공급망 보안: 통합적 사이버보안 전략으로 지키기

공급망 네트워크의 진화는 수년간 기술에 의해 주도되어 왔습니다. 모든 규모의 조직이 디지털 공간으로 이동하고 있으며, 일부는 작년의 혼란으로 인해 강제되었습니다. 기업들이 스스로를 위한 사이버보안 요새를 구축하는 동안, 제조업체, 공급업체, 글로벌 파트너, 기타 서비스 제공업체와의 접점에는 여러 취약점이 존재합니다. 위협은 그러한 당사자들 주변에 도사리며 첫 기회에 보안을 침해하려 합니다.

사이버보안은 대기업의 경우 어느 정도 성숙했지만, 조직의 경계 내에 집중되어 있습니다. 생태계의 다른 주체들을 다루는 개별 부서에 대한 거버넌스와 통제가 부족하며, 이들 중 다수는 사이버보안 역량이 약한 중소기업들입니다. 이들이 해커들의 유리한 진입점이 됩니다.

자율주행차, 로봇 프로세스 자동화, 엔드투엔드 디지털화 같은 파괴적 기술의 등장으로 조직 간 사이버보안 경계가 모호해지고 있습니다. 보고된 침해 사고의 약 80%가 공급망 네트워크에서 발생합니다. 공급망에서 귀사의 조직이 어디에 있든, 연결되어 있다면 위험에 처해 있습니다.

공급망 위협에는 서비스 거부, 데이터 유출, 고객 데이터 도난, 비즈니스 중단, 랜섬웨어 같은 기타 멀웨어 공격이 포함됩니다. 말이 되듯, 공급망은 가장 약한 고리만큼만 강합니다.

공급망 네트워크의 사이버보안 접근은 기술, 사람, 프로세스라는 세 가지 렌즈를 통해 봐야 합니다.

기술

전체 공급망을 사이버보안 보호, 완화, 대응 계획에 포함해야 합니다. 대응과 복구는 내부 기술 설정에 국한되어서는 안 됩니다.

클라우드 기술, 사물인터넷(IoT) 기기, 가상 서버의 채택은 침해에 대한 새로운 지평을 엽니다. 모든 내부 및 서드파티 시스템에 이중 인증(2FA)과 생체 인식 접근 제조 같은 적절한 사이버보안 절차를 보장하세요. 리스크 완화와 복구 계획은 표준 프로세스로 문서화되어야 합니다.

오픈소스 소프트웨어 사용은 위협의 근원이 될 수 있으며, 이러한 설정에 대한 적절한 모니터링이 계획되어야 합니다.

블록체인 기술은 여러 거래 파트너 간 높은 수준의 데이터 보안과 함께 투명성과 효율성을 강화할 잠재력을 가진 새로운 트렌드입니다. 제품, 데이터, 금융 흐름의 공급망 전반에 대한 더 나은 가시성을 가능하게 합니다. 복잡한 운영을 하는 기업들이 주로 채택하고 있으며, 그 실제 영향은 아직 지켜봐야 합니다. 전문가들은 조직이 최소한 블록체인의 실행 가능성과 잠재적 이점을 평가해야 한다고 생각합니다.

사람

모든 직원과 거래 파트너가 보안 프레임워크에 포함되어야 합니다. 보호, 탐지, 대응 및 복구 조치에서 모든 인원과 서드파티 주체에 대한 명확한 역할과 책임이 필수적입니다.

개인 기기 반입(BYOD) 정책은 공급망에서 멀웨어와 피싱의 주요 원천이며, 핵심 초점이 되어야 합니다. 어떤 개인 소유 기기도 가상 사설망(VPN)을 거치지 않고 기업 인프라에 연결되게 해서는 안 됩니다.

프로세스

생태계에 새로운 주체를 온보딩하기 전 사이버보안 태세에 대한 실사의 프로세스를 수립하세요. 모든 주체의 프로세스 준수를 보장하기 위한 정기적 모니터링은 복구 및 대응 계획의 역량을 보장하는 데 필수적입니다.

위협 인텔리전스 공유는 전반적인 사이버보안 프로세스에 큰 차이를 만들 수 있는 요소지만, 아직 표준 관행으로 성숙하지 않았습니다.

계약 완료 후 서드파티 접근 권한을 제거하는 프로세스를 수립하세요. 이는 많은 기업들에게 값비싼 실수였습니다.

기업들은 특히 민감한 데이터가 조직 간에 공유될 때, 전사적 데이터 접근 가이드라인과 표준을 구현해야 합니다.

월간 서버 및 네트워크 감사는 모든 특수 및 관리자 접근의 좋은 흔적을 유지하는 데 도움이 됩니다.

공급망 보안 계획 수립 시 핵심 가이드라인

• 협력적 노력이 아니면 작동하지 않습니다. 함께 일하는 중소기업들에게 사이버보안 위협을 권장하고 교육해야 합니다. 중소기업들은 بدوره 더 큰 파트너들로부터 지원을 구할 수 있습니다.
• 공급망 전문가들은 조만간 침해가 발생할 것이라고 가정하는 것이 필수적이라고 강조합니다. 따라서 사이버 회복탄력성 계획은 오늘날 필수입니다.
• 아직 모든 규모의 기업을 지원하는 공급망 사이버보안 관리를 위한 광범위한 프레임워크는 존재하지 않습니다. 그러나 공급업체와 기타 당사자들은 독립적이고 표준화된 검증 이니셔티브를 수행할 수 있습니다.
• 침투 테스트는 알려진 잠재적 취약점을 제거할 수 있습니다.
• 전체 공급망의 사이버보안 설정을 정기적으로 모니터링하여 '사일로(silos)'화된 비관리 네트워크를 방지할 중앙 팀이나 관리자가 있어야 합니다.
• 기업들은 인공지능을 활용해 위협과 침해를 더 주도적으로 탐지하고, 적시에 대응 시스템을 활성화하는 것을 고려해야 합니다.

비자야 라오는 IT 서비스 기업 테크비오(TechVio)의 창립자이자 CEO입니다.