"보안 사고는 경영 리스크"... 한국기업보안협의회, 공급망 위협 해법 모...

보안뉴스가 2026년 8월 28일 보도한 기사로, 한국기업보안협의회가 8월 27일 서울 마포타워에서 '2026년 제4차 시큐리티 라운드테이블'을 개최하고 공급망 공격 트렌드와 CISO 리더십 쇄신 방안을 논의한 내용을 전한다. S2W 김재기 이사는 인포스틸러를 통한 협력사 우회 침투 급증을 경고하며 제3자 리스크 관리(TPRM) 체계 도입을 촉구했고, 고려아연 황인구 CISO는 생산 현장(OT), 국가핵심기술 문서, 미국 공장 규제(CMMC) 대응을 3대 핵심 보호 자산으로 제시하며 CISO 주도의 5대 오케스트레이션 과제를 공유했다.

본사보다 보안이 취약한 하청업체, 외주 IT 개발사, 해외 파트너사를 노리는 우회 공급망 공격이 급증하고 있습니다. 법인보험대리점(GA사)의 외주 개발자 PC 감염으로 대규모 고객 정보가 유출될 뻔한 사건, 글로벌 IT 기업의 위탁생산 협력사가 공격당해 핵심 도면이 유출된 사건 등 서드파티를 경유한 침해 사고가 연이어 발생하고 있습니다. 기존의 서류 위주 컴플라이언스 점검 방식으로는 실시간으로 변화하는 외부 노출 위협에 대응하기 어렵다는 한계가 지적되었습니다.

이번 라운드테이블에서 제기된 논의는 법적 의무 변경이 아닌 업계 자율 차원의 권고이지만, 공급망 보안에 대한 규제 당국과 시장의 관심이 높아지는 흐름과 맞닿아 있어 기업 법무·컴플라이언스 관점에서 주목할 필요가 있습니다. 협력사를 통한 개인정보 유출 사고는 원청 기업도 「개인정보 보호법」상 수탁자 관리·감독 의무 위반 책임을 질 수 있습니다. 서드파티 보안 수준을 실질적으로 점검하지 않은 채 서류 위주 점검에 그쳤다면, 사고 발생 시 과실 인정 가능성이 높아질 수 있습니다. 미국 국방부 공급망 보안 인증 제도인 CMMC 대응이 고려아연 사례에서 언급된 것처럼, 미국 시장에 납품하거나 미국 기업과 협력하는 국내 기업은 해외 규제 요건도 함께 검토해야 하는 상황입니다. CISO의 역할을 기술 운영에서 경영 리스크 관리로 확장하는 흐름은, 보안 사고 발생 시 이사회와 경영진의 책임 범위에 대한 논의로 이어질 가능성이 있습니다. 보안 거버넌스 체계와 의사결정 기록을 갖추는 것이 향후 법적 분쟁 대비에도 유효한 수단이 될 수 있습니다.