공급업체 실사: 모든 프레임워크를 위한 하나의 프로세스

각 프레임워크는 공급업체 평가를 요구합니다. 프레임워크마다 별도 프로세스를 운영하면 공급업체는 설문지를 세 번 받고 귀사는 파일 체계를 세 개 관리하게 됩니다. 등급 기반의 프로세스 하나로 이 모든 요구를 충족할 수 있습니다.

벤더 및 공급망 위험 요구사항 비교에서 보듯, 주요 프레임워크는 모두 공급업체 위험 관리를 요구합니다. 요구사항이 워낙 많이 겹치기 때문에, 한 번 설계한 프로세스 하나로 이 모두를 충족할 수 있습니다. 다음은 그렇게 할 수 있는 구조입니다.

1단계: 목록 하나로 통합

시스템, 데이터 또는 시설에 접근할 수 있는 모든 공급업체를 나열하고, 각 업체별로 다음을 기록합니다: 어떤 업무를 하는지, 어떤 데이터를 다루는지, 그리고 어떤 프레임워크가 적용되는지(PCI DSS 대상인 카드 소지자 데이터, HIPAA 대상인 ePHI, GDPR 대상인 개인정보, NIS2 규제 서비스를 지원하는 서비스 등). PCI DSS(12.8.1), ISO 27001(A.5.19), CIS Controls(15.1) 모두 이 단계에서 시작합니다.

2단계: 등급 분류

1등급: 민감한 데이터 또는 운영 시스템에 대한 접근 권한이 있거나, 서비스에 핵심적인 업체.
2등급: 접근 권한이 제한적이거나 중요도가 보통인 업체.
3등급: 민감한 데이터에 접근하지 않으며, 실패하더라도 영향이 적은 업체.

등급 분류는 프로세스를 과도하지 않고 비례적으로 유지하는 장치입니다. CIS는 이를 서비스 제공업체 분류(15.3)라고 부릅니다.

3단계: 등급별 평가

1등급: 귀사가 이용하는 서비스를 다루는 독립 보증 보고서(관련 범위가 포함된 SOC 2 Type II 보고서 또는 ISO 27001 인증서), 그리고 보고서가 다루지 않는 부분에 대한 짧은 설문지. 보고서를 직접 검토하십시오: 범위, 기간, 예외 사항, 제외 항목(carve-out), 그리고 귀사가 수행해야 할 것으로 기대되는 통제 사항.
2등급: 표준 설문지, 또는 업체가 보고서를 보유한 경우 그 보고서.
3등급: 온보딩 시 기본 점검.

클립으로 묶은 인쇄 계약서 더미 위에 작은 색인 탭과 펜이 놓인 사진 — 보안 조항이 있어야 실사가 실제로 집행력을 갖게 됩니다.

4단계: 한 번만 계약하되, 모든 것을 포괄

모든 프레임워크를 한꺼번에 아우르는 보안 조건을 작성합니다:

서비스에 비례하는 보안 의무.
귀사 측에 대한 침해 사고 통지. 귀사 자체 의무를 충족할 수 있도록 충분히 짧은 기한 설정(NIS2의 24시간, GDPR의 72시간).
업체가 귀사를 대신해 개인정보를 처리하는 경우 GDPR 제28조 조건; HIPAA가 적용되는 경우 비즈니스 어소시에이트 계약.
감사 또는 평가 권한, 계약 종료 시 데이터 반환 또는 삭제.
PCI DSS의 경우, 카드 소지자 데이터에 대한 업체의 책임 확인(12.8.2)과 책임 분담에 대한 문서화(12.8.5).

5단계: 모니터링 및 계약 종료

1등급 공급업체는 매년 재평가하고(PCI DSS는 서비스 제공업체의 준수 상태에 대해 연간 모니터링을 요구함, 12.8.4), 2등급은 매년 또는 1~2년마다 재평가하며, 사고나 변경이 발생하면 즉시 대응합니다. 계약 종료 시 접근 권한을 취소하고, 데이터를 회수 또는 삭제한 뒤 이를 기록합니다(CIS 15.7).

효과적인 짧은 설문지

독립 보증 보고서가 없는 공급업체에는, 짧은 설문지가 긴 설문지보다 낫습니다. 짧은 설문지는 응답자가 제대로 답하기 때문입니다. 열 개의 질문이면 모든 프레임워크가 묻는 내용의 대부분을 다룰 수 있습니다:

귀사의 어떤 정보에 접근하거나, 저장하거나, 처리할 것이며, 그 위치는 어디입니까?
이 서비스를 다루는 유효한 SOC 2 보고서 또는 ISO 27001 인증서를 보유하고 있습니까?
귀사의 데이터를 보관하는 시스템에 대한 모든 접근에 MFA가 적용됩니까?
중대 취약점은 얼마나 빨리 패치합니까?
귀사의 데이터는 저장 시 및 전송 시 암호화됩니까?
백업은 수행, 보호, 테스트되고 있습니까?
귀사의 데이터에 영향을 미치는 사고를 어떻게, 얼마나 빨리 통지합니까?
어떤 하위 수탁업체가 귀사의 데이터를 처리합니까?
계약이 종료되면 귀사의 데이터는 어떻게 반환 또는 삭제됩니까?
보안 담당자는 누구입니까?

각 답변을 요구사항에 한 번 매핑하고, 그 매핑을 모든 공급업체에 재사용하십시오. 격차 분석과 공급망 위험 주제 페이지에서 각 프레임워크가 이러한 요구사항을 어떻게 표현하는지 확인할 수 있습니다.

핵심 요약

위험에 따라 등급을 매긴 공급업체 목록 하나로 모든 프레임워크를 충족합니다.
범위가 맞는 경우 독립 보고서를 수용하되, 반드시 검토하십시오.
모든 의무를 포괄하도록 계약 조건을 한 번에 작성하십시오.

공급업체별 기록 하나

공급업체마다 한 곳에 모든 것(등급, 평가, 검토한 보고서, 계약 조건, 검토 내역)을 보관하십시오. 그러면 프레임워크별 감사인들이 동일한 기록에서 증빙을 찾을 수 있습니다.

벤더 위험 주제 페이지에는 모든 요구사항과 그 출처가 나열되어 있으며, 왜 "SOC 2 인증"이 잘못된 질문인가에 관한 게시물에서는 공급업체 보고서 읽는 법을 다룹니다.

질문

설문지 대신 공급업체의 SOC 2 보고서를 수용해도 되나요?

대개 가능합니다. 보고서가 Type II이고, 최신이며, 귀사가 이용하는 서비스를 다루고, 예외 사항과 고객사 상보 통제(complementary user entity controls)를 검토한 경우에 한합니다. 귀사의 서비스를 다루지 않는 보고서는 거의 정보를 주지 못합니다.

어떤 프레임워크가 벤더 계약에 보안 조항 포함을 요구하나요?

ISO 27001(A.5.20), PCI DSS(12.8.2), 처리자에 대한 GDPR(제28조), HIPAA 비즈니스 어소시에이트 계약, 그리고 NIS2의 공급망 조치는 모두 공급업체 계약에 보안 조항을 포함할 것을 요구합니다.

공급업체는 얼마나 자주 재평가해야 하나요?

중요 공급업체는 최소 연 1회(PCI DSS는 서비스 제공업체의 준수 상태에 대한 연간 모니터링을 요구), 그 외에는 1~2년마다, 그리고 중대한 사고나 서비스 변경 후에는 모든 공급업체를 재평가합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

공급업체 실사: 여러 프레임워크를 하나의 프로세스로