카스퍼스키가 공급망과 신뢰 관계에서 발생하는 사이버 위험 대응 현황을 담은 보고서를 발표했다. 보고서에 따르면 전 세계 기업 3곳 중 1곳은 지난 1년 동안 공급망 공격을 경험한 것으로 나타났다. 기업의 디지털 생태계가 협력사, 클라우드 서비스, 외부 소프트웨어, 위탁 운영 조직으로 넓어지면서 제3자를 통한 침해 위험도 함께 커지고 있다는 분석이다.
이번 조사에서 글로벌 기업의 42%는 공급망 공격과 신뢰 관계 공격 위험을 줄이는 데 가장 큰 장애 요인으로 숙련된 IT 보안 인력 부족을 꼽았다. 같은 비율의 응답자는 여러 보안 업무의 우선순위를 정해야 하는 부담도 주요 문제라고 답했다. 보안팀이 제한된 인력과 예산으로 취약점 관리, 사고 대응, 규정 준수, 협력사 점검 등을 동시에 수행해야 하는 현실이 공급망 보안 대응을 어렵게 만들고 있다는 의미다.
공급망 공격, 기업의 주요 위협으로 부상
공급망 공격은 특정 기업을 직접 공격하는 대신 그 기업과 연결된 협력사, 소프트웨어 공급업체, 클라우드 서비스, 관리형 서비스 제공업체 등을 침투 경로로 삼는 방식이다. 공격자는 상대적으로 보안 수준이 낮은 외부 조직이나 신뢰 관계를 악용해 최종 표적 기업 내부로 접근한다. 이 때문에 기업이 내부 보안 체계를 강화하더라도 외부 생태계 관리가 부족하면 침해 가능성이 남는다.
카스퍼스키 조사에 따르면 설문에 응답한 기업의 85%는 공급망과 신뢰 관계 위험에 대한 보호를 강화할 필요가 있다고 인정했다. 반면 현재 보안 조치가 효과적이라고 평가한 기업은 15%에 불과했다. 독일 6%, 터키 7%, 이탈리아 8%, 브라질 8%, 러시아 8%, 사우디아라비아 9% 등 일부 국가에서는 현재 대응 체계에 대한 신뢰 수준이 더 낮게 나타났다.
아시아태평양(APAC) 지역에서도 국가별 차이가 확인됐다. 인도는 11%, 인도네시아와 싱가포르는 각각 14%로 낮은 신뢰 수준을 보였다. 반면 베트남은 21%, 중국은 34%로 상대적으로 높은 신뢰도를 나타냈다. 그러나 전반적으로는 상당수 조직이 제3자 위험 관리 체계가 충분하지 않다고 인식하고 있었다.
보안 인력 부족과 업무 과부하가 대응력 약화
보고서는 공급망 위험 대응을 가로막는 주요 요인으로 보안 인력 부족을 지적했다. 숙련된 인력이 부족하면 조직은 협력사 보안 상태를 지속적으로 점검하거나, 제3자 취약점을 추적하고, 계약상 보안 의무 이행 여부를 확인하기 어렵다. 이는 공급망 전체의 보안 수준을 낮추는 결과로 이어질 수 있다.
APAC 시장에서는 숙련된 IT 보안 인력 부족을 지적한 조직 비율이 싱가포르 34%에서 베트남 57%까지 다양하게 나타났다. 말레이시아의 경우 국가 차원의 사이버보안 역량 강화 정책이 추진되면서 보안 전문가 수요가 계속 늘고 있다. 말레이시아 디지털부는 2026년까지 약 2만8,068명의 사이버보안 전문가가 필요할 것으로 예상했지만, 현재 인력 규모는 약 1만6,765명 수준으로 추정됐다.
보안 업무 우선순위 설정 문제도 뚜렷했다. 인도 54%, 베트남 48%, 싱가포르 47%의 응답자는 동시에 너무 많은 사이버보안 과제를 관리해야 한다고 답했다. 이는 보안팀이 단기 사고 대응과 내부 보안 운영에 집중하느라 협력사 점검, 계약 검토, 장기적인 공급망 위험 관리에 충분한 시간을 쓰지 못할 가능성을 보여준다.
계약상 보안 의무 미흡, 제3자 위험 키워
자원 부족 외에도 구조적 문제도 확인됐다. APAC 시장에서는 계약 체결 시 IT 보안 의무가 포함되지 않은 경우가 30%에서 61%에 이르는 것으로 나타났다. 이는 상당수 기업이 협력사와 거래하면서 보안 감사, 사고 통지, 취약점 관리, 보안 표준 준수 같은 조건을 명확히 계약에 반영하지 않고 있다는 의미다.
비 IT 보안 인력의 인식 부족도 문제로 지적됐다. APAC 지역 응답자의 25%에서 38%는 비 IT 보안 인력이 공급망과 신뢰 관계 위험을 충분히 이해하지 못하고 있다고 답했다. 공급망 보안은 정보보안 부서만의 문제가 아니라 구매, 법무, 사업부, 운영 부서가 함께 관리해야 하는 영역이다. 그러나 실제 현장에서는 보안 요구사항이 계약과 업무 프로세스에 충분히 반영되지 않는 경우가 적지 않다.
제3자 위험 대응 방식도 여전히 분산돼 있었다. 가장 기본적인 보호 조치 중 하나인 이중 인증조차 국가별 채택률 차이가 컸다. 싱가포르는 28%로 낮은 수준을 기록했으며, 다른 국가들도 35% 이상으로 나타났지만 글로벌 평균에는 미치지 못했다. 협력사 보안 상태를 일관되게 확인하지 못하면 기업은 파트너 생태계 안에서 발생하는 취약점과 침해 가능성을 제때 파악하기 어렵다.
흥미로운 점은 이미 공급망 공격이나 신뢰 관계 침해를 경험한 기업일수록 더 강한 보안 관행을 채택하는 경향을 보였다는 점이다. 글로벌 기준으로 공급망 사고를 경험한 기업은 협력사에 침투 테스트 결과를 요구할 가능성이 56%로 나타났다. 신뢰 관계 침해를 경험한 기업은 산업 표준 준수 여부 56%, 협력사의 공급망 정책 53%를 우선 검증하는 경향을 보였다.
카스퍼스키 세르게이 솔다토프 SOC 총괄은 “보안 팀이 과도한 업무 부담과 인력 부족 상황에서 단기적인 긴급 과제에 집중할 수밖에 없을 경우, 조직은 공급자 생태계를 통해 은밀하게 이동하는 위협에 노출된다”고 말했다. 그는 “이러한 악순환을 끊기 위해서는 표준화된 협력사 평가와 조직 간 인식 강화 등 통합적이고 일관된 대응 전략이 필요하다”며 “공급망 보안은 전체 비즈니스 네트워크 전반에서 공유되고 실행 가능한 책임이 돼야 한다”고 강조했다.
카스퍼스키 아드리안 히아 아시아태평양 총괄 사장도 “APAC 지역 조직들이 디지털 생태계를 확장함에 따라 공급망 보안은 내부 운영과 동일한 수준의 관리 체계로 다뤄져야 한다”고 말했다. 그는 “파트너에 대한 명확한 보안 요구사항을 설정하고, 이를 지속적으로 검증하며, 일상 업무 프로세스에 책임을 내재화해야 한다”고 밝혔다.
카스퍼스키는 공급망 위험을 줄이기 위해 관리형 보안 서비스 도입, 임직원 보안 교육 강화, 계약 체결 전 공급업체 평가, 계약상 보안 요구사항 명시, 협력사와의 보안 협업 강화를 권고했다. 특히 전담 보안 인력이 부족한 조직은 관리형 탐지·대응(MDR)과 사고 대응 서비스 등을 활용해 위협 식별부터 대응까지 지원받을 필요가 있다고 설명했다.
이번 조사는 카스퍼스키 내부 시장 조사 센터가 500명 이상의 직원을 보유한 기업을 대상으로 진행했다. 조사에는 C레벨 임원, 부사장, 팀 리드, 시니어 전문가 등 기술 전문가 1,714명이 참여했다. 조사 대상 국가는 독일, 스페인, 이탈리아, 브라질, 멕시코, 콜롬비아, 싱가포르, 베트남, 중국, 인도, 인도네시아, 사우디아라비아, 터키, 이집트, 아랍에미리트, 러시아 등 16개국이다.
댓글
0