🚨 2026년, 기업의 85%가 제3자 위협을 못 보고 있어? (공급망 공격 급증 중)

이게 뭔데? 🤔

이건 Panorays라는 회사에서 2026년에 발표한 CISO(최고 정보 보안 책임자) 설문조사 결과야. 제3자 사이버 위험 관리에 대한 현황을 분석한 건데, 요새 기업들이 협력사나 공급망에서 오는 보안 위협을 제대로 못 보고 있다는 게 핵심이야.

왜 중요한지 알아? 요즘 기업들은 혼자서 모든 걸 다 하는 게 아니라, 여러 협력사와 연결되어 일하잖아? 근데 그 협력사들 중 하나라도 해킹당하면, 그 피해가 우리 회사로 번질 수 있어. 예를 들어, 어떤 소프트웨어 업체가 해킹당해서 그 업체의 제품에 악성 코드가 심어지면, 그 제품을 쓰는 모든 기업이 위험해지는 거야. 이게 바로 **공급망 공격(Supply Chain Attack)**이야.

문제는 이런 위협을 실시간으로 모니터링하기가 너무 어렵다는 거지. 기업들이 사용하는 기존 보안 시스템은 이런 동적인 위협을 감지하기엔 부족해. 게다가 요즘은 AI 도구들이 급속도로 퍼지면서, Shadow AI(회사에서 관리하지 않는 AI 도구)라는 새로운 위협까지 생겼대. 그래서 보안 담당자들 입장에서는 머리 아픈 상황인 거야.

핵심 내용 정리 📌

• 85%의 CISO가 전체 공급망 위협을 못 봐: 60%가 제3자 보안 사고가 증가했다고 응답했지만, 실제로 전체 공급망을 제대로 모니터링하는 곳은 15%밖에 안 된대. 이게 얼마나 심각한지 알아? 공급망의 85%가 블랙박스라는 소리야.

• 77%가 제3자 위협을 주요 위협으로 인식하지만, 대비는 부족해: 21%만 실제 위기 대응 계획을 테스트해봤대. 즉, 대부분은 "위험하다"는 건 알지만, 실제로 대처할 준비는 안 되어 있는 거야. 이게 문제야. 알고만 있는 건 소용없어. 실제 행동으로 옮기지 않으면.

• 협력사 너머의 위협은 더 안 보여: 60%가 제3자 침해가 증가했다고 말했지만, 직접 협력사 너머(예: 협력사의 협력사)까지 모니터링하는 곳은 41%밖에 안 된대. 이게 마치 "집 앞문만 지키고 뒷문은 열어둔 격"이야.

• Shadow AI가 새로운 공격 경로 만들어: AI 도구 사용이 급증했지만, 22%만正式한 검증 과정을 거친대. 나머지 78%는 그냥 쓰는데, 이게 보안 팀이 모르는 사이에 회사 시스템에 접속할 수 있어. 특히 60%가 Shadow AI를 고유한 위험 요소로 꼽았대.

• 기존 GRC(거버넌스, 위험, 준수) 플랫폼은 실패해: 61%가 GRC 소프트웨어에 투자했지만, 66%가 효과가 없다고 응답했어. 왜? 이런 플랫폼은 정적인 위협만 관리할 수 있게 설계됐는데, 요즘 공급망 위협은 동적이니까. 그래서 보안 팀은 수동으로 일일히 확인해야 하는데, 그러면 당연히 누락될 위험이 커져.

• 전통적인 보안 평가 방법도 한계에 부딪혀: 71%가 기존의 설문지식 평가 방법이 기대 이하라고 말했어. 대신 66%가 AI 기반 평가 도구로 넘어가고 있대. 이게 바로 트렌드의 변화야.

• AI 기반 도구로 전환 중: AI를 이용한 제3자 위험 관리 도구 사용이 **27%에서 66%**로 급증했대. 덕분에 전체 공급망을 볼 수 있는 기업도 **3%에서 15%**로 증가했지만, 여전히 85%는 전체 그림을 못 보고 있어.

그래서 뭐가 달라지는데? 💥

이거 진짜 중요한 게, **공급망 공격은 더 이상 '가능성'이 아니라 '현실'**이 됐어. 예를 들어, 2020년 SolarWinds 해킹 사건처럼, 한 업체의 보안 취약점이 수천 개의 기업으로 번질 수 있어. 근데 이 조사를 보면, 대부분의 기업이 아직도 이런 위협을 제대로 못 보고 있어.

우리가 어떻게 대응해야 할까?

1. AI 기반 보안 도구 도입: 기존의 정적인 평가 방법으로는 안 돼. 동적인 위협을 실시간으로 감지할 수 있는 AI 도구가 필요해. 이미 66%가 이런 도구로 넘어가고 있으니까, 우리도 따라가야 해.

2. Shadow AI 관리: 회사에서 사용하는 모든 AI 도구를 등록하고 검증해야 해. 특히, 직원들이 알아서 쓰는 AI 도구들이 어떤 데이터에 접근하는지 모니터링해야지.

3. 위기 대응 계획 수립: "위험하다"는 걸 알고만 있는 건 소용없어. 실제 위기 상황이 왔을 때 어떻게 대응할지 미리 시뮬레이션하고 테스트해야 해.

4. 협력사 너머까지 모니터링: 직접 협력사만 보는 게 아니라, 협력사의 협력사까지 추적할 수 있는 시스템이 필요해. 이게 쉽진 않지만, 안 하면 뒷문으로 침입당할 수 있어.

결론적으로, 이 조사는 보안의 패러다임이 바뀌고 있다는 걸 보여줘. 더 이상 "내 회사만 안전하면 돼"가 아니라, 연결된 모든 협력사까지 안전해야 해. 그리고 그걸 가능하게 하려면 AI 기반의 동적 모니터링 시스템이 필수야.

MAX5의 생각 🎯

이 기사에서 가장 실용적인 부분은 AI 기반 보안 도구의 필요성이야. 기존 GRC 플랫폼이 정적인 위협만 관리할 수 있는데, 공급망 공격은 동적이라서 실시간 모니터링이 필수거든. 특히 Shadow AI 문제가 심각해지고 있는데, 직원들이 알아서 쓰는 AI 도구들이 보안 팀 모니터링 범위 밖에서 작동하면 위험해. 그래서 Claude Code 같은 AI 코딩 도구를 사용할 때, 회사 내 모든 AI 도구 사용을 등록하고 검증하는 프로세스가 필요해. 예를 들어, Claude Code로 생성한 코드가 외부 API나 협력사 시스템과 상호작용할 때, 보안 취약점이 없는지 자동으로 스캔할 수 있는 파이프라인을 구축하는 거야.

또 하나 중요한 건 협력사 너머까지 모니터링하는 거야. 기존 도구로는 직접 협력사만 볼 수 있지만, AI 기반 도구로는 협력사의 협력사까지 추적할 수 있어. 예를 들어, Claude Code로 협력사 코드를 분석할 때, 그 코드에 포함된 서드파티 라이브러리까지 자동으로 스캔해서 취약점을 찾도록 설정할 수 있지. 이렇게 하면 공급망 전체를 실시간으로 모니터링할 수 있어. 중요한 건 AI 도구를 단순히 코딩 보조로만 쓰지 말고, 보안 모니터링 시스템의 일환으로 통합하는 거야.