대부분의 기업은 내부 시스템에만 의존하지 않습니다. 클라우드 플랫폼, 급여 제공업체, 마케팅 도구, IT 파트너, 그리고 일상 업무를 돌아가게 하는 수십 개의 SaaS 계정을 통해 운영됩니다. 각 공급업체는 문제를 해결하는 동시에 새로운 신뢰 관계를 만들어냅니다.
공급업체 위험 관리(VRM)는 타사와 협력하면서 발생하는 보안 위험을 평가, 승인, 모니터링, 검토하는 프로세스입니다. 이를 통해 기업은 어떤 공급업체가 민감한 시스템이나 데이터에 접근할 수 있는지, 해당 공급업체가 어떤 통제를 갖추고 있는지, 보안 관행이 그 접근을 정당화할 만큼 충분히 건전한지, 계약이 종료되거나 사고가 발생했을 때 접근을 얼마나 빠르게 변경할 수 있는지 파악할 수 있습니다.
자체 비즈니스에서 공급업체 위험 관리를 어떻게 접근할지 설명하겠습니다. 이미 협력 중인 공급업체를 평가하는 방법, 타사 공급업체 위험을 분류하는 방법, 공급업체 보안 체크리스트에 포함할 항목, 그리고 공급업체 자격 증명이 장기적인 노출이 되기 전에 관리하는 방법을 다룹니다.
Proton Pass for Business이 공급업체 접근 제어를 지원하는 방법
공급업체 위험 관리가 다루는 범위
공급업체 위험 관리는 간단한 원칙에 기반합니다. 데이터, 시스템 또는 비즈니스 프로세스에 접촉하는 모든 외부 주체는 위험 프로필을 바꿉니다.
대부분의 공급업체 위험은 일상 업무에서 비롯됩니다. 예를 들어, 팀이 속도, 전문성 또는 사내에 없는 소프트웨어를 필요로 하기 때문에 타사 에이전시가 비즈니스 네트워크에 참여할 수 있습니다. 접근 권한이 부여되고 데이터가 공유되며, 관계는 일상 업무의 일부로 형성됩니다.
위험은 해당 공급업체가 무엇에 접근할 수 있는지, 그 접근과 보안 사고 사이에 다중 요소 인증(MFA), 명명된 계정, 암호화 같은 어떤 통제가 있는지, 또는 그 접근을 얼마나 빠르게 발견하고 차단할 수 있는지가 불분명할 때 발생합니다. 접근 권한 취소는 보통 시스템 자체 내에서 또는 SCIM 프로비저닝을 통해 이루어집니다. 대부분의 기업에게 어려운 점은 실제로 어디를 살펴봐야 하는지 아는 것입니다.
공급업체는 대형 클라우드 제공업체, 틈새 SaaS 플랫폼, 프리랜서 개발자 또는 회계 법인일 수 있습니다. 공급업체의 규모와 업종이 핵심 문제는 아닙니다. 그들의 접근 권한이 문제입니다.
공급업체 위험은 여러 가지 방식으로 나타납니다:
- 데이터 위험: 공급업체가 비즈니스 또는 개인 데이터를 열람, 저장, 처리, 전송 또는 삭제할 수 있습니다.
- 접근 위험: 공급업체가 시스템에 로그인하고, 설정을 관리하고, 통합을 사용하거나 관리자 패널에 접근할 수 있습니다.
- 운영 위험: 비즈니스가 중요한 워크플로, 서비스 또는 고객 대면 프로세스를 공급업체에 의존합니다.
- 규정 준수 위험: 공급업체의 역할이 데이터 보호법(예: GDPR 준수 요건), 계약상 또는 부문별 요건에 따른 의무에 영향을 미칩니다.
- 자격 증명 위험: 공급업체 접근 권한이 공유되거나 재사용되거나 문서화되지 않았거나 취소하기 어렵습니다.
공급업체 위험은 발견하기 어렵습니다. 왜냐하면 종종 순간적으로는 합리적으로 보이는 작은 접근 선택을 통해 누적되기 때문입니다. 팀 구성원이 공유해서는 안 되는 로그인 정보를 공유하거나, 공급업체 계정이 편의를 위해 권한을 유지하거나, 프로젝트가 끝난 후 아무도 재검토하지 않는 계약자 권한이 그 예입니다. 시간이 지나면서 이러한 예외는 아무도 적극적으로 관리하지 않는데도 비즈니스 환경의 일부가 됩니다.
공급업체 위험 관리(VRM) 프로세스를 구축하는 방법
효과적으로 수행하면 공급업체 위험 관리가 모든 결정을 더 복잡하게 만들지는 않습니다. 비즈니스가 더 명확한 한도 내에서 접근 권한을 부여하는 신뢰할 수 있는 프레임워크를 만듭니다. 자체 공급업체 위험을 평가하고 위험 관리 전략을 구축하기 위해 비즈니스가 취할 수 있는 주요 단계를 살펴보겠습니다.
1. 공급업체 목록 작성
보안 증거를 요청받거나 계약을 갱신할 때 공급업체 위험 관리를 반응적인 작업으로 만들지 말고, 사전 예방적인 작업으로 만드세요. 먼저 이미 운영에 포함된 공급업체를 파악하는 것부터 시작하세요.
공급업체 목록을 작성하는 것은 복잡할 필요가 없습니다. 다음을 보여줄 수 있을 만큼 명확하면 됩니다:
- 관계를 담당하는 사람
- 공급업체가 제공하는 서비스
- 공급업체가 접근할 수 있는 시스템 또는 데이터
- 개인 데이터가 관련되는지 여부
- 하위 처리업체가 사용되는지 여부
- 다음 계약 또는 보안 검토 기한
공급업체마다 권한과 접근 요구 사항이 다르므로 접근 권한은 기록해야 할 중요한 구성 요소입니다. 일부 공급업체는 명명된 계정을 사용합니다. 다른 공급업체는 공유 자격 증명, 관리자 접근 권한, API 키, 공유 받은 편지함 또는 원래 필요가 사라진 후에도 오랫동안 활성 상태로 남아 있는 임시 로그인에 의존합니다. 이러한 차이는 오프보딩이나 사고 발생 시 접근 권한을 얼마나 빠르게 변경할 수 있는지를 결정하기 때문에 중요합니다.
목록에는 공식 조달 절차 밖에 있을 수 있는 소규모 공급업체도 포함해야 합니다. 플러그인, 컨설턴트, 프리랜서 개발자, 에이전시 또는 전문 SaaS 서비스는 민감한 데이터나 중요한 워크플로에 접촉할 경우 의미 있는 노출을 만들 수 있습니다.
목록의 주요 가치는 더 나은 접근 제어를 만드는 데 있습니다. 공급업체 관계가 끝나면 비즈니스는 어떤 계정을 비활성화하고, 어떤 자격 증명을 교체하고, 어떤 통합을 제거하고, 저장된 데이터를 어떻게 처리해야 하는지 알 수 있습니다.
2. 편의가 아니라 위험에 따라 공급업체 분류
공급업체를 매핑한 후에는 공급업체가 만드는 위험에 따라 그룹화하세요. 이렇게 하면 프로세스의 비례성을 유지하고 모든 공급업체를 무해하거나 중요한 존재로 취급하는 것을 피할 수 있습니다.
고위험 공급업체는 일반적으로 민감한 데이터를 처리하거나, 필수 운영을 지원하거나, 특권 접근 권한을 보유합니다. 여기에는 클라우드 인프라, 신원 플랫폼, 급여, 재무, HR 시스템, 관리형 IT, 보안 서비스 또는 핵심 SaaS 플랫폼이 포함될 수 있습니다.
중간 위험 공급업체는 중요한 업무를 지원하지만 접근 범위가 더 좁습니다. 여기에는 협업 플랫폼, 분석 도구, 프로젝트 관리 시스템, 헬프 데스크 소프트웨어 또는 제한된 권한을 가진 에이전시가 포함될 수 있습니다.
저위험 공급업체는 민감한 데이터나 비즈니스에 중요한 시스템에 대한 접근 권한이 거의 또는 전혀 없습니다. 여전히 기록해야 하지만, 역할이 바뀌지 않는 한 동일한 깊이의 검토가 필요하지는 않습니다.
등급은 공급업체의 평판, 규모 또는 가격이 아니라 실제 접근 권한을 따라야 합니다. 익숙한 플랫폼도 민감한 데이터를 저장하면 고위험이 될 수 있습니다. 작은 계약자도 관리자 권한을 보유하면 고위험이 될 수 있습니다.
위험 등급을 사용하여 공급업체를 얼마나 깊이 평가할지, 관계를 얼마나 자주 검토할지, 어떤 최소 통제가 적용되는지 결정하세요.
3. 접근 권한을 부여하기 전에 보안 요구 사항 설정
공급업체 평가는 비즈니스가 접근 권한을 승인하기 전에 최소 요구 사항을 알고 있을 때 가장 잘 작동합니다.
고위험 공급업체의 경우, 이러한 요구 사항은 데이터를 보호하고 접근 권한에 대한 책임을 유지하는 통제를 포함해야 합니다. MFA, 전송 중 및 저장 시 암호화, 역할 기반 접근 제어, 감사 로그, 사고 대응 절차, 취약점 관리, 하위 처리업체 통제, 데이터 삭제 약속, 비즈니스 연속성 계획 등이 있습니다.
보안 증거는 해당 검토를 뒷받침할 수 있습니다. ISO 27001, SOC 2, 영국의 Cyber Essentials과 같은 국가 제도, 침투 테스트 요약 또는 보안 백서는 모두 공급업체의 역할과 관계의 민감도에 따라 도움이 될 수 있습니다.
인증 및 감사 보고서는 공급업체가 어떻게 운영되는지 설명합니다. 공급업체가 실제로 누구인지에 대해서는 훨씬 덜 말해줍니다. Passwork의 안전성에 대한 최근 조사는 이러한 구분이 중요함을 입증합니다. 유럽 등록, 세련된 웹사이트, “신뢰를 위해 구축됨”이라는 메시지만으로도 설치하는 코드의 소유권, 관할권 또는 출처를 추적하지 않은 조직의 기준을 통과하기에 충분했습니다.
민감한 접근 권한을 보유한 모든 공급업체의 경우, 통제 체크리스트와 함께 두 가지 질문이 필요합니다. 회사를 소유하고 통제하는 주체는 누구이며 어느 국가의 법률에 따라 운영되는가? 그리고 독립적인 전문가가 코드를 검사할 수 있는가, 아니면 비즈니스가 공급업체의 말만 믿고 폐쇄형 시스템을 신뢰하는가?
중간 위험 공급업체는 더 가벼운 검토가 필요할 수 있지만, 계정을 어떻게 보호하고, 직원 접근을 제한하고, 데이터를 처리하고, 사고를 고객에게 알리고, 관계가 끝나면 접근 권한을 제거하는지 설명할 수 있어야 합니다.
저위험 공급업체의 경우 주요 확인 사항은 민감한 시스템이나 개인 데이터에 실제로 접근 권한이 없는지 여부일 수 있습니다. 상황이 바뀌면 공급업체를 재평가해야 합니다.
좋은 프로세스는 위험이 높은 곳에서는 엄격하고 위험이 실제로 낮은 곳에서는 가볍습니다. 모든 공급업체 검토를 기업 감사로 만들지는 않지만, 민감한 접근 권한이 신뢰만으로 승인되는 것을 방지해야 합니다.
4. 온보딩 후 공급업체 모니터링
공급업체는 시스템, 하위 처리업체, 정책, 인력, 보안 통제를 변경합니다. 시간이 지나면서 비즈니스에서 공급업체에 부여하는 접근 권한이 늘어날 수도 있습니다. 모니터링하지 않으면 최초 평가는 더 이상 유효하지 않게 됩니다.
실용적인 모니터링 프로세스에는 고위험 및 중위험 공급업체에 대한 연간 검토, 계약 갱신 전 점검, 접근 권한 확대 시 재평가, 보고된 보안 사고 이후 검토가 포함될 수 있습니다. 핵심 공급업체의 경우 접근 권한을 더 자주 점검해야 할 수 있습니다.
모니터링에는 자격 증명 계층도 포함되어야 합니다. 공급업체 계정이 여전히 활성 담당자에게 속해 있는지, 권한이 현재 범위와 일치하는지, 공유 자격 증명이 아직 남아 있는지, 통합이나 API 키가 여전히 필요한지 확인하세요.
많은 비즈니스가 피할 수 있는 노출을 발견하는 지점이 바로 여기입니다. 오래된 대행사 계정, 사용하지 않는 외주 업체 로그인, 관리 주체가 없는 공유 비밀번호, 과거 프로젝트를 위해 만든 통합, 편의를 위해 부여한 관리자 권한 등이 그렇습니다.
공급업체 위험은 비즈니스 연속성 계획에도 포함되어야 합니다. 핵심 공급업체를 이용할 수 없게 되거나, 보안 사고를 보고하거나, 긴급한 접근 권한 변경을 강제하는 경우 비즈니스는 필수 업무를 계속 진행할 방법이 필요합니다. 비즈니스 연속성 전략에 대한 Proton의 가이드에서는 특히 접근 권한과 자격 증명이 관련된 경우 복원력이 백업만으로 충분하지 않은 이유를 설명합니다.
5. 타사 자격 증명 관리
많은 공급업체 위험 관리 프로그램은 서류상으로는 탄탄해 보이지만 자격 증명 수준에서 실패합니다. 공급업체가 서류상으로는 규정을 준수하는 것처럼 보여도 일상적인 접근 권한 처리 방식 때문에 여전히 노출을 초래할 수 있습니다.
위험은 공식 프로세스와 현실적인 프로세스 사이의 간극에 존재합니다. 승인된 시스템 외부에 저장된 자격 증명, 명확한 관리 주체가 없는 공유 계정, 공급업체 관계가 바뀐 후에도 활성 상태로 남아 있는 API 키 등이 그렇습니다.
이러한 접근 경로를 검토하고 취소하지 않으면, 원래 작업이 끝난 뒤에도 오랫동안 공급업체 위험을 계속 안고 갈 수 있습니다.
타사 접근 권한은 내부 접근 권한과 동일한 원칙을 따르고 동일한 비밀번호 정책을 사용해야 합니다 :
- 공급업체에 필요한 접근 권한만 부여합니다.
- 가능하면 개인별 계정을 사용합니다.
- 공유 자격 증명은 다른 방법이 없는 경우에만 사용합니다.
- 공유 자격 증명은 통제된 자격 증명 관리 시스템에 저장합니다.
- 공급업체와 파일을 공유할 때는 이메일 첨부 파일이 아니라 만료되는 링크가 있는 암호화된 비즈니스용 클라우드 저장공간을 사용합니다.
- 접근 권한을 정기적으로 검토합니다.
- 작업이 끝나면 접근 권한을 취소합니다.
- 공급업체 담당자가 변경되거나 사고가 발생한 후에는 자격 증명을 교체합니다.
- 서비스가 지원하는 모든 곳에서 MFA를 요구합니다.
비즈니스 비밀번호 관리자를 사용하면 이러한 규칙을 쉽게 구현할 수 있습니다. 팀은 공급업체 자격 증명을 저장하고, 채팅이나 이메일로 비밀번호를 보내지 않고도 접근 권한을 공유하고, 비밀번호를 교체하고, 공급업체 관계가 끝나면 접근 권한을 삭제할 수 있는 안전한 공간을 확보할 수 있습니다.
공급업체 보안 체크리스트
공급업체 보안 체크리스트는 비즈니스가 새 공급업체를 안전하게 온보딩하는 데 도움이 되어야 합니다.
이를 사용하여 관계를 명확히 이해하세요 :
- 공급업체는 어떤 데이터에 접근하고, 처리하고, 저장하나요?
- 공급업체가 당사를 대신하여 개인 데이터를 처리하나요?
- 공급업체가 데이터 처리 계약(DPA)에 서명하고 계약이 끝나면 당사 데이터를 삭제하나요?
- 데이터는 어디에 저장되고 처리되나요?
- 공급업체가 하위 처리업체를 사용하나요?
- 공급업체가 MFA를 적용하나요?
- 공급업체는 고객 데이터에 대한 직원 접근 권한을 어떻게 통제하나요?
- 당사 비즈니스가 역할 기반 권한을 할당할 수 있나요?
- 접근 권한을 즉시 삭제할 수 있나요?
- 공급업체가 감사 로그 또는 관리자 활동 보고서를 제공하나요?
- 공급업체는 데이터를 어떻게 암호화하나요?
- 공급업체는 보안 사고를 얼마나 빨리 당사에 알리나요?
- 공급업체에 비즈니스 연속성 또는 재해 복구 절차가 있나요?
- 공급업체가 보안 문서, 인증서 또는 감사 요약을 제공할 수 있나요?
- 공급업체가 공개적으로 보고된 보안 사고를 겪은 적이 있으며, 어떻게 대응했나요?
- 회사를 소유하고 통제하는 주체는 누구이며, 어느 관할권에서 운영되나요?
- 제품이 오픈 소스이거나 독립적으로 감사되어 보안 주장을 검증할 수 있나요?
체크리스트는 비즈니스가 감수하는 모든 위험을 보여주어야 합니다. 공식 인증이 없는 공급업체도 저위험 업무에는 여전히 적합할 수 있습니다. 관리자 접근 권한, 취약한 인증, 모호한 사고 대응 일정, 명확한 삭제 절차가 없는 공급업체는 전혀 다른 결정입니다.
이미 사용 중인 공급업체의 경우 갱신 및 예정된 검토 시 체크리스트를 다시 활용하세요. 최초 승인은 오늘날 도구가 사용되는 방식을 더 이상 반영하지 않을 수 있습니다. 작은 프로젝트를 위해 도입한 공급업체가 어느새 고객 운영, 재무 워크플로, 핵심 통합의 일부가 될 수 있습니다.
Proton Pass for Business가 공급업체 접근 권한 통제를 지원하는 방법
타사 접근 권한이 통제된 시스템 외부에서 관리되면 공급업체 위험 관리는 훨씬 어려워집니다. 공급업체가 승인되고 문서화되고 계약으로 보호될 수 있지만, 실제 노출은 일상적인 접근 경로에 달려 있는 경우가 많습니다 : 공유 자격 증명, 권한, 패스키, 복구 코드, API 키, 그리고 관계가 바뀔 때 검토하거나 삭제해야 하는 계정 등이 그렇습니다.
Proton Pass for Business와 같은 비즈니스 비밀번호 관리자는 비즈니스가 이러한 접근 권한을 더 안전하고 감사 가능한 프로세스로 가져오도록 돕습니다. 팀은 공급업체 자격 증명을 종단간 암호화된 보관함에 저장하고, 강력하고 고유한 비밀번호를 생성하고, 자동완성을 사용해 수동 처리를 줄이고, 패스키를 관리하고, 이메일, 채팅 또는 프로젝트 문서로 비밀번호를 보내지 않고 접근 권한을 공유할 수 있습니다.
특히 공급업체 접근 권한의 경우 공유 보관함을 사용하면 공급업체, 프로젝트, 팀 또는 민감도 수준별로 자격 증명을 분리하는 데 도움이 됩니다. 이렇게 하면 접근 권한을 체계적으로 유지하고, 누가 무엇에 접근할 수 있는지 검토하고, 계약이 끝나거나 공급업체 담당자가 바뀌거나 사고에 대한 신속한 격리가 필요할 때 접근 권한을 삭제하기가 더 쉬워집니다.
IT 팀을 위한 비밀번호 관리자는 프로세스가 더 공식화될수록 필요한 관리 계층을 추가합니다. 정책, 보고, 로그, 역할 기반 접근 제어, SCIM 프로비저닝, 싱글 사인온 통합은 비즈니스가 개별 습관에 의존하는 대신 팀 전반에서 접근 권한을 일관되게 관리하도록 돕습니다.
Proton Pass for Business는 공급업체가 비즈니스와 협업하기 위해 사용하는 자격 증명과 접근 경로를 통제하여 비즈니스를 지원합니다. 또한 오픈 소스이며 독립적으로 감사되므로, 자체 공급업체에 적용하도록 권장하는 동일한 체크리스트를 통과합니다. 통제된 환경에서 공급업체 접근 권한을 저장, 공유, 검토, 취소할 수 있으면 최초 평가 이후에도 공급업체 위험을 더 쉽게 관리할 수 있습니다.
비즈니스 비밀번호 관리자로 타사 자격 증명 접근 권한을 안전하게 통제하세요.
