한 기업의 보안은 오랫동안 그 기업 자신의 방화벽과 출입 통제의 문제로 여겨졌다. 그러나 오픈소스, 클라우드 서비스, 외부 응용프로그램 인터페이스(API, Application Programming Interface), 그리고 최근의 인공지능(AI, Artificial Intelligence) 서비스가 업무 깊숙이 들어오면서 지켜야 할 경계는 회사 담장 밖으로 넓어졌다. 공격자는 가장 견고하게 잠긴 정면을 정공법으로 두드리지 않는다. 더 허술하게 관리되는 우회로, 곧 협력사라는 통로를 노린다.
제로 트러스트(Zero Trust)를 이야기할 때 거의 항상 따라붙는 표현이 공격 표면(attack surface)의 확장이다. 하이브리드 클라우드와 멀티 클라우드가 보편화되고, 그 안에는 개발자라면 누구나 끌어다 쓰는 오픈소스 라이브러리가 들어가 있다. 파트너사가 접속하는 API 연동도 흔하며, 서비스형 소프트웨어(SaaS, Software as a Service)도, AI 서비스도 빠르게 늘었다.
이 모든 항목에는 한 가지 공통점이 있다. 전부 제3자, 곧 협력사의 손을 거친다는 점이다. 오픈소스 코드의 작성자, SaaS의 운영사, API 너머의 파트너, AI 모델의 공급자 모두가 내 회사 바깥의 존재다. 그리고 대부분의 기업은 자신과 연결된 이 협력사들의 보안 상태가 지금 어떤지를 알지 못한다.
늘어나는 업무를 감당하려고 기업은 협력사와 외주, 클라우드 서비스에 자기 시스템의 열쇠 복사본을 하나씩 내준다. 문제는 정작 내 사무실 자물쇠를 최신형으로 바꿔도, 복사본을 받은 수백 곳 가운데 단 한 곳이 그 열쇠를 책상 위에 방치하면 자물쇠의 등급이 무의미해진다는 데 있다. 공급망 보안은 내가 직접 채울 수 없는 이 복사 열쇠들을, 다른 사람의 손에 들린 채로 어떻게 관리할 것인가의 문제다.
규모를 보면 문제는 더 분명해진다. 대기업 한 곳이 거래하는 외부 업체는 보통 수백에서 수천 곳에 이른다. 한 대규모 조사에서는 사실상 거의 모든 조직(약 98퍼센트)이 최근 2년 안에 침해를 겪은 협력사와 직접 또는 간접으로 연결돼 있는 것으로 나타났다. 같은 연구에 따르면 협력사는 본사보다 보안 수준이 취약할 확률이 약 5배 높았다. 연결된 협력사가 많을수록, 그리고 그 가운데 부실한 곳이 섞여 있을수록 내 조직의 위험도 함께 커진다.
그림 1. 클라우드 전환과 AI 도입으로 늘어난 연결은 형태가 달라도 결국 모두 외부 협력사의 영역으로 수렴한다.
제3자를 통한 침해는 통계로도 뚜렷하게 늘고 있다. 한 글로벌 데이터 침해 조사 보고서에 따르면, 협력사가 연루된 침해의 비중은 한 해 사이 약 15퍼센트에서 약 30퍼센트로 두 배가 됐다. 또 다른 보안 평가 기관의 분석에서는 2024년에 발생한 전체 침해 가운데 35퍼센트가량이 제3자와 관련된 것으로 집계됐는데, 보고가 누락되거나 분류가 잘못된 경우를 감안하면 이마저도 보수적인 수치라는 평가다.
한 신원도용 자원센터(ITRC, Identity Theft Resource Center)의 집계는 전파의 위력을 보여준다. 공급망 침해의 영향을 받은 기관 수가 2024년 약 660곳에서 2025년 약 1,250곳으로 거의 두 배가 됐다. 주목할 점은 공격 건수 자체는 거의 늘지 않았다는 사실이다. 곧 한 번의 공격이 더 많은 하위 피해자로 번졌다는 뜻이다. 소프트웨어 공급사나 클라우드 운영사 한 곳이 뚫리면, 그 업체와 거래하는 모든 조직이 한꺼번에 노출된다.
비용 측면도 가볍지 않다. 한 침해 비용 보고서에서 데이터 침해의 평균 손실은 약 444만 달러로 집계됐고, 공급망과 제3자가 얽힌 침해는 그 가운데서도 손실이 크고 복구가 오래 걸리는 축에 속했다. 새로운 위협 표면도 빠르게 등장하고 있다. 오픈소스 저장소에서는 악성 패키지가 폭증해 한 해 동안 수십만 건이 새로 식별됐고, 2025년에는 보고된 침해 6건 중 1건꼴로 AI를 동원한 공격 요소가 확인됐다.
그림 2. 출처별 정의에 따라 수치는 다르지만, 협력사가 끼어든 침해의 비중이 가파르게 오르고 있다는 방향은 일관된다.
많은 기업에서 보안 예산이 가장 적게 흘러가는 곳이 바로 제3자 영역이다. 그런데 막상 사고가 났을 때 예상되는 손실은 정반대로 제3자 영역에서 가장 크게 나타난다. 가장 적게 지키는 곳이 가장 크게 무너지는 구조다.
이 역설의 배경에는 두 가지 이유가 있다. 첫째, 협력사는 내가 직접 통제할 수 없는 영역이라고 여겨 투자를 미룬다. 우리 직원에게 보안 교육을 시키고 우리 서버를 점검하는 일은 손에 잡히지만, 남의 회사 보안을 강제하는 일은 권한 밖이라는 인식이 깔려 있다. 둘째, 사고가 나도 인지가 늦다. 협력사에서 벌어진 일은 내부 경보로 잡히지 않기 때문에, 모든 피해가 다 발생한 뒤에야 알게 되고 그만큼 피해 규모도 커진다.
그림 3. 투자의 우선순위와 위험의 무게중심이 어긋나 있는 상태가 공급망 보안의 구조적 약점이다.
2024년 말, 북미 교육용 소프트웨어 분야에서 공개된 한 침해 사고는 공급망 위험의 전형을 그대로 보여준다. 이 기업의 학생 정보 시스템(SIS, Student Information System)에는 학생 약 6,200만 명과 교직원 약 950만 명의 정보가 담겨 있었다. 유출된 자료에는 단순한 식별 정보를 넘어 이름과 연락처, 일부 사회보장번호(SSN, Social Security Number), 그리고 일부 의료 기록과 성적·징계 기록까지 포함됐다.
흥미로운 점은 이 기업이 보안에 소홀했던 곳이 아니라는 사실이다. 외부 컴플라이언스 인증을 보유하고 정기적으로 모의 침투 시험과 취약점 점검을 수행했으며, 보안 운영 조직과 직원 교육 체계까지 갖추고 있었다. 할 수 있는 일을 대부분 하고 있었다고 보아도 무리가 없다.
그런데도 사고는 일어났다. 침투 경로는 자체 핵심 시스템이 아니라, 다단계 인증(MFA, Multi-Factor Authentication)이 적용되지 않은 고객 지원 포털의 계정 하나였다. 곧 외부 지원 채널, 협력사 영역의 작은 틈이 전체 데이터로 통하는 문이 됐다. 게다가 침입은 12월 중순에 시작됐지만 회사가 이를 인지한 것은 약 아흐레가 지난 12월 말이었다. 그 사이 자료는 이미 빠져나갔다.
이후의 전개가 더 뼈아프다. 이 기업은 데이터를 삭제하겠다는 약속과 삭제 정황 영상을 받는 조건으로 약 285만 달러 상당의 암호화폐 몸값을 지불했다. 그러나 약 반년 뒤, 같은 데이터를 손에 쥔 또 다른 협박이 개별 학교 단위로 재개됐다. 한 번 몸값을 냈다는 사실이 데이터의 안전을 보장하지 못했다는 의미다.
본사가 보안을 아무리 충실히 갖춰도, 연결된 외부 지점 하나가 약하면 전체가 무너진다. 그리고 몸값 지불은 사고의 종결이 아니라 또 다른 협박의 시작이 될 수 있다.
공급망을 통한 사고의 가장 큰 문제는 손실의 크기 이전에 인지의 지연이다. 내 회사 안에서 벌어진 일이라면 보안 관제와 경보 체계가 그날이나 다음 날 신호를 잡아낸다. 그러나 협력사에서 벌어진 일은 내 경보망 밖에 있다. 사고가 다 터지고 데이터가 다 빠져나간 다음에야 통보를 받는 경우가 흔하다.
내부 보안 관제는 내 건물 로비를 비추는 폐쇄회로 카메라와 같다. 내 로비에서 벌어지는 일은 그 자리에서 화면에 잡힌다. 그러나 사고가 카메라를 둘 수 없는 협력사 건물에서 일어나면 내 화면에는 아무것도 남지 않는다. 결국 그 건물의 누군가가 알려 줄 때까지, 그것도 일이 다 끝난 뒤에야 사실을 알게 된다. 공급망 보안의 본질은 이처럼 카메라가 닿지 않던 영역에까지 시야를 확보하는 일이다.
전통적인 점검 방식은 이 공백을 메우지 못한다. 협력사에 보안 설문지를 보내 답을 받는 방식은 1년에 한 번 찍는 정지 사진에 가깝다. 점검과 점검 사이에 협력사의 보안 상태가 어떻게 바뀌는지는 비어 있다. 새 취약점이 공개되고 공격 기법이 달라지는 동안 그 변화는 다음 설문이 돌아올 때까지 잡히지 않는다.
보이지 않는 협력사 영역에 시야를 확보하는 한 가지 방법이 외부 관점의 보안 평가, 곧 보안 등급(security ratings)이다. 접근법은 직관적이다. 한 조직이 인터넷에 노출하고 있는 디지털 자산을 바깥에서 관찰해 그 보안 상태를 점수로 환산한다. 침투하거나 내부에 들어가지 않고, 외부에서 보이는 것만으로 판단하기에 외부 관점(outside-in) 방식이라 부른다.
시작점은 도메인 하나다. 어떤 기업의 대표 도메인 주소만 알면, 그 도메인이 거느린 서브 도메인과 보안 인증서, 그리고 그것들과 연결된 IP(Internet Protocol) 주소까지 자동으로 식별해 하나의 디지털 자산 집합으로 묶는다. 도메인 수백 개와 IP 주소 수천 개가 모이면, 거기서 관찰되는 위험 신호를 평가한다. IP 평판, 도메인 이름 체계(DNS, Domain Name System)의 건전성, 네트워크 보안, 웹 애플리케이션 보안, 패치가 제때 이루어지는지의 주기, 외부로 새어 나온 정보, 다크웹에서의 거론 여부 등이 평가 항목에 들어간다.
그림 4. 외부 관점 평가의 흐름. 도메인 하나에서 출발해 노출된 자산을 모으고, 위험 신호를 점수로 환산한다.
점수는 고정값이 아니라 시간에 따라 오르내린다. 어떤 협력사의 점수가 과거보다 올랐는지 떨어졌는지를 추세로 보여 주므로, 어디를 집중적으로 관리해야 할지 우선순위를 잡을 수 있다. 등급이 떨어진 협력사에는 관련 보고서를 전달하거나, 협력사가 직접 자신의 상태를 확인하고 내부 점검에 나서도록 유도하는 절차로 이어질 수 있다.
기업과 국가의 신용을 외부 기관이 등급으로 매기듯, 보안에도 비슷한 평가가 자리 잡고 있다. 거래 상대의 재무 건전성을 신용등급으로 가늠하는 것처럼, 거래 상대의 보안 상태를 등급으로 가늠해 신뢰 여부와 거래 조건을 판단하는 근거로 삼는 것이다. 차이가 있다면, 신용등급이 재무 정보를 본다면 보안 등급은 인터넷에 노출된 디지털 자산을 본다는 점이다.
외부 관점 평가는 만능이 아니다. 밖에서 보이는 신호만 다루므로, 내부 통제가 실제로 어떻게 작동하는지까지는 보지 못한다. 같은 이유로 보안 등급은 내부 자산 관리나 직접 점검을 대체하는 도구가 아니라 보완하는 도구로 보는 편이 정확하다. 외부 공격 표면 관리(EASM, External Attack Surface Management)와 같은 내부 시야와 함께 쓸 때 효과가 온전해진다.
평가를 도입할 때 점검해야 할 지점도 있다. 첫째, 점수가 어떤 방법론으로 산출되는지 투명성을 확인해야 한다. 같은 80점이라도 평가 기관마다 정의가 다를 수 있고, 그 정의가 우리 조직이 생각하는 위험과 어떻게 맞물리는지 확인하지 않으면 숫자만 좇게 된다. 둘째, 모든 협력사를 같은 강도로 들여다볼 필요는 없다. 우리 데이터에 깊이 접근하는 협력사일수록 촘촘하게, 접점이 옅은 협력사는 가볍게, 접근 수준에 따라 협력사를 등급화하고 모니터링 강도를 차등하는 편이 현실적이다.
이렇게 보면 핵심은 도구가 아니라 전환이다. 1년에 한 번 설문으로 확인하던 정지 사진에서, 변화를 실시간으로 추적하는 연속 모니터링으로 옮겨 가는 것. 그래야 협력사의 보안 상태가 나빠지는 순간을 사고가 터진 뒤가 아니라 그 전에 알아챌 수 있다.
이 흐름은 국내 기업에도 이미 닿아 있다. 글로벌 발주처와 거래하는 과정에서 한국 협력사가 자신의 보안 등급을 요구받는 사례가 늘고 있다. 발주처가 평가 결과를 들이밀며 일정 점수 이상으로 끌어올릴 것을 거래 조건으로 거는 경우도 있다. 예컨대 같은 업종의 평균이 80점대라면 그 수준 이상으로 올라와야 거래를 이어 간다는 식이다. 이때의 점수는 침투해서 매긴 것이 아니라 인터넷에 노출된 자산을 외부에서 훑어 산출한 것이다.
규제의 방향도 같은 곳을 가리킨다. 미국 증권거래위원회(SEC, Securities and Exchange Commission)는 상장사에 중대한 사이버 사고를 나흘 안에 공시하도록 요구하고 있고, 유럽은 네트워크·정보 보안 지침 2(NIS2, Network and Information Security Directive 2)와 디지털 운영 복원력법(DORA, Digital Operational Resilience Act)을 통해 협력사 실사와 공급망 위험 관리를 제도로 끌어올렸다. 공급망 보안을 자율이 아니라 의무로 보는 규제 환경이 넓어지는 중이다.
구조적으로 보면 중소기업이 대기업의 약한 고리가 되기 쉽다. 보안 투자 여력이 상대적으로 작은 협력사가 공격자에게는 가장 효율적인 진입로다. 그래서 공급망 보안은 더 이상 대기업만의 과제가 아니다. 연결의 사슬에서 한 곳만 약해도 전체가 위험해지므로, 사슬의 모든 마디가 함께 들여다보아야 할 대상이 된다.
경계 안쪽만 지키던 시대는 지났다. 자기 시스템을 단단히 잠그는 일은 여전히 필요하지만, 그것만으로는 충분하지 않다. 직접 통제할 수 없는 협력사의 보안 상태까지 끊김 없이 들여다보는 일이 보안의 새로운 기본값이 됐다. 카메라가 닿지 않던 영역, 남의 손에 들린 복사 열쇠에까지 시야를 넓히는 것, 그것이 공급망 보안이 던지는 가장 단순하면서도 무거운 요구다.