공급망 보안 10단계: 검증된 사이버보안 플레이북

글로벌 공급망이 점점 더 디지털화됨에 따라 기업들은 수많은 간접 소스로부터 위험에 노출됩니다. 시스템은 가장 약한 링크만큼만 강하며, 해커들은 취약한 구성요소를 찾아내기 위해 치밀하게 사냥합니다.

이 착취는 높은 대가를 치릅니다. IBM의 데이터 유출 비용 보고서에 따르면, 직원 25,000명 이상 기업의 평균 총 유출 비용은 552만 달러, 500명 미만 조직은 264만 달러입니다. 대부분의 기업은 해커가 요구하는 몸값을 지불합니다. 올여름 Colonial Pipeline과 JBS SA는 대규모 사이버 공격 후 암호화된 데이터 복구를 위해 각각 440만 달러와 1,100만 달러를 해커에게 지불했습니다.

기타 영향으로는 고객 서비스 중단, 신뢰 훼손, 경쟁 우위 상실이 있습니다.

사이버 범죄자들은 장벽을 회피하고 약점을 식별하여 공급망을 그 어느 때보다 효과적으로 착취하고 있습니다. Colonial Pipeline 사례에서 해커는 단일 인증만 필요한 레거시 VPN 프로파일을 악용했습니다.

공격은 기업을 마비시킬 뿐만 아니라 고객도 해칩니다. 유출의 80%가 개인 식별 정보(PII)를 포함합니다. 해커는 PII와 비밀번호를 사용하여 개인의 웹 전반에 걸친 다양한 계정에 접근합니다. 또한 귀사의 비즈니스이든 서드파티 또는 포스파티 벤더이든 공급망의 어떤 단절도 상품과 서비스 생산에 영향을 미치면서 가격을 끌어올립니다.

CrowdStrike 보안 보고서(1,000명 이상 참가자 설문조사)에서 선임 IT 의사결정자와 사이버보안 전문가의 3분의 2가 조직이 소프트웨어 공급망 공격을 경험했다고 밝혔습니다. 같은 수가 향후 침해에 대비해 회사가 적절히 준비되지 않았다고 고백했습니다. 기업은 선제적이어야 하며 사이버 복원력 구축에 집중하여 착취를 예방해야 합니다.

미국 상무부 산하 국립표준기술연구소(NIST)는 IT 자산을 적절히 보호하기 위해 다음 단계를 권장합니다.

식별

내부 위험 및 취약성 평가를 수행하여 잠재적 위협 벡터(악의적 공격이 방어를 통과하여 네트워크를 감염시킬 수 있는 경로)를 찾으십시오. 고급 평가를 수행할 회사를 고용하는 것을 고려하십시오.

보호

조직을 보호하고 위협 이벤트를 예방하기 위해 필요한 조치를 취하십시오:

• 노출 감소. 방화벽과 안티바이러스 소프트웨어가 제공하는 기본 보호 외에, 권한 있는 접근 절차를 수립하는 것이 필수적입니다. 최소 권한 원칙을 따르십시오. 민감한 데이터에 접근해야 하는 직원만 접근을 허용하십시오.

행동 분석, 엔드포인트 탐지 및 대응(EDR), 인공지능(AI), 위협 인텔리전스 같은 도구가 방어를 강화할 수 있습니다. 기업은 안전한 코딩 관행을 채택하고 OWASP 톱 10 웹 애플리케이션 보안 위험을 참조해야 합니다.

• 직원 헌신과 교육. 직원은 사이버보안의 최후 방어선이자 가장 흔한 위협 벡터 중 하나입니다. 모든 직원을 참여시키는 것이 중요합니다. 임원진도 예외가 아닙니다. 직원들 사이에 건전한 의심 문화를 구축하십시오. 이 접근법은 과도하게 편집증적으로 보일 수 있지만, 판돈은 높을 수 있습니다.

인식 교육과 내부 피싱 캠페인을 실시하여 직원들을 최신 스팸과 사회공학 기법에 노출시키십시오. 피싱 캠페인에 걸린 직원은 즉시 교육을 받아야 합니다. 직원들이 다양하고 안전한 비밀번호를 갖는 강력한 비밀번호 문화를 심어주십시오. 한 곳에서 비밀번호가 유출되면, 동일한 이메일과 연관된 다른 계정에서 해커가 그것을 사용하는 것이 가능하고 상대적으로 간단하다는 것을 이해시키십시오.

직원 학습을 보충하고 최신 업계 트렌드에 대해 직원들을 업데이트하기 위한 수많은 유용한(그리고 무료) 사이버보안 리소스가 있습니다. 미 국토안보부가 제공하는 가상 교육 모듈 같은 것들입니다.

• 보험. 공격 발생 시 적절한 보험이 있는지 확인하십시오. 일부 보험 제공업체는 랜섬웨어 보호를 포함합니다. 사이버 공격에서 보장되지 않는 것이 무엇인지 문의하십시오.
• 물리적 보안. 인력, 하드웨어, 소프트웨어, 네트워크, 데이터를 물리적 무단 침입과 행동으로부터 보호하십시오. 감시 카메라, 보안 요원, 보안 시스템, 차단막, 자물쇠, 액세스 키카드, 화재 경보기, 스프링클러, 직원과 자산을 보호하기 위해 설계된 기타 시스템 같은 솔루션을 고려하십시오.

피기백킹을 조심하십시오. 손에 짐을 든 채 사무실로 들어오는 누군가를 위해 문을 잡아주는 것이 예의 바르게 보일 수 있지만, 보안 위협이 됩니다. 회사 부지에 들어오는 모든 사람이 권한 있는 인원인지 확인하십시오.

• 선택적 비즈니스 관계. 공급업체 네트워크를 통한 사이버 공격이 점점 더 흔해지고 있습니다. Ponemon Institute의 2020 사이버 복원력 조직 연구에 따르면, 조직의 56%가 서드파티 공급업체로 인한 사이버보안 침해를 경험했다고 보고합니다. 허용 가능한 위험 수준을 결정할 때, 귀사와 협력할 계약자나 파트너를 선택할 때 신중하십시오.
• 인시던트 보고. 인시던트 보고에 대한 좋은 문화와 교육을 심으십시오. IT 전문가들이 더 빨리 알면 잠재적 피해를 더 잘 줄일 수 있습니다.

탐지

연기 감지기 없는 집이 모니터링 없는 네트워크와 같다는 말이 있습니다. 보안 이벤트에 대한 지속적 모니터링에는 물리적 환경, 네트워크, 서비스 제공업체, 사용자 활동이 포함되어야 합니다. 취약점 스캔은 훌륭한 도구이며 민감한 정보를 포함하는 시스템에서 정기적으로 수행되어야 합니다.

대응 및 복구

대응 시간과 공격 비용 사이에 상관관계가 명확합니다. 탐지, 반응, 대응, 복구에 가장 오래 걸리는 산업이 가장 높은 비용을 치릅니다. 빠른 대응은 영향을 완화하는 데 도움이 될 수 있습니다. 여전히 가능성을 없앨 수는 없으므로 예방에 항상 중점을 두어야 합니다.

재해 복구 계획은 재해 후 데이터 접근과 IT 인프라 복원에 필수적입니다. 복구는 피해 범위에 따라 달라집니다.

비즈니스 연속성 계획 형태로 모든 잠재적 인시던트 시나리오에 대한 대응 계획과 복구 로드맵을 작성하십시오. 재해 동안 비즈니스를 운영 상태로 유지할 전술을 포함하십시오. 벤더 중요도를 결정하고 핵심 벤더가 공격받을 경우 행동 방침을 정하십시오. 백업 공급업체와 백업의 백업업체를 확보하여 고객을 수용하기 위해 다른 제공업체로 전환해야 할 경우에 대비하십시오.

효과적인 재해 복구 계획의 일환으로, 최소 연 1회 사이버보안 침해 시뮬레이션을 수행하는 것이 권장됩니다. 이러한 훈련을 통해 관련 인원은 자신의 역할과 따라야 할 절차를 이해하게 됩니다.

공급망이 더 복잡해짐에 따라 사이버보안은 모든 규모 기업의 주요 걸림돌이 될 것입니다. 공급망의 약한 링크를 식별하여 취약점을 최소화하고 위협 이벤트를 예방하십시오. 사이버 복원력 구축은 그렇지 않으면 더 비싸고 파괴적일 최악의 시나리오에 회사를 대비시킬 것입니다.

Marc Lewis는 Visible Supply Chain Management의 정보 보안 책임자입니다.