200 읽음
카스퍼스키, 협력사 전 과정 공급망 보안 관리 제언
IT조선
0카스퍼스키(한국지사장 이효은)는 10일 이 같은 내용을 담은 ‘에코시스템 기반 공급망 보안 전략’을 발표했다. 기업과 협력사, 공급업체를 하나의 보안 체계로 관리해야 한다는 게 해당 전략의 골자다. 카스퍼스키 내부 시장조사센터 조사에 따르면 공급망 공격은 2025년 기업이 직면한 가장 큰 사이버 위협으로 꼽혔다.
또 계약서에는 데이터 보호와 취약점 관리, 사고 통보 절차를 명시할 필요가 있다. 조사 결과 협력사 계약서에 정보보호 요구사항을 반영한 기업은 37%에 그쳤다. 암호화와 다중 인증(MFA), 안전한 소프트웨어 개발, 정기 보안 업데이트 등 기술 요건도 계약 조건에 포함할 수 있다.
협업 기간에는 확장형 탐지·대응(XDR)과 엔드포인트 탐지·대응(EDR)을 활용해 비인가 접근과 이상 행위를 살펴야 한다. 위협 인텔리전스를 운영 환경과 연계하고 장기 협력사를 대상으로 정기 보안 감사와 침투 테스트를 시행하는 방안도 제시했다. 소프트웨어 업데이트는 운영 환경에 적용하기 전 격리된 샌드박스에서 검증해야 한다.
계약이 끝나면 계정과 응용프로그램 인터페이스(API) 키, 통합인증(SSO), 가상사설망(VPN) 프로필을 비활성화해야 한다. 협력사가 운영한 클라우드 자원을 제거하고 보유한 기업 데이터가 완전히 삭제됐는지도 확인해야 한다.
세르게이 솔다토프 카스퍼스키 보안관제센터 총괄은 “최근 공급망 공격이 전 세계적으로 지속적으로 발생하면서 선제적인 대비는 더 이상 선택이 아닌 필수 요건이 됐다”며 “협력사의 선정부터 계약 체결, 공동 운영, 계약 종료에 이르기까지 공급망 전 과정에서 보안 체계를 구축하고 파트너와 지속적으로 협력하는 기업만이 사이버 복원력을 확보하는 것은 물론, 장기적인 경쟁 우위까지 확보할 수 있을 것”이라고 말했다.
정종길 기자
jk2@chosunbiz.com