미국 공급망을 사이버 공격으로부터 보호할 수 있습니까?

지난 2월, 조 바이든 대통령은 미국의 주요 공급망에 대한 포괄적인 검토를 요구하는 행정 명령 14017에 서명했습니다. 이번 조치는 코로나19 팬데믹(세계적 대유행) 기간 동안 최전선 의료 종사자를 위한 개인 보호 장비(PPE)와 같은 의료 용품 부족에 대한 대응이었습니다. 주문에 의해 확인된 기타 요구 사항에는 자동차 산업 및 기타 하이테크 애플리케이션용 반도체 칩이 포함되었습니다.

이러한 문제는 미국인의 필수 제품 획득 능력을 방해하고 영향을 받는 산업의 근로자를 불안정하게 만듭니다. 백악관에 따르면 새 질서의 목표는 이러한 문제가 재발하기 전에 사전에 해결하는 것입니다.

백악관은 “어떤 위기가 우리에게 닥칠지 예측할 수는 없지만 도전에 직면했을 때 신속하게 대응할 수 있는 능력이 있어야 한다”고 말했다. “미국은 생산 부족, 무역 차질, 자연 재해 및 외국 경쟁자와 적대국의 잠재적 행동이 미국을 다시는 취약한 상태로 두지 않도록 해야 합니다.”

대통령의 캠페인은 그의 행정부가 공급망 위험을 포괄적으로 해결하기 위해 노력하고 있음을 분명히 했습니다. 하지만 이니셔티브가 성공할 수 있을까요?

보안 관점에서 행정부가 고려해야 할 많은 문제가 있습니다. 그렇게 하지 않으면 시간과 노력이 중복되어 리소스가 낭비되고 또 다른 공급망 공격을 초래할 수 있는 사이버 위험을 완화하지 못합니다.

미국 공급망의 보안을 보장하는 첫 번째 단계는 취약성과 위험을 식별하는 것입니다. 바이든 전 부통령의 행정 명령은 방위 산업 기반, 공중 보건, 정보 기술 및 통신, 전력 및 에너지, 운송 및 농업의 6개 부문에 초점을 맞추고 있습니다.

디지털 제품 및 서비스에 대한 공급망의 의존도는 심각한 취약점을 생성하여 사이버 보안을 검토의 필수 부분으로 만들었습니다. 국가 행위자가 사이버 범죄를 통해 공급망을 유지하기로 결정할 수 있다는 두려움은 현실입니다. 행정 명령의 섹션 4.4는 사이버 위험 관리가 핵심 관심사이자 초점 영역임을 분명히 합니다. 1년 이내에 경쟁 국가에 대한 공급망의 현재 상태를 다루는 보고서를 제출해야 합니다. 정부가 이러한 목적을 위해 정보 보안 커뮤니티를 참여시키는 방법은 모든 부문에서 주도권을 잡거나 깨뜨릴 것입니다.

1년 내 결과 보장

이 사업은 1년 기간 동안 많은 영역을 포괄합니다. 정보 보안 및 기술 커뮤니티는 지난 해의 교훈을 바탕으로 이니셔티브를 주도하는 당사자에게 의견을 제공하는 것이 중요합니다. ISAC(정보 공유 및 분석 센터) 및 ITSCC(IT 부문 조정 위원회)와 같은 산업 그룹의 노력이 성공의 핵심이 될 것입니다. 또한 4대 컨설팅 회사에서 제3자와 거래할 때 우선 순위를 정해야 하는 위험에 대한 방대한 데이터 및 분석 데이터가 있습니다.

미 국방부는 이니셔티브가 원활하게 시행되도록 돕는 데 핵심적인 역할을 해야 합니다. 국방부가 감독하는 유사한 노력은 정부 계약 자료의 공급업체가 특정 표준을 충족하도록 요구하는 사이버 보안 성숙도 모델 인증(CMMC)입니다. 지금까지 CMMC에 대한 공적 및 사적 반응을 기반으로 한 핵심 조언 중 하나는 계약 낙찰과 검토 프로세스를 가능한 한 혼합하지 않는 것입니다. 업계 리더와 정부 기관은 다양한 공급망에 걸쳐 간단하면서도 효과적인 사이버 표준을 결정하기 위해 협력해야 합니다.

표준화의 중요성

올바른 파트너십을 구축하고 정보 보안 전문가로부터 정보를 얻는 것은 한 가지이지만 미국 공급망 전반에 걸쳐 사이버 보안 성숙도를 높이는 것은 별개입니다. 커뮤니케이션은 이처럼 큰 규모의 생태계에 출시될 때 새로운 요구 사항을 만들거나 깨뜨릴 수 있는 한 요소입니다. 측정에 의해 주도되며 사이버 보안 성숙도 수준에 관계없이 그룹 간에 결과가 표준화됩니다. NIST CSF 공급망 위험 관리 하위 범주 또는 앞서 언급한 CMMC와 같은 표준은 요구 사항을 명확하게 하고 공급망 전반에 걸쳐 효과적으로 구현하기 위한 훌륭한 도구입니다. NIST CSF에 따른 사이버 평가 방법론은 정보 보안에 대한 지식이 거의 없는 공급업체에게 컨텍스트를 제공하는 데 특히 유용합니다.

측정과 관련하여 글로벌 공급망 생태계의 복잡성을 고려할 때 미국 공급망의 모든 잠재적 위험을 해결하는 것은 불가능합니다. 그럼에도 불구하고 다양한 잠재적 실패 지점을 조사하는 시나리오를 식별하는 것은 중요합니다. 기존의 위험 정량화 방법론을 창의적인 방식으로 활용하는 것이 진정한 회복력을 달성하는 열쇠입니다. 기업이 공급망 위험을 보안 팀의 의견, 데이터 및 정보 공유, 위험 관리 소프트웨어의 발전을 활용하여 우수한 거버넌스를 달성하는 수단으로 이해하는 것이 중요합니다.

바이든의 공급망 이니셔티브가 과거 사건의 기존 데이터와 미래에 대한 예측 분석을 활용하기를 바랄 뿐입니다. 전체 공급망을 벤치마킹하고 모든 취약성을 1년 안에 식별할 수 있습니까? 그리고 미국 공급망의 심각한 사이버 위험을 완화할 수 있습니까? 그것은 두고 봐야 할 일입니다.

Padraic O'Reilly는 CyberSaint의 공동 창립자이자 최고 제품 책임자입니다.