공급망 공격이 주요 사이버 위협으로 부상한 가운데 협력사와의 계약 단계에서 정보보호 요구사항을 명문화한 기업은 절반에도 못 미치는 것으로 나타났다.
카스퍼스키는 공급망 위험을 줄이기 위해 협력사 계약서에 정보보호 요구사항을 반영한 기업이 전체의 37%에 그쳤다고 10일 밝혔다.
카스퍼스키 내부 시장조사센터 조사에서는 공급망 공격이 2025년 기업이 직면한 가장 큰 사이버 위협으로 나타났다.
카스퍼스키는 이에 대응하기 위해 협력사 선정부터 계약 종료까지 전 과정을 하나의 보안 체계로 관리하는 '에코시스템 기반 공급망 보안 전략'을 제시했다.
협력사 선정 단계에서는 공급업체의 데이터 처리 방식과 접근 권한, 보안 수준 등을 사전에 점검해야 한다고 강조했다. 계약서에는 암호화와 다중 인증(MFA), 안전한 소프트웨어 개발, 보안 사고 통보 절차 등 구체적인 보안 요건을 명문화할 것을 권고했다.
협업 기간에는 확장 탐지·대응(XDR), 엔드포인트 탐지·대응(EDR), 위협 인텔리전스 등을 활용해 신규 취약점과 이상 행위를 지속적으로 점검해야 한다고 설명했다. 장기 협력업체는 최소 연 1회 보안 감사를 실시하고 침투 테스트와 모의 공격으로 보안 수준을 검증할 필요가 있다고 덧붙였다.
계약 종료 후에는 계정과 API 키, 싱글사인온(SSO), 가상사설망(VPN) 등 모든 접근 권한을 제거하고 공급업체가 보유한 기업 데이터의 삭제 여부까지 확인해야 한다고 강조했다.
세르게이 솔다토프 카스퍼스키 보안관제센터 총괄은 “공급망 공격이 지속되는 만큼 선제적 대비는 필수”라며 “협력사 선정부터 계약 종료까지 전 과정에 걸쳐 보안 체계를 구축하고 지속적으로 협력해야 사이버 복원력과 장기적인 경쟁력을 확보할 수 있다”고 말했다.
박진형 기자 jin@etnews.com
