협력사 보안 점검

보안을 우리 서버 이야기로만 보던 시절에는 점검 대상이 안쪽이었습니다. 접근 권한을 누가 갖는지, 암호화를 했는지, 퇴사자 계정을 잠갔는지 확인하면 끝이었습니다.

그 전제가 깨진 자리를 태오가 인증 심사 두 달 전에 찾았습니다. 카드 결제 내역을 훑어 회사가 돈을 내고 쓰는 외부 도구를 세어 보니 스물세 곳이었고, 그중 고객 데이터가 흘러가는 곳이 아홉 곳이었습니다. 알림 메일 업체는 고객 전체의 이메일 주소를 갖고 있었고, 고객 문의 도구에는 고객이 붙여넣은 문서 조각이 쌓여 있었습니다. 아홉 곳 중 보안 증명서를 받아 둔 곳은 두 곳, 처리 위탁 계약을 맺은 곳은 한 곳이었습니다. 몰래 붙은 도구는 없었습니다. 카드 번호만 넣으면 그날 붙는 도구라 아무도 확인 단계를 만들지 않았을 뿐입니다.

협력사 보안 점검은 그 아홉 곳을 도입 전에 확인하는 절차입니다. 고객이 우리에게 던진 질문을 우리가 아래로 다시 넘기는 구조라, 우리 인증은 그 업체들까지 묶어 봅니다.

목록을 만드는 일부터 시작해 다시 볼 주기를 정하는 데까지 여섯 단계입니다.

1. 쓰는 도구를 전부 적습니다. 기억으로 적으면 빠지므로, 카드 결제 내역과 계정 로그인 기록에서 뽑아야 개인이 무료로 붙여 둔 것까지 나옵니다.
2. 등급을 매깁니다. 기준은 고객 데이터가 그 도구로 가는지, 간다면 무엇이 가는지입니다. 고객 문서가 통째로 가는 곳이 가장 높고, 이메일 주소만 가는 곳이 중간, 직원 일정만 있는 곳은 낮습니다. 등급마다 요구할 자료를 다르게 정해야 스물세 곳을 같은 깊이로 파지 않게 됩니다.
3. 자료를 요청합니다. 높은 등급에는 SOC 2 보고서나 ISO 27001 증명서를 요구하고, 없으면 점검표를 보내 답을 받습니다. 그 회사가 다시 쓰는 하위 업체 목록도 받습니다. 우리 고객 데이터는 거기까지 갑니다.
4. 받은 자료를 검토합니다. 보는 것은 증명서가 있는지가 아니라 범위와 기간입니다. 어느 서비스까지 심사받았는지, 유효기간이 남았는지, 우리가 쓰는 제품이 범위 안인지입니다.
5. 계약을 맞춥니다. 위탁 범위와 책임을 정하는 처리 위탁 계약을 맺고, 다른 업체에 다시 맡길 때 알리도록 적고, 사고가 나면 몇 시간 안에 알릴지를 숫자로 적습니다.
6. 다시 볼 주기를 정합니다. 보통 해마다 한 번, 높은 등급은 여섯 달에 한 번입니다. 증명서는 해마다 갱신되고 하위 업체도 바뀌기 때문입니다.

여기에 관문 하나를 더 붙이면 절차가 일회성으로 끝나지 않습니다. 결제 승인 절차에 이 점검을 통과했는지 확인하는 칸을 넣으면 목록이 저절로 유지됩니다. 이 칸이 없으면 심사 두 달 전에 다시 스무 곳에 메일을 돌리게 됩니다.

문서는 법무가 갖고 기술 확인은 태오가 합니다. 증명서의 범위가 우리가 쓰는 기능을 덮는지, 데이터가 어디까지 가는지는 코드를 아는 쪽이 아니면 판단이 서지 않습니다. 규원은 등급 기준과 예외를 결정합니다. 증명서가 없는데 대체할 도구도 없는 경우가 생기고, 감수할지는 회사 차원의 결정입니다.

수아는 반대 방향에서 같은 일을 겪습니다. 기업 고객이 페이지덱을 도입할 때 우리에게 같은 질문을 던지기 때문입니다. 그때 받는 문서가 보안 점검표이고 우리가 협력사에 보내는 것과 형식이 거의 같습니다. 받아 둔 답을 정리해 두면 고객 질문에 답하는 시간도 줄어듭니다.

시점은 네 군데입니다. 첫째는 도입 전이고 가장 싸게 끝나는 자리입니다. 이미 쓰는 도구에서 문제가 나오면 옮기는 데 몇 주가 걸리지만, 도입 전이면 다른 도구를 고르면 됩니다. 나머지는 계약 갱신, 인증 심사 준비, 그 회사에서 사고가 났다는 소식이 들릴 때입니다.

빼는 시점도 절차에 넣습니다. 반년째 아무도 안 쓰는 도구의 계정이 살아 있으면 고객 데이터도 그대로 남아 있습니다. 목록을 다시 볼 때 쓰지 않는 곳은 계약을 끊고 데이터 삭제를 요청해 그 답을 증적으로 남깁니다.

"이 도구 붙이기 전에 SOC 2 보고서 받았어요? 고객 이메일이 거기로 갑니다."

도입 전 관문을 확인하는 말입니다.

"증명서는 있는데 우리가 쓰는 제품이 범위 밖이에요."

이름만 있고 실제로는 확인이 안 됐다는 지적입니다.

"그쪽 하위 위탁사 목록도 받아야 합니다. 우리 고객 데이터가 거기까지 가니까요."

점검 대상이 한 단계 더 아래까지라는 뜻입니다.

페이지덱에서는 태오가 스물세 곳 목록을 만든 뒤 등급을 세 단으로 나눴습니다. 높은 등급 아홉 곳부터 자료를 요청해 여섯 주 만에 일곱 곳이 답을 보냈습니다. 나머지 둘 중 하나는 증명서가 없다고 답했고, 하나는 답이 없었습니다.

규원이 그 두 곳을 두고 결정한 방식이 이 절차의 성격을 보여 줍니다. 답을 주지 않은 곳은 대체 도구가 있어 두 주 안에 옮겼습니다. 증명서가 없다고 답한 곳은 대체할 곳이 없어 남기되, 보내는 데이터를 이메일 주소에서 고객 식별 번호로 바꿨습니다. 결론이 늘 통과와 탈락 둘인 것은 아니고, 보내는 데이터를 줄여 등급을 낮추는 쪽이 세 번째 답입니다.

증명서를 받으면 끝이라고 보는 경우가 가장 많습니다. 확인의 목적이 문서 확보처럼 보이기 때문입니다. 하지만 증명서에는 범위와 기간이 붙어 있습니다. 회사 이름은 같은데 심사받은 서비스가 우리가 쓰는 제품이 아닐 수 있고, 보고서가 1년 전 것이면 그 사이의 변화는 확인되지 않은 상태입니다. 여섯 달 동안 지켜졌는지 보는 유형과 설계만 한 시점에서 보는 유형도 다릅니다. 파일만 폴더에 넣고 통과로 적은 회사가 심사에서 같은 항목을 지적받습니다.

작은 도구는 안 봐도 된다고 보는 것도 흔합니다. 금액이 작으면 위험도 작을 것 같습니다. 그런데 기준은 금액이 아니라 어떤 데이터가 가는지입니다. 월 3만 원짜리 알림 도구가 고객 전체의 이메일 주소를 갖고 있고, 무료 설문 도구에 고객 이름과 회사명이 쌓입니다. 반대로 월 300만 원짜리 도구가 직원 일정만 다룰 수도 있습니다. 목록을 금액순으로 보면 정작 위험한 곳이 아래에 남습니다.