미국 공급망 보호: 사이버 위협 완화 전략

2월 조 바이든 대통령은 미국의 핵심 공급망에 대한 포괄적 검토를 요구하는 행정명령 14017호에 서명했습니다. 이 조치는 코로나19 팬데믹 정점기에 최전선 의료진을 위한 개인보호장비(PPE) 등 의료 물자 부족 사태에 대한 대응이었습니다. 행정명령이 지목한 다른 필요 사항으로는 자동차 산업 및 기타 하이테크 용도의 반도체 칩이 있습니다.

이러한 문제는 미국인의 필수 제품 획득 능력을 저해하고, 관련 산업 종사자의 불안정을 초래합니다. 백악관에 따르면 새 명령의 목표는 이러한 문제가 재발하기 전에 선제적으로 해결하는 것입니다.

"어떤 위기가 닥칠지 예측할 수는 없지만, 도전에 직면했을 때 신속히 대응할 역량은 갖춰야 합니다." 백악관은 밝혔습니다. "미국은 생산 부족, 무역 교란, 자연재해, 잠재적 외국 경쟁자 및 적대국의 행동으로 인해 미국이 다시는 취약해지지 않도록 보장해야 합니다."

대통령의 공약은 행정부가 공급망 리스크를 포괄적으로 해결하겠다는 의지를 분명히 했습니다. 하지만 이 이니셔티브가 성공할까요?

보안 관점에서 행정부가 고려해야 할 여러 문제가 있습니다. 이를 간과하면 중복된 시간과 노력을 낭비하며, 또 다른 공급망 공격을 초래할 수 있는 사이버 리스크 완화에 실패할 것입니다.

미국 공급망 보안을 보장하는 첫걸음은 취약점과 리스크를 식별하는 것입니다. 바이든 행정명령은 방위 산업 기반, 공중 보건, 정보 기술 및 통신, 전력 및 에너지, 운송, 농업 등 6개 부문에 초점을 맞춥니다.

공급망이 디지털 제품과 서비스에 의존하게 되면서 심각한 취약점이 생겨났고, 사이버보안이 검토의 필수 요소가 되었습니다. 국가 행위자가 사이버 범죄로 공급망을 마비시킬 수 있다는 우려는 현실입니다. 행정명령 4.4조는 사이버 리스크 관리가 핵심 관심사이자 초점 영역임을 명확히 합니다. 1년 내에 공급망의 경쟁국 의존도 현황을 다루는 보고서가 제출되어야 합니다. 정부가 정보 보안 커뮤니티를 이 목적으로 어떻게 참여시키느냐가 모든 부문에서 이 이니셔티브의 성패를 가를 것입니다.

1년 내 성과 보장

이 사업은 1년이라는 기간에 비해 방대한 영역을 다룹니다. 작년 교훈을 바탕으로 정보 보안 및 기술 커뮤니티가 이 이니셔티브를 주도하는 당사자들에게 의견을 제시하는 것이 중요합니다. 정보공유분석센터(ISACs) 및 IT 부문 조정위원회(ITSCC) 같은 산업 그룹의 노력이 성공의 핵심이 될 것입니다. 또한 빅4 컨설팅 펌에서 나오는 방대한 데이터와 분석을 바탕으로 제3자 리스크 우선순위를 정할 수 있습니다.

미 국방부가 이 이니셔티브의 원활한 추진에 핵심 역할을 해야 합니다. 국방부가 감독하는 비교 가능한 노력으로 사이버보안 성숙도 모델 인증(CMMC)이 있는데, 이는 정부 계약 자재 공급업체가 특정 표준을 충족하도록 요구합니다. 지금까지 CMMC에 대한 공공 및 민간 반응을 바탕으로 한 핵심 조언은, 계약 수여 및 검토 프로세스를 가능한 한 혼합하지 않는 것입니다. 업계 리더와 정부 기관이 협력하여 다양한 공급망 전반에 단순하면서도 효과적인 사이버 표준을 결정해야 합니다.

표준화의 중요성

올바른 파트너십을 맺고 정보 보안 전문가의 의견을 구하는 것은 한 가지지만, 미국 공급망 전반의 사이버보안 성숙도 향상을 보장하는 것은 또 다른 문제입니다. 이처럼 거대한 생태계에 새로운 요구사항을 도입할 때 성패를 가르는 유일한 요소는 소통입니다. 소통은 측정에 의해 주도되며, 사이버보안 성숙도 수준에 관계없이 그룹 간에 표준화된 결과를 도출합니다. NIST CSF 공급망 리스크 관리 하위 범주나 앞서 언급한 CMMC 같은 표준은 요구사항을 명확히 하고 공급망 전반에 효과적으로 구현하는 데 훌륭한 도구입니다. NIST CSF의 사이버 평가 방법론은 정보 보안 지식이 부족한 공급업체에 맥락을 제공하는 데 특히 유용합니다.

측정 측면에서, 글로벌 공급망 생태계의 복잡성을 고려할 때 미국 공급망의 모든 잠재적 리스크를 시뮬레이션하는 것은 불가능합니다. 그럼에도 다양한 잠재적 실패 지점을 검토하는 시나리오를 식별하는 것은 가치 있습니다. 기존 리스크 정량화 방법론을 창의적으로 활용하는 것이 진정한 회복탄력성 달성의 열쇠입니다. 기업이 보안 팀, 데이터 및 정보 공유, 리스크 관리 소프트웨어 발전을 바탕으로 좋은 거버넌스의 수단으로 공급망 리스크를 이해하는 것이 필수적입니다.

바이든의 공급망 이니셔티브가 과거 사건의 기존 데이터와 미래에 대한 예측 분석을 활용하기를 바랄 뿐입니다. 전체 공급망을 벤치마킹하고 모든 취약점을 1년 내에 식별할 수 있을까요? 그리고 미국 공급망의 심각한 사이버 리스크를 완화할 수 있을까요? 그것은 두고 봐야 알 일입니다.

패트릭 오라일리는 사이버세인트(CyberSaint)의 공동 창립자 겸 최고 제품 책임자입니다.