A.5.22
공급자 서비스의 모니터링, 검토 및 변경 관리
조직적 통제확인사항 5증적 6사례 5
통제 목적
공급자가 계약 및 합의된 보안 요구사항에 따라 서비스를 제공하는지 계약 기간 전반에 걸쳐 정기적으로 모니터링하고 검토하며, 공급자 서비스에 발생하는 변경을 통제된 방식으로 관리하기 위한 통제입니다. 계약 체결 시점에 보안 수준을 합의했더라도 시간이 지나면 서비스 범위, 인력, 하위 공급자, 기술 구성이 바뀌고 위험도 함께 변하므로, 지속적인 이행 점검과 변경 반영이 필요합니다. 공급망을 거쳐 전파되는 보안 저하와 사고를 예방하고, 문제가 발생하면 조기에 탐지하여 조치할 수 있게 하는 것이 목적입니다.
주요 확인사항
- 공급자별로 계약 및 합의된 보안 요구사항의 이행 여부를 정기적으로 모니터링하고 검토하는 절차와 주기가 정의되어 있는가?
- 서비스 수준 협약(SLA)/보안 요구사항 대비 실제 이행 현황을 서비스 성과 보고서, 감사 결과, 사고 이력 등을 근거로 평가하고 있는가?
- 공급자가 제공하는 서비스나 하위 공급자(재위탁)에 변경이 발생할 때 이를 사전에 통지받고 위험을 재평가하는 절차가 있는가?
- 검토/모니터링 과정에서 발견된 미흡 사항에 대해 개선 요구, 조치 이행, 재확인이 기록으로 관리되는가?
- 공급자 관련 보안 사고 및 취약점이 조직에 보고되고 계약상 대응 요건에 따라 처리되는가?
이행 지침
- 공급자를 서비스 중요도 및 위험 수준에 따라 분류하고, 등급별로 모니터링/검토의 주기와 방법(정기 회의, 성과 보고, 현장 점검, 제3자 인증서 검토 등)을 차등 적용합니다.
- 계약과 SLA에 보안 이행 지표, 보고 의무, 감사권(right to audit), 변경 통지 의무, 하위 공급자 사용 승인 조건을 명시하고 이를 검토 기준으로 사용합니다.
- 서비스 보고서, 독립 감사 결과, 취약점 점검 결과, ISO 27001 인증서와 SOC 2 보고서 등을 정기적으로 검토합니다. 범위와 대상 서비스, 인증 유효기간 또는 보고서 평가기간, 지적사항, 적용 제외 및 고객이 수행해야 할 통제를 확인합니다.
- 공급자 서비스의 변경(서비스 범위, 인력, 위치, 네트워크/기술 구성, 하위 공급자 등)에 대해 사전 통지를 받고, 변경이 조직의 위험에 미치는 영향을 재평가한 뒤 필요한 통제를 조정합니다.
- 모니터링/검토에서 식별된 미흡 사항은 개선계획(시정조치, 책임자, 기한)으로 관리하고 이행 결과를 재확인하여 종결합니다.
- 공급자 관련 사고/취약점의 통지 및 대응 절차를 사전에 합의하고, 발생 시 조직의 사고대응 체계와 연계하여 처리합니다.
- 재위탁(하위 공급자)이 발생하는 경우 동등한 수준의 보안 요구사항이 하위 공급자에게 전파되고 이행되는지 확인합니다.
증적자료
- 공급자 관리(모니터링/검토/변경) 정책 및 절차서, 공급자 등급 분류 기준
- 공급자별 정기 검토/점검 계획 및 실시 결과(회의록, 성과 보고서, 체크리스트)
- 공급자가 제출한 서비스 보고서, 독립 감사 결과, 취약점/침투시험 결과, 유효한 인증서
- SLA 및 보안 요구사항 이행 현황 평가 자료, 미흡사항 개선계획 및 조치 완료 증빙
- 공급자 서비스 변경 통지서, 변경에 따른 위험 재평가 및 통제 조정 기록
- 공급자 관련 보안 사고/취약점 통지 및 처리 이력, 하위 공급자(재위탁) 승인 및 관리 내역
부적합 사례
- 계약 시점에만 보안 요구사항을 합의하고 이후 이행 여부에 대한 정기 모니터링/검토가 전혀 수행되지 않는 경우
- 공급자가 하위 공급자(재위탁)를 추가하거나 서비스 구성을 변경했으나 조직에 통지하지 않았고 위험 재평가도 이루어지지 않은 경우
- 공급자로부터 SLA/보안 성과 보고서를 받지 못하거나 받아도 검토/확인 없이 보관만 하는 경우
- 검토 과정에서 미흡사항이 식별되었으나 개선 요구/시정조치/재확인 기록이 남지 않아 종결 여부를 알 수 없는 경우
- 공급자 측 보안 사고가 조직에 보고되지 않거나 계약상 대응 요건이 정의되어 있지 않은 경우