지니온

협력사 보안 평가(TPRM): 설문지 대신 등급과 인텔리전스로

협력사 보안 평가(Third-Party Risk Management, TPRM)는 우리 시스템과 데이터에 접근하는 협력사, 외주 개발사, SaaS, 공급업체의 보안 위험을 평가하고 계속 지켜보는 활동입니다. 지니온은 RiskRecon 사이버 등급과 Recorded Future 서드파티 인텔리전스로 설문 중심 평가를 근거 중심으로 바꿉니다.

협력사 보안 평가 / TPRM / 제3자 리스크 관리 / 공급망 보안 평가 / 사이버 리스크 등급 / 협력사 보안 점검 / RiskRecon / Third-Party Risk

도입 상담 요청소개서 받기

핵심 요약

협력사 보안 평가(TPRM)는 연 1회 보안 설문지로는 답할 수 없는 '그 협력사가 지금 안전한가'를, 외부에서 관측 가능한 근거로 답하는 체계입니다. RiskRecon by Mastercard 는 협력사의 인터넷 노출 시스템을 비침습적으로 관측해 패치 수준·웹 암호화·네트워크 필터링·침해 이벤트 등 9개 영역을 0~10점(A~F 등급)으로 평가하고, Recorded Future Third-Party Intelligence 는 협력사의 침해 공개·랜섬웨어 갈취 언급·자격증명 유출을 발생 즉시 포착합니다. 지니온은 두 가지를 조합해 협력사 등급 체계 수립, 고위험 협력사 집중 관리, 보안·구매·감사 부서가 함께 쓰는 보고 체계를 구축합니다.

최종 업데이트

협력사 보안은 설문으로 알 수 없습니다

설문지는 협력사가 '그렇다'고 답한 기록이지 그 협력사의 실제 상태가 아닙니다. 답한 날 이후 1년 동안 무슨 일이 생겨도 다음 설문까지 모릅니다.

  • 평가 근거

    기존협력사가 작성한 체크리스트와 인증서 사본

    도입 후협력사 외부 시스템의 패치·암호화·노출 상태를 직접 관측한 등급

  • 평가 주기

    기존계약 시점과 연 1회

    도입 후상시 관측. 등급이 떨어지거나 침해 징후가 보이면 즉시 알림

  • 관리 대상

    기존모든 협력사에 같은 설문

    도입 후데이터 접근 수준과 비즈니스 중요도로 등급을 나눠 고위험 협력사에 집중

  • 협력사와의 대화

    기존'보안 잘 하고 계신가요'

    도입 후'귀사 외부 메일 서버의 TLS 설정이 취약하고 관리 포트가 열려 있습니다'

공급망은 가장 현실적인 공격 경로입니다. 공격자는 보안이 강한 본사보다 본사 시스템에 접속 권한이 있는 작은 협력사를 먼저 노립니다. 금융권 전자금융 감독과 ISMS-P 는 외주·협력사 보안 관리를 요구하며, 그 요구에 설문지만으로 답하기는 점점 어려워지고 있습니다.

등급으로 걸러내고, 인텔리전스로 지켜봅니다

  1. 01

    협력사 목록과 중요도 정리

    우리 데이터·시스템에 접근하는 협력사를 모으고, 접근 범위와 비즈니스 영향으로 등급(핵심·중요·일반)을 나눕니다.

  2. 02

    사이버 등급 평가 (RiskRecon)

    협력사 도메인을 등록하면 외부 노출 시스템을 자동 발견해 9개 보안 영역을 평가하고 A~F 등급을 매깁니다. 협력사에 아무것도 설치하지 않고, 협력사 동의 절차 없이 공개 정보만으로 평가합니다. 자산 귀속 정확도는 독립 검증 기준 99.1% 입니다.

  3. 03

    우선순위 산정

    발견 항목을 자산 가치 모델로 자동 우선순위화해, 등급이 낮은 협력사 중에서도 '무엇을 먼저 고쳐 달라고 할지'가 나옵니다.

  4. 04

    위협 모니터링 (Recorded Future)

    협력사의 침해 공개, 랜섬웨어 갈취 사이트 언급, 자격증명 유출, 노출 인프라를 발생 즉시 포착해 알립니다. 등급이 좋아도 어제 침해당한 협력사를 잡는 단계입니다.

  5. 05

    협력사 소통과 보고

    협력사에 보낼 수 있는 발견 항목 보고서로 개선을 요청하고, 보안·구매·감사 부서가 같은 등급 화면을 보며 계약·갱신 판단에 씁니다.

지니온이 협력사 보안 평가 체계를 구축하는 방식

  1. 01

    현재 협력사 관리 방식 진단

    협력사 목록 관리 주체, 설문 절차, 계약 시 보안 요구사항, 사고 시 연락 체계를 확인합니다.

  2. 02

    PoC: 대표 협력사 등급 확인

    핵심 협력사 수십 곳을 RiskRecon 에 등록해 등급과 발견 항목을 확인합니다. 설문 결과와 실제 등급이 다른 사례가 이 단계에서 나옵니다.

  3. 03

    등급 체계와 대응 기준 설계

    협력사 등급별 요구 수준(예: 핵심 협력사는 B 이상 유지), 등급 하락 시 대응 절차, 계약·갱신 반영 규칙을 보안·구매 부서와 함께 정합니다.

  4. 04

    인텔리전스 연계와 운영 정착

    핵심 협력사에 Recorded Future 모니터링을 붙이고, 알림 수신자·월간 보고 양식·협력사 소통 템플릿을 정합니다.

협력사 보안 평가 도입 전 자주 묻는 질문

협력사의 동의나 설치가 필요한가요?

아니요. RiskRecon 은 인터넷에 공개된 정보를 수동적·비침습적으로 관측하므로 협력사 시스템에 접속하거나 설치하지 않습니다. 협력사에 결과를 공유해 개선을 요청하는 것은 선택입니다.

협력사가 몇 곳이면 도입할 만한가요?

핵심 데이터에 접근하는 협력사가 수십 곳 이상이면 설문만으로 관리하기 어려워집니다. 전체 협력사를 등급으로 걸러 소수의 핵심 협력사에 집중하는 구성이라 협력사 수가 많을수록 효과가 큽니다.

자사 등급도 볼 수 있나요?

네. 같은 방식으로 자사를 평가해 '협력사가 우리를 어떻게 보는가', '고객사 실사에서 어떤 지적이 나올까' 를 미리 확인할 수 있습니다.

RiskRecon 과 Recorded Future 서드파티 인텔리전스 중 하나만 써도 되나요?

됩니다. 협력사 수가 많고 등급 체계가 먼저 필요하면 RiskRecon 부터, 소수 핵심 협력사의 침해·유출 징후를 바로 알고 싶으면 Recorded Future 부터 시작합니다. 두 제품의 차이는 RiskRecon 제품 페이지에 정리돼 있습니다.

이 주제를 구현하는 솔루션

전체 솔루션 +

관련 인사이트

전체 글 +

Why 지니온

지니온은 단순한 솔루션 도입이 아니라, 실제 보안 운영에 활용 가능한 형태로 정착시키는 것을 목표로 합니다.

  • 국내 특화 인텔리전스

    글로벌 위협은 물론, 한국을 표적으로 하는 공격 그룹에 대한 심층 분석 리포트를 제공합니다.

  • 전담 조직의 밀착 지원

    도입부터 최적화, 운영까지 전문 인력이 함께합니다.

  • 환경에 맞춘 설계

    단순 제품 공급을 넘어 고객 인프라 환경에 맞는 보안 시나리오를 함께 설계합니다.

다른 주제

전체 +
전화 문의도입 문의