제3자 시스템 한 방이 우리 회사 전체 위협
최근 미국 의료 IT 기업 Veradigm에서 발생한 환자 데이터 유출 사고[^1]는 제3자 공급망을 통한 공격이 얼마나 위험한지 보여줍니다. Veradigm은 공격자가 한 협력업체의 환경에서 Veradigm API 접속 정보를 얻어 환자 데이터를 복사했고, 일부 고객사가 영향을 받았다고 밝혔습니다. 랜섬웨어 조직 Gentlemen은 환자 기록 350만 건을 가지고 있다고 주장했습니다. 우리 회사도 협력업체의 접속 정보 관리가 허술하면 같은 경로로 뚫릴 수 있다는 뜻입니다.
왜 지금 제3자 보안인가?
- 개발 환경의 상호 연결성 증가
- API 연동, SaaS 도입, 외주 개발 등 제3자 시스템과의 접점이 많아졌습니다.
- 보안 투자 집중의 한계
- 대부분 기업이 자체 시스템 보안만 강화하고, 제3자 관리에는 소홀합니다.
- 법적 책임 확대
- 개인정보보호법(PIPA) 제64조의2[^2]에 따라 개인정보 처리를 맡긴 외주·공급업체(수탁자)의 관리·감독이나 교육을 소홀히 해 수탁자가 법을 위반하면 과징금 대상이 될 수 있습니다(2023년 9월 15일부터 모든 개인정보처리자에게 적용). 상한은 전체 매출액의 3%이고, 2026년 9월 11일 시행된 개정법은 고의·중과실 반복 위반 등 세 가지 경우에만 상한을 10%로 높였습니다.
개발 현장이라면 꼭 할 3가지
- 제3자 시스템 인벤토리 작성
- 사용 중인 모든 외주/공급업체, SaaS, API 연동 서비스를 목록화합니다.
- 계약서에 보안 조항 추가
- "제3자 시스템 보안 기준 준수"와 "사고 시 보고 절차"를 명시해야 합니다.
- 정기적인 제3자 위험 평가
- 연 1회 이상 공급업체의 보안 수준을 점검합니다. (예: ISMS 인증 여부, 최근 보안 사고 발생 기록)
30초 자가 점검 체크리스트
- ☐ 우리 회사가 사용 중인 제3자 시스템 전체 목록 존재?
- ☐ 제3자 계약 시 보안 요구사항이 포함되었는가?
- ☐ 최근 1년 내 제3자 시스템 보안 상태를 확인했는가?
- ☐ 제3자 데이터 접근 로그를 모니터링 중인가?
[^1]: BleepingComputer: Veradigm patient data breach after ransomware attack
[^2]: 국가법령정보센터: 개인정보 보호법 제64조의2(과징금의 부과), 2026.9.11. 시행본 · 개정 내용 정리: SENTRIX 블로그
실제 개발 환경 적용 사례
- API 연동 시
- 제3자 API에 대한 접근 제어, 데이터 암호화, 로깅이 반드시 필요합니다.
- 외주 개발 시
- 개발사의 보안 수준을 사전 평가하고, 작업 완료 후 반드시 보안 검토를 진행해야 합니다.
- SaaS 도입 시
- 해당 서비스의 ISO 27001, SOC 2 등 보안 인증 여부를 확인합니다.
SENTRIX: 인증기관 해킹이 보여준 것 - 공격자는 당신이 아니라 당신이 믿는 곳을에서 더 많은 사례를 확인할 수 있습니다.
우리 웹사이트가 바깥에서 어떻게 보이는지부터 확인하려면 CodeScan 무료 스캔으로 보안 헤더·인증서·공개 정보 노출 같은 외부 항목을 점검할 수 있습니다. 협력업체 관리 체계 점검은 보안 컨설팅에서 범위를 정합니다.