공급업체 및 공급망 위험: 누가 무엇을 요구하는가
공급업체를 통한 침해 사고는 사고 통계에서 계속 늘고 있으며, 프레임워크도 이를 따라왔습니다. 현재 대부분이 공급업체 보안을 요구하지만, 그 의미는 서로 다릅니다.
이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.
공급업체는 손상된 소프트웨어 업데이트부터 침해당한 관리형 서비스 제공업체까지, 조직에 침입하는 가장 흔한 경로 중 하나가 되었습니다. 프레임워크도 대응해 왔으나 그 정도는 제각각입니다. ControlMapping은 이를 두 가지 주제로 다룹니다. 개별 공급업체를 평가하고 관리하는 벤더 위험 관리, 그리고 이를 둘러싼 프로그램인 공급망 위험입니다.
벤더 위험 관리
| 프레임워크 | 벤더 리스크 관리 | 링크 |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | 주제 정의 |
| ISO 27001 | A.5.19A.5.20A.5.22 | 대응표 |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | 대응표 |
| SOC 2 | CC9.2 | 편집 콘텐츠 |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | 대응표 |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | 대응표 |
| HIPAA | §164.308(b)(1)§164.314(a) | 대응표 |
| GDPR | Art.28(1)Art.28(3) | 편집 콘텐츠 |
| NIS2 | 5.15.26.1 | 대응표 |
| Essential Eight | — | 보유 데이터에 매핑 없음 |
모든 연결의 상세 내용과 근거: 프레임워크별 벤더 리스크 관리 →
프로그램으로서의 공급망 위험
| 프레임워크 | 공급망 위험 | 링크 |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | 주제 정의 |
| ISO 27001 | A.5.19A.5.21 | 대응표 |
| CIS v8.1 | CIS 15.2 | 대응표 |
| SOC 2 | CC9.2 | 편집 콘텐츠 |
| PCI DSS | 6.3.212.8.1 | 대응표 |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | 대응표 |
| HIPAA | — | |
| GDPR | Art.28(1) | 편집 콘텐츠 |
| NIS2 | 5.16.1 | 대응표 |
| Essential Eight | — | 보유 데이터에 매핑 없음 |
모든 연결의 상세 내용과 근거: 프레임워크별 공급망 위험 →
공통된 요구사항
대부분의 프레임워크는 동일한 생명주기를 요구합니다. 즉, 공급업체가 누구인지 파악하고, 계약 전에 평가하며, 계약에 보안 요구사항을 반영하고, 지속적으로 모니터링하며, 안전하게 관계를 종료하는 것입니다. ISO 27001은 A.5.19~A.5.22에서 이를 다루고, PCI DSS는 서비스 제공업체 목록, 서면 계약, 실사, 연간 모니터링, 책임 분담 문서화를 요구하며(12.8.1~12.8.5), SOC 2는 벤더 위험을 평가하고 관리할 것을 기대하며(CC9.2), CIS Controls는 목록 작성, 분류, 계약상 요구사항, 평가, 모니터링, 안전한 폐기(Control 15)를 요구합니다. 이 생명주기를 한 번 구축하면 이들 프레임워크 대부분에 같은 프로세스를 적용할 수 있습니다.
차이점
- GDPR은 처리자에 초점을 맞춥니다. 제28조의 조건을 담은 서면 계약과 충분한 보장을 제공하는 처리자만 사용할 것을 요구합니다. 공급업체 일반이 아니라 개인정보를 대상으로 합니다.
- HIPAA는 귀하를 대신해 ePHI를 취급하는 모든 자와 업무 제휴 계약(§164.308(b)(1), §164.314(a))을 체결할 것을 요구합니다.
- NIS2는 공급망 보안을 그 자체로 독립된 조치로 봅니다(제21조(2)(d)). 또한 이행규정은 공급망 보안 정책, 공급업체 선정 기준, 계약상 보안 요구사항(5.1항 및 5.2항)을 요구하며, 공급업체 자체의 보안 관행과 취약점을 고려할 것을 요구합니다.
- NIST CSF 2.0은 가장 나아갑니다. 사이버보안 공급망 위험 관리와 관련된 Govern 하위 범주 10개를 두며, 프로그램 수립부터 전체 생명주기에 걸친 공급업체 관리까지 다룹니다.
- CMMC Level 2에는 공급업체 관련 실천 항목이 없습니다. 하위 계약자에 대한 요구사항 전파(flow-down)는 계약 조항에서 나옵니다. Essential Eight는 공급업체를 다루지 않습니다.
효과적인 프로그램의 모습
- 단일 공급업체 목록: 각 공급업체가 접근할 수 있는 항목과 중요도를 포함합니다.
- 단계별 실사: 민감한 데이터나 시스템에 접근하는 공급업체에는 더 엄격하게, 나머지에는 덜 엄격하게 적용합니다. 서비스 범위를 포함하는 경우 해당 공급업체의 SOC 2 보고서나 ISO 인증서를 수용하되, 범위를 반드시 확인합니다.
- 계약 요구사항: 보안 의무, 귀사에 대한 침해 통지, 감사권, 계약 종료 시 데이터 반환 또는 삭제를 포함합니다(개인정보가 관련된 경우 GDPR 제28조 조건 적용).
- 등급에 비례한 모니터링: 중요 공급업체에 대해서는 연간 검토를 수행하며, 이는 PCI DSS가 서비스 제공업체에 요구하는 사항입니다.
- 관계 종료(오프보딩): 접근 권한을 취소하고, 데이터를 회수하거나 삭제한 뒤 이를 확인합니다.
벤더 위험 및 공급망 위험 주제 페이지에서 모든 요구사항과 출처를 확인할 수 있습니다. SOC 2 보고서만으로 벤더 문제가 해결되지 않는 이유에 관한 게시글에서는 공급업체 보증 검토 방법을 다룹니다.
질문
NIS2는 공급망 보안에 대해 무엇을 요구하나요?
제21조(2)(d)는 직접 공급업체 및 서비스 제공업체와의 관계에서의 보안 측면을 포함하여 공급망 보안을 요구합니다. 이행규정은 공급망 보안 정책, 공급업체 선정 기준, 계약 요구사항(5.1항 및 5.2항)을 규정합니다.
CMMC Level 2에서도 벤더 위험 관리를 요구하나요?
프로그램 단위로 요구하지는 않습니다. CMMC Level 2는 SP 800-171 Rev 2를 계승하며, 이는 자체 시스템의 CUI 보호에 중점을 둡니다. 하위 계약자에 대한 요구사항 전파는 대신 계약 조항을 통해 이루어집니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-27Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교영국의 Cyber Essentials와 호주의 Essential Eight은 모두 흔한 공격을 겨냥하지만, 다루는 범위가 다릅니다. 무엇이 겹치고 무엇이 겹치지 않는지, 그 이유는 무엇인지 살펴봅니다.
분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.