공급업체도 공격 표면의 일부다

요약: 의존성, SaaS 제공업체 또는 통합 파트너가 침해되면 조직도 침해된 것이나 다름없습니다. 제3자 위험은 조달 시 한 번 승인하고 끝낼 일이 아니라 지속적으로 측정해야 합니다.

경계는 이제 다른 조직의 코드까지 포함한다

현대 애플리케이션은 오픈 소스 패키지, SaaS API, 통합 파트너를 조합해 만듭니다. 이들 각각은 신뢰 관계이자, 공격자가 조직의 서버를 직접 건드리지 않고도 침투할 수 있는 경로입니다.

조달 단계에서 한 번 작성하는 공급업체 설문지는 그 순간만 보여 줄 뿐 이후의 변화는 담지 못합니다.

제3자 위험이 실제로 문제가 되는 지점

• 세 단계 아래에서 간접적으로 끌어온 취약한 전이 의존성.
• 더 이상 사용하지 않는데도 조용히 접근 권한을 유지하는 과도한 권한의 OAuth 통합.
• 오래된 계약에 따라 맡긴 데이터를 노출하는 SaaS 제공업체 침해.
• 릴리스에 코드를 주입할 수 있는 빌드 파이프라인 도구.

형식적인 절차가 아니라 지속적인 관리

제3자 위험 관리는 지속적으로 수행할 때 효과가 있습니다. 실제로 의존하는 통합을 목록화하고, 새로운 노출을 모니터링하며, 더 이상 사용하지 않는 접근 권한을 재평가해야 합니다. 설문지는 출발점이지 통제 수단 자체가 아닙니다.

KENSAI의 지속적인 스캔과 증거 추적은 자체 자산에 적용하는 규율을 조직이 의존하는 외부 의존성과 통합까지 확장합니다.

공급업체 위험을 지속적으로 관리하라

특정 시점의 설문지는 공급업체가 답변한 날의 상태만 알려 줄 뿐, 침해가 발생한 날의 상태는 보여 주지 못합니다. 공급업체 위험은 외부 노출과 조직의 의존도가 변할 때마다 갱신되는 살아 있는 신호가 되어야 합니다.

누가 무엇에 접근할 수 있는지 목록으로 관리하고, 모든 통합 권한을 최소 권한으로 제한하며, 자체 공격 표면을 살피듯 핵심 공급업체의 공개 노출과 알려진 사고를 모니터링하십시오. 공급업체가 침해됐을 때 사건을 통제된 범위에 가둘지 대형 사고로 키울지는 이를 얼마나 빨리 발견하고 연결을 차단하느냐에 달려 있습니다.

핵심 요약

통합하는 모든 대상의 위험도 함께 떠안게 됩니다. 서명된 설문지는 진행 중인 익스플로잇을 막지 못하므로 공급업체와 의존성을 공격 표면의 일부로 취급하고 지속적으로 모니터링해야 합니다.