협력사 리스크, 설문지 너머로 — 등급·인텔리전스·공격 표면을 어떻게 조합하나

설문지가 답하지 못하는 질문

협력사 보안 점검을 설문으로 하는 조직이 여전히 대부분입니다. 문제는 설문이 답하는 질문과 우리가 알고 싶은 질문이 다르다는 점입니다.

설문에 잘 답하는 회사와 보안을 잘하는 회사를 설문으로는 구분할 수 없습니다. Gartner는 Predicts 2026에서 설문을 넘어 지속적·인텔리전스 기반 협력사 리스크 관리로 옮겨 가야 한다고 권고했습니다.

세 가지 도구가 보는 것이 다릅니다

공급망 리스크를 다루는 도구는 크게 세 부류이고, 각각 다른 질문에 답합니다.

1. 사이버 등급 — "이 협력사는 평소에 얼마나 잘 관리하나"

RiskRecon 같은 등급 서비스는 협력사의 인터넷 노출 시스템을 공개 정보로 비침습적으로 관측해 010점(AF)으로 평가합니다. 소프트웨어 패치, 애플리케이션 보안, 웹 암호화, 네트워크 필터링, 이메일·DNS 보안, 침해 이벤트 등 9개 영역을 봅니다.

핵심은 자산 가치 모델입니다. 같은 취약점이라도 로그인·거래 기능이 있고 개인정보를 다루는 시스템에 있으면 우선순위가 올라갑니다. 자산 가치와 이슈 심각도를 교차한 Risk Priority Matrix가 "무엇부터 고치라고 협력사에 요청할지"를 정해 줍니다.

쓰임새: 계약 전 심사, 정기 평가, 감사 근거, 협력사와의 개선 협의.

2. 서드파티 인텔리전스 — "이 협력사에 지금 무슨 일이 벌어지나"

Recorded Future Third-Party Intelligence는 랜섬웨어 갈취 사이트, 침해 공개 채널, 다크웹 포럼, 노출 인프라를 지속 모니터링해 협력사 사고를 공식 통보보다 며칠에서 몇 주 앞서 잡습니다. 한 고객 사례에서는 협력사가 침해를 부인했지만 수백만 건의 레코드 유출이 확인돼 선제 조치를 했습니다.

등급이 상태를 본다면 인텔리전스는 사건을 봅니다. 두 가지는 겹치는 부분이 있지만 대체 관계가 아닙니다.

쓰임새: 랜섬웨어 피해 보도 시 우리 협력사 포함 여부 즉시 확인, 특정 CVE의 공급망 영향 분석, 포스파티 집중 리스크 파악.

3. 공격 표면 인텔리전스 — "우리는 협력사에게 어떻게 보이나"

방향을 뒤집으면 우리도 누군가의 협력사입니다. Attack Surface Intelligence는 우리 조직을 공격자 관점에서 관측해 잊힌 자산, 그림자 IT, 설정 오류를 찾습니다. 협력사가 우리를 등급 서비스로 평가할 때 보는 것이 바로 이 표면입니다.

쓰임새: 자사·자회사 노출 점검, 인수합병 실사, 취약점 스캐너 범위에 빠진 자산 발견.

조합하는 순서

어디서 시작할지는 조직의 상황에 따라 다릅니다.

• 협력사 관리 체계가 아직 없다면 등급부터 시작합니다. 평가 기준과 우선순위가 생기고, 협력사에 요청할 조치 목록이 자동으로 나옵니다. RiskRecon은 최대 50개 협력사를 30일간 무료로 평가해 볼 수 있습니다.
• 이미 체계가 있고 사고 대응이 급하다면 인텔리전스부터 봅니다. 등급이 좋은 협력사도 오늘 랜섬웨어에 당할 수 있습니다.
• 우리 자신의 노출이 걱정된다면 공격 표면부터 봅니다. 협력사에 요구하기 전에 우리 표면이 깨끗한지 확인하는 것이 순서입니다.

세 도구가 모이면 흐름이 완성됩니다. 등급으로 대상을 좁히고, 인텔리전스로 사건을 먼저 알고, 공격 표면으로 우리 쪽 근거를 만듭니다.

실무에서 챙길 것

• 모든 협력사를 같은 깊이로 보지 않습니다. 관계의 내재 리스크에 따라 검증 수준을 나눕니다. 고위험 관계는 등급·인텔리전스·질의서를 모두 쓰고, 저위험은 등급만 봅니다.
• 점수보다 근거를 공유합니다. 협력사에 "점수가 낮다"가 아니라 "이 시스템의 이 설정을 고쳐 달라"고 말할 수 있어야 협의가 됩니다. 등급 서비스가 발견 항목을 협력사에도 무료로 공개하는지 확인하세요.
• 보안·구매·감사·준법이 같은 화면을 봅니다. 부서마다 다른 근거로 협력사를 판단하면 계약 조건과 예외 처리가 어긋납니다. 하나의 등급과 하나의 경보 체계를 공통 기준으로 삼습니다.
• 포스파티를 잊지 않습니다. 협력사 여러 곳이 같은 클라우드·SaaS에 의존하면 그 한 곳의 사고가 동시에 옵니다. 집중 리스크는 협력사 목록만 봐서는 보이지 않습니다.

협력사 관리는 등록이 아니라 모니터링이고, 점검이 아니라 지속 관리입니다.