 가운데 정보의 안전한 교환과 이동성을 가능하게 합니다. 데이터를 적절히 통제하는 기업은 효율성, 민첩성, 경쟁력을 저해하지 않으면서 기밀성, 국가 안보, 자사 평판을 보호할 수 있습니다.

계속 확장되는 공급망과 우리가 일하는 방식과 장소의 극적인 변화는 조직이 지속적으로 제3자 보안에 집중해야 함을 의미합니다. 직원 인식과 교육에 중점을 두고 과정을 따라 감사하고 측정하는 전략적 데이터 보안 계획을 수립함으로써, 물리적 국경이 사라진 상황에서도 공급망을 안전하게 지킬 수 있습니다.

존 필딩은 하드웨어 암호화 USB 데이터 저장 장치 제조업체 Apricorn의 전무이사입니다.