공급망 사이버 위험 완화를 위한 5대 핵심 전략

오늘날 제3자 공급업체의 도움 없이 제품, 시스템, 서비스를 제공하며 비즈니스를 운영하기는 거의 불가능합니다. 외부 파트너와의 협업은 고객 니즈 충족을 위한 더 간소하고 효율적인 프로세스 등 많은 이점을 가져옵니다. 동시에 새로운 주체는 특히 사이버보안 영역에서 새로운 위험을 초래합니다. 기업들이 협력하고 정보를 공유하면 한 회사의 위험이 체인 전체의 위험이 됩니다.

급증하는 공급망 사이버 공격

공급망 사이버 공격은 2021년 1분기 미국에서만 42% 증가했습니다. 이러한 공격은 사이버 범죄자들에게 특히 매력적인데, 단일 제3자 공급업체를 통해 조직 전체 네트워크에 침투할 수 있는 기회를 제공하기 때문입니다.

위협 관리를 위한 핵심 조치

다행히 여느 위험과 마찬가지로 이러한 위협도 문제가 되기 전에 관리할 수 있습니다. 귀사의 공급망 공격 가능성을 최소화하기 위한 주요 행동 지침은 다음과 같습니다.

위험 평가 실시

새로운 공급업체 관계를 맺을 때 사이버보안 측면에서 그들의 입장을 파악하는 것이 중요합니다. 어떤 통제 장치를 갖추고 있습니까? 데이터 보호를 위해 어떤 프로세스와 정책을 사용합니까? 특히 민감한 고객 정보를 공유하는 경우, 그 정보가 안전하게 유지될지 확인해야 합니다.

공급업체 관계의 전반적 중요도도 고려해야 합니다. 즉각적인 공급망의 일부입니까, 아니면 임시로 지원합니까? 모든 파트너를 검증해야 하지만, 공급망에서 핵심 역할을 하는 파트너는 더 큰 위험을 수반하므로 더 신중하게 접근해야 합니다.

보안 요구사항 설정

공급업체와 투명한 관계를 구축하고 명확한 기대치를 설정하기 위해 공급업체 정책을 수립하는 것이 유용합니다.

이 문서에 사이버보안 및 데이터 보호 전담 섹션을 두고 공급업체가 입증해야 할 보안 수준을 명시할 수 있습니다. 가장 쉬운 방법은 기존 사이버보안 표준 및 인증과의 정렬을 요구하는 것입니다. 미국에서는 국제적으로 인정받는 ISO 27001과 NIST 프레임워크가 널리 쓰입니다. 영국에서는 정부의 사이버보안 표준인 Cyber Essentials가 5가지 핵심 기술 통제로 80%의 위험을 줄여줍니다. 이러한 표준 준수는 공급업체가 양호한 보안 태세를 갖추었음을 보여주는 손쉬운 방법이 됩니다.

공급업체에게 보안 요구사항을 제시할 때는 자사 비즈니스가 이미 이를 충족하는지 확인하는 것이 모범 사례입니다. 공급망에 참여함으로써 체인 내 모든 주체와 연결되기 때문입니다. 자사의 보안 태세 개선은 전체 체인을 강화하는 길이기도 합니다.

사이버보안 교육 실시

인적 오류는 여전히 사이버 공격의 1위 원인입니다. 따라서 가장 중요한 해결 과제 중 하나입니다. 자사 내 사이버보안 인식 문화를 조성하는 것은 물론, 이 관행을 공급망 전반으로 확장해야 합니다.

공급업체와 리소스를 공유하여 직원들이 사이버 위험에 대해 학습하도록 돕는 것을 고려하십시오. 기업을 위한 지침을 제공하는 무료 온라인 연습과 기사가 많이 있습니다.

데이터 전송 보안

공급망 내 데이터는 안전한 채널을 통해 전송되어야 하며 항상 보호되어야 합니다. 해커는 데이터가 한 곳에서 다른 곳으로 이동하는 중에 가로채기 쉽습니다. 따라서 이 과정에서 양호한 보안을 유지하는 것이 더욱 중요합니다. 전송 전 데이터 암호화는 이 위험을 최소화하는 훌륭한 방법입니다.

기업은 공급망에 존재하는 다양한 데이터 종류와 그 위치를 완전히 파악해야 합니다. 여기에는 내부 데이터(백업 시스템 포함)와 공급업체가 접근 가능한 데이터가 포함됩니다. 이 정보는 민감도에서 차이가 날 수 있습니다. 일부는 매우 민감하고 일부는 공개 정보일 수 있습니다. 데이터를 올바르게 분류하고 라벨링하여 가장 가치 있는 정보가 어디에 있는지 알면 잘못된 손에 넘어가는 것을 방지할 수 있습니다.

당신도 누군가의 공급업체임을 기억하라

해커는 종종 소규모 비즈니스를 표적으로 삼아 나머지 공급망에 접근하려 합니다. 이들의 사이버 방어가 미약하거나 전무할 것이라 예상하기 때문입니다. 2013년 언론에 보도된 최초의 주요 공급망 공격 사례에서 Target과 협력하던 제3자 계약업체가 해킹당해 소매업체 내부 네트워크에서 수백만 고객의 신용카드 정보가 유출된 바 있습니다.

소규모 비즈니스는 자사 공급업체의 보안뿐만 아니라, 자신이 더 큰 파트너에게 보안 위험이 아님을 입증하기 위해 높은 사이버보안 표준을 유지해야 합니다. 특히 공공 부문 기업들은 이제 모든 공급업체가 특정 보안 표준을 충족할 것을 계약 체결 조건으로 요구하고 있습니다.

공급망 내 사이버 위협 관리는 어려운 작업이 아닐 수 있습니다. 하지만 자신의 위험에 책임을 지고 사이버보안에 대한 일관된 표준을 유지하는 것이 중요합니다. 모든 파트너의 보안 프로세스, 정책, 솔루션을 이해하는 것은 모든 비즈니스의 최선의 이익입니다. 이러한 조치는 전체 공급망의 위험을 줄일 뿐만 아니라, 고객·파트너·이해관계자에게 그들의 비밀이 안전함을 입증하는 것이기도 합니다.

Clive Madders는 Cyber Tec Security의 최고기술책임자입니다.