A.5.21
ICT 공급망 정보보안 관리
조직적 통제확인사항 6증적 7사례 5
통제 목적
ICT 제품 및 서비스를 조달하고 이용하는 전 과정에서 발생하는 공급망 위험을 식별하고 관리하기 위한 통제입니다. 하드웨어, 소프트웨어, 펌웨어, 클라우드 및 관리형 서비스는 다수의 상위/하위 공급자를 거쳐 조직에 전달되므로, 특정 구성요소의 취약점이나 변조가 조직 전체로 전파될 수 있습니다. 구성요소의 진정성과 무결성을 확보하고, 공급 중단에 대비하며, 위험을 사전에 예방하는 것이 목적입니다. ISO/IEC 27002 지침에서는 조직이 공급자에게 보안 요구사항을 하위 공급자(재위탁)까지 전파할 의무를 지우고, 납품받은 ICT 제품과 서비스가 그 요구사항을 충족하는지 확인할 방법을 갖추도록 권고합니다.
주요 확인사항
- ICT 제품/서비스 조달 시 공급망 위험(구성요소 출처, 하위 공급자, 변조/위조 가능성 등)을 식별하고 평가하는 절차가 있는가?
- 공급자에게 부과한 보안 요구사항이 그 하위 공급자(재위탁)까지 전파되도록 계약/합의에 반영되어 있는가?
- 조달하는 하드웨어/소프트웨어 구성요소의 진정성 및 무결성(정품 여부, 변조 여부, 서명/해시 검증 등)을 확인하는 방법이 마련되어 있는가?
- 소프트웨어 구성요소(오픈소스, 서드파티 라이브러리 등)의 목록(SBOM 등)과 취약점, 라이선스, 지원 종료(EoL/EoS) 현황을 관리하고 있는가?
- 중요 ICT 제품/서비스의 공급 중단, 단종, 공급자 폐업 등에 대비한 대안 및 연속성 방안이 검토되어 있는가?
- 공급망을 통해 전달된 구성요소에 대해 도입 전 및 운영 중 보안 검증과 모니터링이 수행되는가?
이행 지침
- ICT 조달 정책에 공급망 보안 요구사항(구성요소 출처 표기, 진정성 증빙, 하위 공급자 전파 의무, 취약점 통보 의무 등)을 명시하고 조달 프로세스에 반영합니다.
- 조직에 중요한 ICT 제품/서비스와 그 공급자를 식별하고, 공급망 계층(1차/2차 이상)과 재위탁 구조를 파악하여 위험도에 따라 관리 수준을 차등화합니다.
- 계약/합의에 보안 요구사항의 하위 공급자 전파, 구성요소 명세 제공(SBOM 포함), 보안 사고/취약점 통보, 감사/검증 권한을 포함합니다.
- 하드웨어의 봉인, 식별번호, 인계 이력으로 진위와 변조 여부를 점검합니다. 소프트웨어는 신뢰할 수 있는 서명으로 검증하거나 인증된 공급자 경로에서 확보한 해시값과 비교하며, 출처가 확인되지 않은 체크섬만으로 진위를 판단하지 않습니다.
- 소프트웨어 구성요소 목록(SBOM)을 확보하여 관리하고, 알려진 취약점(CVE), 라이선스 위험, 지원 종료 시점을 지속적으로 추적합니다.
- 중요 구성요소는 단일 공급자 의존을 줄이도록 대체 공급자/제품을 사전 검토하고, 단종/지원 종료(EoS)에 대비한 마이그레이션 계획을 유지합니다.
- 도입 전 보안 검증(수용 시험, 알려진 취약점 점검)과 운영 중 모니터링(패치/버전 변경, 취약점 공지 반영)을 절차화합니다.
증적자료
- 공급망 보안 요구사항이 포함된 ICT 조달 정책/절차서
- 중요 ICT 제품/서비스 및 공급자 목록, 공급망 계층/재위탁 구조 파악 자료
- 보안 요구사항(하위 공급자 전파, SBOM 제공, 취약점 통보 등)이 명시된 계약서/합의서
- 구성요소 진정성/무결성 검증 기록(서명/해시 검증, 정품 확인 등)
- 소프트웨어 구성요소 목록(SBOM) 및 취약점/라이선스/지원 종료 추적 대장
- 도입 전 보안 검증 결과 및 운영 중 모니터링/조치 기록
- 중요 구성요소 대체 공급자 검토 및 연속성/마이그레이션 계획
부적합 사례
- ICT 제품/서비스를 조달하면서 공급망 위험 식별이나 보안 요구사항 정의 없이 계약을 체결하는 경우
- 직접 계약한 공급자에게만 보안 요구사항을 부과하고 하위 공급자(재위탁)까지 전파하도록 요구하지 않는 경우
- 도입한 소프트웨어의 구성요소 목록(SBOM)을 확보하지 않아 오픈소스 취약점(CVE)의 영향 범위를 파악하지 못하는 경우
- 하드웨어/소프트웨어의 진정성/무결성(정품, 서명, 해시)을 검증하지 않고 도입하여 변조/위조 위험에 노출된 경우
- 중요 ICT 제품이 지원 종료(EoS)되었음에도 대체 또는 마이그레이션 계획 없이 계속 운영하는 경우