공급망 공격이 바꾼 제3자 리스크 관리의 기준

공격자는 튼튼한 자물쇠로 단단하게 걸어 잠긴 정문을 고집하지 않습니다. ‘침입’이라는 1차 목표를 가장 빠르게 달성하기 위해선, 허술하게 닫혀 있거나 어쩌면 이미 열려 있을지도 모를 뒷문을 찾는 편이 더 효율적이기 때문이죠.

기업이 신뢰하는 공급업체와 협력사, 서비스형 소프트웨어(SaaS), 외주 개발사 등이 일종의 느슨한 뒷문이 될 수 있습니다. 이들은 외부에 있지만 원청사의 시스템과 데이터, 업무 프로세스에 연결되어 있고 상황에 따라 접근 권한도 부여받습니다. 공격자 입장에서는 원청사의 견고한 방어막을 직접 뚫는 대신 이 신뢰 관계를 악용해 우회로를 마련하는 것이 또 하나의 선택지가 될 수 있는 이유죠.

공급망 보안을 그저 ‘보안이 취약한 협력사를 관리하는 문제’로만 바라보기 어려운 이유입니다. 이제 각사의 최고정보보호책임자(CISO)가 유의해야 할 것은 어느 지점이 가장 취약한지 살피는 것뿐 아니라, 조직이 속한 광범위한 비즈니스 생태계 안에서 누가 우리와 연결되어 있으며 유사시 그 연결고리를 거쳐 전이될 수 있는 위험이 어디까지 확산될 수 있는지 선제적으로 파악하고 조치하는 일입니다.

즉, 공급망 공격의 범위를 빌드 시스템이나 오픈소스 취약점에 국한하지 않고 제3자 소프트웨어와 벤더, 외부 인력처럼 기업이 정상적인 업무를 위해 신뢰를 기반으로 권한을 개방해둔 영역까지 확장해야 하는 것입니다.

제3자 위험을 가르는 접근 권한과 영향 범위

오늘날 기업과 관계를 맺고 정보 자산을 공유하는 제3자의 범위는 매우 폭넓습니다. 앞서 언급한 것처럼 소프트웨어 공급업체부터 클라우드와 SaaS 사업자, 관리형 서비스 제공업체(MSP), 외주 개발사 및 인력까지 모두 서로 다른 방식으로 원청사 내부와 연결됩니다.

그러나 공격자가 타깃이 언제나 ‘보안 수준이 가장 취약한 협력사’인 것은 아닙니다. 관건은 목표 기업에 깊숙이 침투할 수 있는 접점을 보유한 서드파티(3rd Party)를 찾아 침투하는 것입니다.

미국 국립표준기술연구소(NIST) 역시 사이버 공급망 리스크 관리(C-SCRM)에서 모든 공급업체를 일률적으로 관리하기보다, 조직에 미치는 영향에 따라 핵심 공급업체를 식별하고 우선순위를 정하도록 제안합니다. 이를 위해 공급업체가 핵심 업무를 지원하는 제품이나 서비스를 제공하는지, 중요 데이터를 처리하는지, 어느 정도 레벨의 데이터와 시스템·네트워크에 접근할 수 있는지, 침해 시 공격 경로가 될 가능성이 있는지 등을 기준으로 공급업체의 중요도를 판단하도록 권고합니다. 핵심은 제3자의 보안 수준 자체보다 해당 서드파티가 원청사의 시스템, 데이터, 업무 환경 등에 대해 얼마나 높은 수준의 접근 권한을 보유하고 있는지 여부입니다.

동일한 보안 수준이 갖췄을지라도 원청사의 시스템과 아무런 접점이 없는 A사와 기밀 데이터나 핵심 개발 환경에 접근할 수 있는 B사에서 각기 발생하는 보안 사고를 같은 위험도로 간주할 순 없습니다. 공급망 보안에서는 원청사가 제3자에게 어떤 권한을 부여함으로써 어느 정도의 밀도로 연결됐는지, 그 연결을 통해 위험이 어떠한 양상으로 전이될 수 있는지를 함께 봐야 합니다.

‘계약 전 평가’에서 지속적 위험 확인으로

이 지점에서 짚어봐야 할 또 하나의 문제는 서드파티 리스크가 항상 고정되어 있지 않다는 점입니다.

계약 당시엔 보안 평가를 통과했더라도 이후 새로운 취약점이나 외부 노출 자산이 생길 수 있고, 계정 정보가 유출되거나 침해 정황이 나타날 수도 있습니다. 따라서 계약 전 설문과 보안 심사는 필요하지만, 특정 시점의 진단 결과만으로 현재의 위험까지 설명하기는 어렵습니다.

NIST 역시 C-SCRM을 개별 공급업체에 대한 일회성 평가에 그치지 않고, 조직의 위험 관리 체계에 통합해 지속적으로 운영하도록 제시합니다. 2026년 발표한 공급업체 및 제품 실사 가이드 ‘SP 1326’에서도 공급업체와 제품에 대한 정보 조사를 신규 구매뿐 아니라 기존 시스템과 관한 의사결정에도 활용하도록 설명합니다.

이 같은 문제의식은 실제 보안 현장의 위협 우선순위에도 반영되고 있습니다. 유럽연합 사이버보안청(ENISA)이 지난해 실시한 조사에서 공급망 및 제3자 침해는 향후 가장 우려되는 사이버 위협 가운데 두 번째로 꼽혔으며, 응답자의 47%가 이를 주요 위험 요인으로 지목했습니다.

따라서 제3자 위험 관리(Third Party Risk Management, TPRM)에서 던져야 할 질문도 달라져야 합니다. ‘이 업체는 보안 평가를 통과했는가’에서 끝나는 것이 아니라, ‘이 기업은 우리와 어떻게 연결되어 있으며, 지금 그 접점에서 어떤 위험이 발생하고 있는가’를 지속적으로 확인해야 합니다.

이를 위해서는 내부의 평가 정보뿐 아니라 제3자의 외부 노출 자산, 유출 계정, 취약점, 침해 정황과 같은 외부 위험 신호까지 면밀히 검토할 필요가 있습니다. 그리고 그 신호가 실제 우리 조직과 어떤 관계에 있는지 판단해야 합니다.

S2W는 이러한 접근을 기존의 ‘방패’에 ‘레이더’를 더하는 것으로 설명합니다. 내부로 들어온 공격을 막고 탐지하는 것에 더해, 사이버 위협 인텔리전스(CTI)와 외부 노출 정보를 활용해 공급망에서 발생하는 위험 신호를 사전에 파악하는 것입니다.

원청사가 공급망 전체를 통제하는 것은 현실적으로 불가능합니다. 하지만 신뢰를 기반으로 접근 권한을 부여받은 제3자의 보안 현황에 어떤 변화가 생기고 있는지는 명확히 볼 수 있어야 합니다. 이것이 TPRM이 단순한 협력사 평가 절차를 넘어 공급망 보안 전략의 일부가 되어야 하는 이유입니다.