공급망 보안: 평가와 감시는 다른 일입니다

설문 회신으로 관리되던 시절은 끝났습니다

대부분의 협력사 보안 관리는 아직도 연 1회 설문입니다. 문제는 이 방식이 세 가지를 전혀 못 잡는다는 점입니다.

• 제출 이후의 상태 변화
• 협력사가 인지하지 못한 노출
• 협력사의 협력사(포스파티)에서 시작된 위험

설문은 "지금 우리가 잘하고 있다고 생각한다"는 자기 보고입니다. 검증 수단이 없으면 그 이상도 이하도 아닙니다.

평가와 감시는 다른 일입니다

협력사 보안을 다루는 도구는 크게 두 종류인데, 자주 혼동됩니다.

평가(Rating·Assessment) 는 상대방이 평소 얼마나 잘 관리하는지를 봅니다. 외부에서 관측 가능한 자산과 설정 상태를 근거로 점수와 발견 항목을 만듭니다. 계약 전 실사, 정기 재평가, 재계약 조건 협의에 씁니다.

감시(Threat Monitoring) 는 지금 그 협력사에 무슨 일이 벌어지는지를 봅니다. 랜섬웨어 갈취 사이트에 이름이 올라왔는지, 다크웹에 자격증명이 돌고 있는지를 추적합니다. 사고 조기 인지와 대응 판단에 씁니다.

둘은 대체재가 아닙니다. 평가 점수가 좋은 협력사도 오늘 침해될 수 있고, 점수가 낮은 협력사가 몇 년째 아무 일 없기도 합니다.

무엇을 먼저 세워야 하나

조직 상황에 따라 다릅니다.

체계가 없는 단계라면 평가부터. 협력사 목록조차 정리 안 된 상태에서 위협 모니터링을 붙이면, 경보가 와도 그게 어느 업무에 영향을 주는지 판단할 수 없습니다. 중요도 분류와 평가 기준을 먼저 세우세요.

이미 사고를 겪었다면 감시부터. 공급망 사고가 실제로 발생했거나 업계에서 연쇄적으로 터지는 상황이면, 평가 체계를 갖추는 몇 달을 기다릴 수 없습니다.

실무 체크리스트

• 협력사 목록이 계약 시스템과 동기화되는가
• 업무 중요도 기준으로 계층이 나뉘어 있는가
• 평가 결과를 협력사와 공유하고 개선을 협의할 경로가 있는가
• 침해 정황 인지 시 내부 에스컬레이션 절차가 정의돼 있는가
• 재계약 시점에 보안 태세 변화가 반영되는가
• 포스파티 위험을 어디까지 볼지 범위가 정해져 있는가

정리

평가는 상태를, 감시는 사건을 봅니다. 공급망 관리 체계를 세우는 단계라면 평가 기준부터, 사고 대응이 급하다면 위협 인텔리전스부터 접근하는 편이 현실적입니다.