NIST SP 800-161

NIST SP 800-161(Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations)은 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 사이버보안 공급망 위험 관리(Cybersecurity Supply Chain Risk Management, C-SCRM) 지침으로, 조직이 정보통신기술 및 운영기술 제품·서비스의 공급망에서 발생하는 사이버보안 위험을 식별·평가·대응·모니터링하기 위한 관리체계와 보안 통제를 제시하는 특별간행물이다.

개요

NIST SP 800-161은 조직이 외부에서 조달하거나 이용하는 하드웨어, 소프트웨어 및 서비스의 공급망에서 발생할 수 있는 사이버보안 위험을 관리하기 위한 지침이다.

정보시스템은 자체 개발한 구성요소뿐 아니라 외부 제조업체의 하드웨어, 소프트웨어 라이브러리, 오픈소스 소프트웨어, 클라우드 서비스, 시스템 통합업체 및 유지보수 사업자 등 다양한 공급자에 의존한다.

이러한 공급망에서는 악성 기능이 포함된 제품, 위조 부품, 취약한 개발·제조 공정, 공급자 시스템 침해, 하위 공급자의 보안 문제 등이 최종 이용기관의 보안사고로 이어질 수 있다.

NIST SP 800-161은 이러한 위험을 개별 공급자의 보안 문제로만 다루지 않고 조직 전체의 위험 관리 체계에 통합하도록 권고한다.

주요 특징은 다음과 같다.

• 정보통신기술(ICT)과 운영기술(OT)의 공급망 위험을 함께 고려.
• 조직·업무·시스템의 3개 수준에 걸친 다계층 위험 관리.
• 공급자뿐 아니라 제품, 서비스, 구성요소 및 하위 공급망의 위험 평가.
• 제품의 개발·제조·조달·통합·운영·유지보수·폐기까지 전체 수명주기 관리.
• 공급망 위험 관리 전략, 정책, 이행계획 및 시스템별 계획 수립.
• NIST SP 800-39의 위험 관리 프로세스와 연계.
• NIST SP 800-37의 위험 관리 프레임워크(RMF)와 연계.
• NIST SP 800-53의 보안 통제를 기반으로 공급망 특화 통제 제공.
• 소프트웨어 자재명세서(SBOM), 취약점 공개 및 공급자 보안 평가 활용.
• 공급자와의 계약, 정보 공유, 사고 대응 및 지속적 모니터링 강조.

이 문서는 특정 보안 제품이나 공급망 평가 서비스를 지정하지 않으며, 조직의 규모와 업무 특성, 공급망 구조 및 위험 허용 수준에 따라 권고사항을 조정하여 적용하도록 한다.

항목	내용
문서 번호	NIST SP 800-161
정식 명칭	Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations
한국어 명칭	시스템 및 조직을 위한 사이버보안 공급망 위험 관리 실무 지침
발행기관	미국 국립표준기술연구소(NIST)
최초 발행	2015년 4월
주요 개정	Revision 1, 2022년 5월
최신 확정본	Revision 1 Update 1
최신 갱신일	2024년 11월 1일
주요 분야	공급망 보안, 사이버보안 위험 관리, ICT·OT 보안, 제3자 위험 관리
주요 적용 대상	공공기관, 기업, 시스템 운영기관, 조달 담당자, 보안 담당자, 개발자 및 공급망 관리 담당자
공식 문서	NIST CSRC
원문	PDF

발행 및 개정 이력

NIST SP 800-161은 정보통신기술 제품과 서비스의 공급망이 복잡해지면서 조직이 직접 통제하기 어려운 보안 위험이 증가한 상황을 배경으로 개발되었다.

최초 문서는 2015년 4월 발행되었으며, 이후 공급망 공격과 소프트웨어 보안 문제가 중요해지면서 2022년 전면 개정되었다.

2024년에는 오류 수정과 일부 실질적인 내용 변경을 반영한 Update 1이 발표되었다.

시기	문서	주요 내용
2015년 4월	SP 800-161	공급망 위험 관리 지침 최초 발행
2020년 2월	Revision 1 공개 초안	기존 지침의 전면 개정 작업
2021년 4월	Revision 1 공개 초안	개정 지침에 대한 의견 수렴
2021년 10월	Revision 1 공개 초안	추가 의견 수렴
2022년 5월 5일	Revision 1 최종본	조직 전체의 C-SCRM 관리체계와 보안 통제 확대
2024년 11월 1일	Revision 1 Update 1	정오표 및 실질적인 내용 변경 반영
2025년 12월 2일	보충자료 안내	SCRM Assessment Scoping Questionnaire의 작성 가능한 양식 제공 안내

2026년 10월 23일 기준 NIST CSRC에서 확인되는 최신 확정본은 SP 800-161 Revision 1 Update 1이다.

2022년 Revision 1

2022년 5월 발행된 Revision 1은 기존 공급망 보안 지침을 조직 전체의 위험 관리 관점에서 확장하였다.

주요 변경사항은 다음과 같다.

• 공급망 위험 관리를 조직 전체의 위험 관리 활동에 통합.
• 조직·업무·시스템의 3개 수준별 책임과 활동 구체화.
• C-SCRM 전략과 이행계획 수립 방법 제시.
• 공급망 위험 관리 정책 및 시스템별 계획 수립 방법 제시.
• 공급망 위험 평가와 통제 선정 방법 구체화.
• 공급망 위험 관리 프로그램의 핵심 실무와 성숙도 향상 방안 제시.
• NIST SP 800-53 Revision 5의 공급망 위험 관리 통제와 연계.
• 소프트웨어 공급망 보안 및 미국 행정명령 14028호 관련 지침 반영.

Revision 1은 2015년 최초 발행본을 대체하였다.

2024년 Update 1

2024년 11월 1일 발표된 Update 1은 Revision 1의 기본 구조를 유지하면서 일부 내용을 수정하였다.

주요 변경사항은 다음과 같다.

• 혼동을 유발할 수 있었던 조달 과정 관련 표 삭제.
• NIST Cybersecurity Framework(CSF) 1.1에 대한 참조를 CSF 2.0으로 갱신.
• NIST SP 800-160 Volume 1 및 Volume 2의 개정판 참조 갱신.
• 반도체 제조업체와 관련된 공급망 위험 사례 추가.
• 공급망 위험 평가 통제 RA-3의 보충 지침 수정.
• RA-3(1) 통제 개선항목 추가.
• 취약점 보고서와 취약점 권고문에 관한 RA-5 설명 보완.
• PM-30과 RA-3(1)의 공급망 통제 기준 반영.
• 소프트웨어 자재명세서(SBOM) 관련 설명 명확화.
• 취약점 공개 및 권고문 관련 지침 보완.
• 일부 통제 개선항목의 번호 및 참조 오류 수정.

세부 변경 내역은 Update 1의 부록 K(Revision History)에 수록되어 있다.

Update 1은 별도의 Revision 2가 아니라 Revision 1에 대한 갱신본이다.

사이버보안 공급망 위험 관리

사이버보안 공급망 위험 관리(Cybersecurity Supply Chain Risk Management, C-SCRM)는 공급망 전반에서 발생하는 사이버보안 위험을 체계적으로 식별·평가·대응·모니터링하는 활동이다.

공급망 위험은 최종 제품 자체의 취약점뿐 아니라 제품이 개발·제조·유통·통합·운영되는 과정에서도 발생한다.

예를 들어 다음과 같은 상황이 공급망 위험에 해당한다.

• 공급자의 개발 환경이 침해되어 악성 코드가 제품에 포함되는 경우.
• 정상 제품으로 위장한 위조 하드웨어가 공급되는 경우.
• 외부 소프트웨어 라이브러리에 알려진 취약점이 포함된 경우.
• 유지보수 사업자의 원격 접속 계정이 탈취되는 경우.
• 공급자가 이용하는 하위 사업자의 시스템이 침해되는 경우.
• 제조 과정에서 제품의 펌웨어가 변조되는 경우.
• 공급자의 장애로 중요 시스템의 운영이 중단되는 경우.

공급망 위험 관리의 대상은 계약 관계가 있는 직접 공급자에 한정되지 않는다.

제품과 서비스에 영향을 주는 하위 공급자, 구성요소 개발자, 시스템 통합업체 및 외부 서비스 제공자까지 고려해야 한다.

ICT와 OT 공급망

SP 800-161은 정보통신기술(ICT)과 운영기술(OT)을 모두 다룬다.

구분	주요 대상	공급망 위험의 예
ICT	서버, 네트워크, 소프트웨어, 클라우드 서비스	악성 소프트웨어, 취약한 라이브러리, 위조 장비
OT	산업제어시스템, 생산설비, 제어장치	변조된 펌웨어, 취약한 제어장치, 유지보수 경로 침해

OT 환경에서는 공급망 보안 문제가 정보 유출뿐 아니라 물리적 설비의 오작동이나 안전 문제로 이어질 수 있다.

따라서 조직은 제품과 서비스의 특성에 따라 기밀성·무결성·가용성뿐 아니라 안전성, 신뢰성 및 복원력도 함께 고려해야 한다.

공급망 위험의 주요 유형

SP 800-161은 공급망에서 발생할 수 있는 다양한 위험을 설명한다.

위험 유형	설명	주요 영향
악성 기능 삽입	개발·제조·유통 과정에서 악성 기능이 포함됨	시스템 침해, 정보 유출, 원격 제어
위조 제품	정품으로 위장한 비정상 제품이나 부품 공급	무결성 훼손, 장애, 보안 기능 우회
취약한 개발·제조	공급자의 개발 및 품질 관리 절차 미흡	취약점 유입, 신뢰성 저하
공급자 침해	공급자의 시스템이나 계정이 공격받음	이용기관으로의 공격 확산
하위 공급망 위험	직접 계약하지 않은 하위 공급자에서 문제 발생	위험 가시성 감소, 연쇄 침해
공급망 중단	공급자의 장애 또는 서비스 제공 중단	업무 중단, 복구 지연
구성요소 취약점	재사용 소프트웨어나 하드웨어의 취약점	다수 시스템에 공통 취약점 전파
출처 불명확성	제품이나 구성요소의 생산·유통 경로 확인 곤란	변조 여부 및 신뢰성 판단 곤란

부록 C에서는 외국 정부의 공급자 통제, 통신장비 위조, 산업 스파이 활동, 악성 코드 삽입, 비의도적 침해 및 취약한 재사용 구성요소 등 여섯 가지 위험 시나리오를 예시로 제시한다.

다계층 위험 관리 체계

SP 800-161 Revision 1은 NIST SP 800-39의 다계층 위험 관리 접근법을 기반으로 C-SCRM을 세 가지 수준에 통합한다.

수준	영문	관리 대상	주요 산출물
Level 1	Enterprise	조직 전체의 전략과 거버넌스	C-SCRM 전략, 정책, 상위 이행계획
Level 2	Mission and Business Process	임무 및 업무 프로세스	업무별 C-SCRM 전략, 정책 및 이행계획
Level 3	Operational	개별 시스템과 운영 환경	시스템별 C-SCRM 계획 및 통제

세 수준은 독립적으로 운영되는 것이 아니라 상호 연계된다.

상위 수준에서 수립한 전략과 정책은 하위 수준의 보안 활동을 제약하고 지원하며, 하위 수준에서 확인한 위험은 상위 수준의 의사결정에 반영된다.

Level 1: 조직 수준

Level 1은 조직 전체의 공급망 위험 관리 방향을 결정한다.

주요 책임은 최고경영진과 조직의 위험 관리 책임자에게 있다.

주요 활동은 다음과 같다.

• 조직 전체의 C-SCRM 전략 수립.
• 공급망 위험 관리 정책 제정.
• 위험 수용 성향(Risk Appetite)과 위험 허용 수준(Risk Tolerance) 결정.
• 공급망 위험 관리 거버넌스 구축.
• 역할과 책임 배분.
• 공급망 위험 관리에 필요한 자원 확보.
• 조직 차원의 위험 정보 통합.
• 상위 이행계획 수립.

조직 전체의 공급망 위험에 대한 최종 책임은 조직의 최고책임자에게 있으며, 실무적인 의사결정과 통제 수행은 적절한 책임자에게 위임할 수 있다.

Level 2: 임무 및 업무 수준

Level 2는 조직의 전략을 개별 임무와 업무 프로세스에 적용한다.

예를 들어 금융기관에서는 핵심 금융거래 시스템, 대외 연계 업무, 내부 업무 시스템 등이 서로 다른 공급망 위험 특성을 가질 수 있다.

주요 활동은 다음과 같다.

• 업무별 중요 공급자와 서비스 식별.
• 업무 특성에 따른 공급망 위험 평가.
• 조직 전체의 C-SCRM 전략을 업무에 맞게 구체화.
• 업무별 공급망 보안 요구사항 정의.
• 조달 및 계약 요구사항 수립.
• 업무별 위험 대응 및 이행계획 작성.
• 공급망 위험 관련 성과와 이행 현황 보고.

Level 2의 활동은 Level 1에서 정한 전략과 정책에 부합해야 한다.

Level 3: 시스템 및 운영 수준

Level 3은 개별 시스템과 실제 운영 환경에서 공급망 위험을 관리한다.

주요 활동은 다음과 같다.

• 시스템의 공급망 구성요소 식별.
• 공급자 및 제품의 위험 평가.
• 시스템별 C-SCRM 계획 수립.
• 공급망 관련 보안 통제 선정.
• 계약상 보안 요구사항의 구현 확인.
• 공급망 관련 취약점 및 사고 모니터링.
• 시스템 변경에 따른 공급망 위험 재평가.
• 공급망 보안 통제의 운영 상태 확인.

Level 3의 C-SCRM 계획은 조직과 업무 수준의 전략·정책·이행계획을 반영해야 한다.

C-SCRM 프로그램 관리 조직

SP 800-161은 C-SCRM 프로그램을 지원하기 위한 전담 조직인 C-SCRM PMO(Program Management Office)의 활용을 설명한다.

C-SCRM PMO는 조직의 특성에 따라 Level 1 또는 Level 2에 설치할 수 있다.

주요 기능은 다음과 같다.

• 공급망 위험 관리 정책과 양식 제공.
• 공급자 위험 평가 지원.
• 조직 내 공급망 위험 정보 공유.
• 공급망 위험 관리 활동의 조정.
• 경영진을 위한 위험 현황 보고.
• C-SCRM 프로그램의 지속적 개선 지원.

전담 PMO의 설치가 모든 조직에 일률적으로 요구되는 것은 아니며, 조직의 규모와 위험 특성에 따라 기존 조직이 해당 기능을 수행할 수도 있다.

위험 관리 프로세스

SP 800-161은 NIST SP 800-39의 위험 관리 프로세스를 공급망에 적용한다.

프로세스는 다음 네 가지 활동으로 구성된다.

단계	영문	주요 활동
위험 맥락 설정	Frame	위험 평가와 의사결정에 필요한 가정·제약조건·위험 허용 수준 정의
위험 평가	Assess	중요도, 위협, 취약점, 발생 가능성 및 영향 분석
위험 대응	Respond	위험 대응 방안과 보안 통제 선정·적용
위험 모니터링	Monitor	공급망 변화와 통제 효과를 지속적으로 감시

위험 맥락 설정

위험 맥락 설정(Frame)은 공급망 위험에 관한 의사결정의 기준을 정하는 활동이다.

주요 검토사항은 다음과 같다.

• 조직의 임무와 업무 목표.
• 중요 정보시스템 및 자산.
• 공급망 구성과 외부 의존성.
• 위험 평가의 범위와 가정.
• 위험 수용 성향과 허용 수준.
• 법률 및 규제 요구사항.
• 조직의 자원과 운영 제약조건.

위험 평가

위험 평가(Assess)는 공급망의 위협과 취약점이 조직에 미치는 영향을 분석하는 활동이다.

SP 800-161은 중요도 분석, 위협 분석 및 취약점 분석을 공급망 위험 평가의 핵심 요소로 다룬다.

• 중요도 분석(Criticality Analysis): 특정 공급자·제품·서비스가 조직의 임무와 업무에 얼마나 중요한지 평가.
• 위협 분석(Threat Analysis): 공급망을 대상으로 하는 공격자와 위협 사건 분석.
• 취약점 분석(Vulnerability Analysis): 제품·서비스·공급망 프로세스에 존재하는 약점 식별.
• 영향 분석(Impact Analysis): 공급망 위험이 현실화되었을 때 발생하는 피해 평가.

위험 평가는 공급자의 보안 인증 보유 여부만으로 판단해서는 안 된다.

제품의 출처, 구성요소, 개발 과정, 하위 공급망 및 실제 운영 환경을 함께 고려해야 한다.

위험 대응

위험 대응(Respond)은 평가된 공급망 위험에 대해 적절한 대응 방안을 선정하고 실행하는 활동이다.

대응 방안에는 다음과 같은 조치가 포함될 수 있다.

• 보안 요구사항을 충족하는 공급자 선정.
• 공급자에게 보완조치 요구.
• 제품의 보안 검증 강화.
• 중요 구성요소의 공급처 다변화.
• 공급자 접근 권한 제한.
• 추가적인 모니터링 및 탐지 체계 구축.
• 계약상 보안 요구사항 강화.
• 위험 수준이 높은 제품이나 서비스의 도입 제한.

대응 방안은 위험의 중요도와 조직의 위험 허용 수준에 따라 결정한다.

위험 모니터링

위험 모니터링(Monitor)은 공급망의 위험 상태와 대응조치의 효과를 지속적으로 확인하는 활동이다.

주요 대상은 다음과 같다.

• 공급자의 보안 상태 변화.
• 제품 및 서비스의 신규 취약점.
• 공급자의 소유권 및 지배구조 변화.
• 하위 공급망 구성 변경.
• 보안사고 발생 여부.
• 계약상 보안 요구사항 이행 여부.
• 공급망 보안 통제의 효과.

공급망 위험 평가는 조달 시점에 한 번 수행하고 종료하는 활동이 아니다.

제품과 서비스의 전체 수명주기에 걸쳐 반복적으로 수행해야 한다.

C-SCRM 핵심 실무

SP 800-161 Revision 1의 제3.4절은 공급망 위험 관리 역량을 발전시키기 위한 핵심 실무를 세 범주로 구분한다.

범주	영문	주요 목적
기반 실무	Foundational Practices	공급망 위험 관리의 기본 역량 구축
지속 실무	Sustaining Practices	구축된 관리체계의 효과와 지속성 강화
고도화 실무	Enhancing Practices	자동화와 예측적 위험 관리 역량 발전

이 분류는 조직이 공급망 위험 관리 역량을 단계적으로 발전시키도록 지원하기 위한 것이다.

별도의 의무적 인증 등급이나 공식 성숙도 점수를 정의하는 것은 아니다.

기반 실무

기반 실무(Foundational Practices)는 지속적인 공급망 위험 관리에 필요한 기본 역량이다.

주요 권고사항은 다음과 같다.

• C-SCRM 전담 조직 또는 다학제 협업팀 구성.
• 최고경영진의 지원 확보.
• 조직 전체의 위험 관리 체계 구축.
• 공급망 위험 관리 정책 수립.
• 중요 공급자·제품·서비스 식별.
• 조달 및 계약 절차에 C-SCRM 요구사항 통합.
• 공급자 위험 평가 절차 수립.
• 공급망 위험 관리 역할과 책임 정의.
• 적절한 보안 통제 선정 및 적용.
• 공급자 관리 프로그램 운영.
• 공급망 관련 보안사고 대응 역량 확보.
• 공급자의 취약점 식별 및 공개 활동 확인.
• 소프트웨어 구성요소에 대한 관리체계 마련.

지속 실무

지속 실무(Sustaining Practices)는 기반 실무가 정착된 이후 공급망 위험 관리의 효과를 높이기 위한 활동이다.

주요 권고사항은 다음과 같다.

• 위협 정보 기반의 보안 프로그램 운영.
• 중요 공급자에 대한 독립적인 평가 및 검증 활용.
• 공급자와 제품·서비스의 정기적인 재평가.
• 공급망 위험 수용 성향과 허용 수준의 구체화.
• 공급망 관련 위협 정보 공유.
• 공급망 위험 관리 교육의 역할별 세분화.
• 시스템 전체 수명주기에 C-SCRM 활동 통합.
• 계약에 공급망 보안 요구사항 반영.
• 중요 공급자를 비상계획과 사고 대응 훈련에 포함.
• 공급망 위험 관리 성과지표 수집 및 보고.

고도화 실무

고도화 실무(Enhancing Practices)는 공급망 위험 관리의 자동화와 예측 능력을 높이는 활동이다.

주요 권고사항은 다음과 같다.

• 적절한 C-SCRM 업무의 자동화.
• 확률적 분석을 포함한 정량적 위험 평가 활용.
• 선행지표를 이용한 공급망 위험 변화 예측.
• 위험 변화에 따른 대응 전략의 선제적 조정.
• 공급망 보안 전문 협력체계와 실무 공동체 참여.

NIST는 이러한 고도화 활동을 기반 실무와 지속 실무가 충분히 정착된 이후 추진하도록 권고한다.

공급자 평가 및 실사

공급자 평가(Supplier Assessment)는 공급자가 제공하는 제품·서비스와 공급망 구조에서 발생하는 위험을 확인하는 활동이다.

공급자에 대한 실사(Due Diligence)는 새로운 제품·서비스를 조달하거나 기존 공급자를 평가할 때 관련 정보를 조사하여 위험 기반 의사결정을 지원하는 절차이다.

주요 평가 항목은 다음과 같다.

평가 영역	주요 검토사항
공급자 정보	법인, 소유구조, 사업 지속성
제품 및 서비스	기능, 중요도, 운영 환경
보안 관리체계	보안 정책, 조직, 인증 및 평가 결과
개발·제조 보안	개발 환경, 제조 공정, 품질 관리
취약점 관리	취약점 식별, 공개, 패치 및 대응 절차
공급망 구조	하위 공급자, 외부 의존성, 공급 경로
제품 출처	제조자, 유통 경로, 구성요소의 출처
사고 대응	사고 통지, 조사 협력, 복구 절차
사업 연속성	공급 중단 및 장애 대응 능력
계약 및 법률	보안 의무, 감사 권한, 관련 규제 준수

평가 결과는 공급자의 중요도와 위험 수준에 따라 관리해야 한다.

중요도가 높은 공급자에 대해서는 더 엄격한 평가와 지속적 모니터링이 필요할 수 있다.

NIST SP 1326과의 관계

NIST는 2026년 7월 8일 SP 1326 NIST Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide 최종본을 발행하였다.

이 문서는 SP 800-161 Revision 1에 따른 공급자 실사를 구체적으로 지원하는 지침이다.

SP 1326은 정보통신기술 공급자에 대한 실사 평가를 다음 다섯 영역으로 구성한다.

• 외국의 소유·통제·영향(FOCI).
• 출처 및 이력(Provenance).
• 복원력(Resilience).
• 기본적인 사이버보안 실무(Foundational Cyber Practices).
• 공급망 계층(Supply Chain Tiers).

SP 1326은 SP 800-161을 대체하는 문서가 아니라 공급자 실사 활동을 보완하는 별도의 지침이다.

소프트웨어 공급망 보안

SP 800-161 Revision 1은 소프트웨어 공급망의 위험을 주요 관리 대상으로 다룬다.

소프트웨어는 개발자, 오픈소스 프로젝트, 외부 라이브러리, 빌드 도구, 배포 플랫폼 및 유지보수 사업자 등 다양한 주체와 구성요소에 의존한다.

따라서 최종 소프트웨어의 취약점 검사뿐 아니라 개발과 배포 과정의 신뢰성을 함께 평가해야 한다.

주요 고려사항은 다음과 같다.

• 소프트웨어 개발 환경의 보안.
• 외부 라이브러리 및 구성요소 관리.
• 소프트웨어 출처 및 무결성 확인.
• 빌드 및 배포 과정의 보호.
• 소프트웨어 구성요소의 취약점 관리.
• 공급자의 취약점 공개 절차.
• 소프트웨어 업데이트의 신뢰성.
• 개발·유통·운영 과정의 공급망 위험 평가.

소프트웨어 자재명세서

소프트웨어 자재명세서(Software Bill of Materials, SBOM)는 소프트웨어를 구성하는 구성요소와 그 관계를 기록한 자료이다.

SBOM은 외부 라이브러리와 구성요소의 식별, 알려진 취약점의 영향 범위 분석 등에 활용할 수 있다.

SP 800-161은 소프트웨어 구성요소에 대한 관리체계를 마련하고, SBOM을 중요도·취약점·위협·악용 가능성 정보와 결합하여 공급망 위험 관리에 활용하는 방안을 설명한다.

그러나 SBOM이 존재한다는 사실만으로 소프트웨어의 안전성이 보장되는 것은 아니다.

SBOM에 포함된 정보의 정확성, 최신성, 완전성 및 구성요소의 실제 보안 상태를 별도로 검토해야 한다.

취약점 공개

공급자의 취약점 공개 역량도 공급망 위험 관리의 주요 요소이다.

조직은 공급자가 다음 활동을 수행할 수 있는지 확인해야 한다.

• 취약점 신고 접수.
• 취약점 분석 및 영향 평가.
• 취약점 관련 정보 공개.
• 보안 업데이트 제공.
• 이용자에 대한 취약점 통지.
• 보안사고 대응 및 재발 방지.

2024년 Update 1은 취약점 보고서와 취약점 권고문에 관한 설명을 보완하였다.

공급망 보안 통제

SP 800-161 Revision 1의 부록 A는 NIST SP 800-53 Revision 5를 기반으로 공급망 위험 관리에 필요한 보안 통제를 제시한다.

SP 800-53의 통제 중 공급망과 관련된 항목을 선정하고, 공급망 환경에 적용하기 위한 보충 지침을 제공하는 방식이다.

이러한 구성을 공급망 위험 관리 통제 오버레이(C-SCRM Control Overlay)로 설명할 수 있다.

부록 A는 공급망 위험 관리(SR) 통제군뿐 아니라 접근통제, 형상 관리, 위험 평가, 시스템 획득 등 다양한 통제군을 포함한다.

주요 통제 영역

통제군	영문	공급망 관련 주요 내용
AC	Access Control	공급자 및 외부 인력의 접근 권한 관리
AT	Awareness and Training	공급망 보안 교육
AU	Audit and Accountability	공급자 활동의 기록과 감사
CA	Assessment, Authorization, and Monitoring	공급망 보안 통제 평가 및 모니터링
CM	Configuration Management	공급망 구성요소 및 변경 관리
CP	Contingency Planning	공급망 장애 및 중단에 대한 비상계획
IA	Identification and Authentication	공급자 및 외부 인력의 신원 확인과 인증
IR	Incident Response	공급망 관련 침해사고 대응
MA	Maintenance	외부 유지보수 활동의 보안
MP	Media Protection	공급망에서 취급하는 저장매체 보호
PE	Physical and Environmental Protection	공급망 관련 물리적 보호
PL	Planning	공급망 보안 계획
PM	Program Management	조직 차원의 공급망 위험 관리 프로그램
PS	Personnel Security	공급자 및 관련 인력의 보안
RA	Risk Assessment	공급망 위험 평가
SA	System and Services Acquisition	시스템 및 서비스 조달 보안
SC	System and Communications Protection	공급망 관련 시스템 및 통신 보호
SI	System and Information Integrity	제품과 시스템의 무결성 보호
SR	Supply Chain Risk Management	공급망 위험 관리 전용 통제

이 밖에도 부록 A에는 개인정보 처리 및 투명성(PT) 통제군이 포함되어 있다.

SR 통제군

SR(Supply Chain Risk Management) 통제군은 NIST SP 800-53 Revision 5에 도입된 공급망 위험 관리 전용 통제군이다.

주요 통제는 다음과 같다.

통제	영문	주요 내용
SR-1	Policy and Procedures	공급망 위험 관리 정책과 절차
SR-2	Supply Chain Risk Management Plan	공급망 위험 관리 계획
SR-3	Supply Chain Controls and Processes	공급망 통제 및 프로세스
SR-4	Provenance	제품 및 구성요소의 출처와 이력
SR-5	Acquisition Strategies, Tools, and Methods	공급망 위험을 고려한 획득 전략과 방법
SR-6	Supplier Assessments and Reviews	공급자 평가 및 검토
SR-7	Supply Chain Operations Security	공급망 운영 보안
SR-8	Notification Agreements	공급망 관련 통지 협약
SR-9	Tamper Resistance and Detection	변조 방지 및 탐지
SR-10	Inspection of Systems or Components	시스템 및 구성요소 검사
SR-11	Component Authenticity	구성요소의 진위 확인
SR-12	Component Disposal	구성요소 폐기

SP 800-161 Revision 1은 SP 800-53의 SR 통제군을 기반으로 공급망 위험 관리에 필요한 추가 지침을 제공한다.

또한 부록 A에는 SR-13 등 SP 800-53 Revision 5의 기본 통제 카탈로그에 포함되지 않았던 공급망 특화 항목도 제시되어 있다.

따라서 SP 800-161의 공급망 통제 오버레이와 SP 800-53의 기본 통제 카탈로그를 완전히 동일한 목록으로 취급해서는 안 된다.

통제 선정과 조정

SP 800-161은 모든 공급망 통제를 모든 시스템에 동일하게 적용하도록 요구하지 않는다.

조직은 다음 요소를 고려하여 통제를 선정하고 조정해야 한다.

• 시스템의 중요도.
• 공급자와 제품의 위험 수준.
• 업무 및 임무에 대한 영향.
• 공급망 구조와 복잡성.
• 적용 가능한 법률 및 계약 요구사항.
• 조직의 위험 허용 수준.
• 기존 보안 통제와의 중복 및 연계.

부록 B는 공급망 위험 관리 통제를 요약하여 선정과 조정에 활용할 수 있도록 한다.

조달 및 계약 관리

SP 800-161은 공급망 위험 관리 활동을 제품과 서비스의 조달 및 계약 관리 과정에 통합하도록 권고한다.

공급망 위험 관리는 계약 체결 이후에 시작하는 활동이 아니라 요구사항 정의 단계부터 수행해야 한다.

주요 절차는 다음과 같다.

1. 필요한 제품과 서비스의 보안 요구사항 정의.
2. 공급자 및 공급 경로 조사.
3. 후보 공급자의 보안 역량 평가.
4. 제품과 서비스의 공급망 위험 평가.
5. 조달 문서에 공급망 보안 요구사항 반영.
6. 계약 체결 전 위험 대응 방안 결정.
7. 계약상 보안 의무와 통지 조건 명시.
8. 공급된 제품과 서비스의 보안 상태 확인.
9. 계약 기간 중 공급망 위험 지속적 모니터링.
10. 계약 종료와 서비스 전환 과정의 위험 관리.

주요 계약 조건에는 공급자 보안 요구사항, 취약점 공개, 사고 통지, 감사 및 평가 협력, 하위 공급자에 대한 요구사항 전달 등이 포함될 수 있다.

또한 오픈소스 소프트웨어처럼 전통적인 구매계약을 통해 획득하지 않는 구성요소에도 공급망 위험 관리가 필요하다.

공급망 위험 관리 문서

SP 800-161은 조직의 공급망 위험 관리 활동을 체계화하기 위한 여러 문서를 제시한다.

문서	영문	주요 내용
C-SCRM 전략	C-SCRM Strategy	조직의 공급망 위험 관리 목표와 방향
C-SCRM 이행계획	C-SCRM Implementation Plan	전략을 실행하기 위한 활동, 일정 및 책임
C-SCRM 정책	C-SCRM Policy	조직의 공급망 위험 관리 원칙과 의무
C-SCRM 계획	C-SCRM Plan	개별 시스템에 적용하는 공급망 위험 관리 통제와 절차
C-SCRM 위험 평가	C-SCRM Risk Assessment	공급망 위협·취약점·영향 및 대응 방안 분석

부록 D는 이러한 문서의 작성에 활용할 수 있는 양식을 제공한다.

조직은 공급망 위험 관리 문서를 별도로 작성하거나 기존 위험 관리 및 정보보호 문서와 연계할 수 있다.

다만 문서의 작성 방식과 관계없이 필요한 책임, 통제 및 평가 활동이 실제로 수행되어야 한다.

미국 연방정부의 공급망 보안 정책과 관계

SP 800-161 Revision 1은 미국 연방정부의 공급망 보안 강화 정책과 관련되어 있다.

특히 2021년 5월 12일 발표된 미국 행정명령 14028호(Executive Order 14028, Improving the Nation's Cybersecurity)는 소프트웨어 공급망 보안 강화를 주요 과제로 제시하였다.

SP 800-161 Revision 1의 부록 F는 행정명령 14028호에 따른 소프트웨어 공급망 보안 지침을 다룬다.

해당 지침의 상세 내용은 NIST가 별도로 제공하는 온라인 자료와 연계된다.

또한 부록 E는 미국 연방조달공급망보안법(Federal Acquisition Supply Chain Security Act, FASCSA)과 관련된 공급망 위험 평가 및 대응 사항을 다룬다.

SP 800-161 자체가 모든 조직에 직접적인 법적 의무를 부과하는 법률은 아니다.

미국 연방기관의 실제 의무는 적용되는 법률, 행정명령, 정부 정책 및 계약 조건에 따라 결정된다.

민간기업과 미국 외 조직도 SP 800-161을 자발적인 공급망 보안 지침으로 활용할 수 있다.

문서 구조

SP 800-161 Revision 1 Update 1은 본문 3개 장과 부록 A부터 K까지로 구성된다.

구분	영문 제목	주요 내용
제1장	Introduction	목적, 적용 범위, 공급망 개념, 관련 지침
제2장	Integration of C-SCRM Into Enterprise-Wide Risk Management	조직 전체의 위험 관리에 C-SCRM 통합
제3장	Critical Success Factors	공급망 위험 관리의 핵심 성공 요인
부록 A	C-SCRM Security Controls	공급망 위험 관리 보안 통제
부록 B	C-SCRM Control Summary	공급망 통제 요약
부록 C	Risk Exposure Framework	공급망 위험 노출 평가 프레임워크와 사례
부록 D	C-SCRM Templates	전략, 정책, 계획 및 위험 평가 양식
부록 E	FASCSA	미국 연방조달공급망보안법 관련 지침
부록 F	Response to Executive Order 14028's Call to Publish Guidelines for Enhancing Software Supply Chain Security	소프트웨어 공급망 보안 강화 지침
부록 G	C-SCRM Activities in the Risk Management Process	위험 관리 프로세스별 C-SCRM 활동
부록 H	Glossary	용어 정의
부록 I	List of Symbols, Abbreviations, and Acronyms	기호 및 약어
부록 J	Resources	참고자료
부록 K	Revision History	문서 갱신 이력

제2장

제2장은 공급망 위험 관리를 조직 전체의 위험 관리에 통합하는 방법을 설명한다.

주요 내용은 다음과 같다.

• 공급망 위험 관리의 필요성.
• 공급망에서 발생하는 사이버보안 위험.
• 다계층 위험 관리 접근법.
• 조직·업무·시스템 수준의 책임.
• C-SCRM 프로그램 관리 조직.
• 공급망 위험 관리 전략과 정책.

제3장

제3장은 공급망 위험 관리 프로그램을 효과적으로 운영하기 위한 핵심 성공 요인을 설명한다.

주요 내용은 다음과 같다.

• 조달 과정의 C-SCRM 통합.
• 공급망 정보 공유.
• 공급망 위험 관리 인식 제고 및 교육.
• C-SCRM 핵심 실무.
• 공급망 위험 관리 역량 및 성과 측정.
• 전담 자원 확보.

부록 A

부록 A는 문서에서 가장 상세한 보안 통제 지침을 제공하는 부분이다.

NIST SP 800-53 Revision 5의 통제 체계를 기반으로 공급망 관련 통제와 보충 설명을 제시한다.

조직은 부록 A와 B를 활용하여 공급망 위험 관리 통제를 선정하고 시스템의 특성에 맞게 조정할 수 있다.

부록 C

부록 C는 공급망 위험 노출을 분석하기 위한 프레임워크와 구체적인 위험 시나리오를 제공한다.

공급망 구성요소의 중요도, 위협, 취약점 및 영향 등을 분석하여 위험 평가에 활용할 수 있다.

부록 D

부록 D는 공급망 위험 관리 관련 문서의 작성 양식을 제공한다.

조직의 전략 및 이행계획, 정책, 시스템별 계획, 위험 평가에 필요한 항목과 작성 예시를 포함한다.

부록 G

부록 G는 위험 관리 프로세스의 네 단계에 C-SCRM 활동을 통합하는 방법을 구체적으로 설명한다.

• Frame: 위험 관리 맥락 설정.
• Assess: 공급망 위험 평가.
• Respond: 공급망 위험 대응.
• Monitor: 공급망 위험 모니터링.

다른 NIST 문서와의 관계

SP 800-161은 공급망 위험 관리에 특화된 지침이며, 다른 NIST 위험 관리 및 보안 통제 문서와 함께 활용할 수 있다.

문서	주요 내용	SP 800-161과의 차이
SP 800-30	위험 평가 수행 지침	일반적인 위험 평가 방법을 설명
SP 800-37	위험 관리 프레임워크(RMF)	시스템의 보안 및 개인정보 보호 위험 관리 절차
SP 800-39	조직 차원의 정보보안 위험 관리	조직·업무·시스템 수준의 위험 관리 체계
SP 800-53	보안 및 개인정보 보호 통제	조직과 시스템에 적용할 수 있는 통제 카탈로그
SP 800-53A	보안 및 개인정보 보호 통제 평가	보안 통제의 구현 및 효과 평가 절차
SP 800-160	시스템 보안 공학	시스템 전체 수명주기의 보안 설계 및 구현
SP 800-161	사이버보안 공급망 위험 관리	공급자·제품·서비스·구성요소의 공급망 위험 관리
SP 800-218	보안 소프트웨어 개발 프레임워크(SSDF)	소프트웨어 개발 과정의 보안 실무
SP 1326	공급망 실사 평가 지침	공급자 및 제품에 대한 실사 평가 구체화

SP 800-39와의 관계

SP 800-39는 조직·업무·정보시스템 수준의 다계층 정보보안 위험 관리 체계를 제시한다.

SP 800-161은 이 구조를 공급망 위험 관리에 적용한다.

따라서 SP 800-39가 조직 전체의 위험 관리에 관한 기본적인 구조를 제공한다면, SP 800-161은 공급망 위험에 특화된 활동과 통제를 구체화한다.

SP 800-37과의 관계

SP 800-37은 위험 관리 프레임워크(RMF)를 정의한다.

RMF는 준비·분류·선정·구현·평가·인가·모니터링의 일곱 단계로 구성된다.

SP 800-161은 공급망 위험 관리 활동을 이러한 RMF 절차와 연계하도록 한다.

특히 조직과 업무 수준에서 수행한 공급망 위험 평가 결과는 개별 시스템의 통제 선정과 위험 관리에 반영될 수 있다.

SP 800-53과의 관계

SP 800-53은 조직과 정보시스템에 적용할 수 있는 보안 및 개인정보 보호 통제 카탈로그이다.

Revision 5에는 공급망 위험 관리(SR) 통제군이 포함되어 있다.

SP 800-161은 SP 800-53의 통제를 기반으로 공급망 위험 관리에 필요한 통제 선정과 적용 방법을 구체화한다.

따라서 SP 800-53이 통제의 일반적인 요구사항을 제시한다면, SP 800-161은 공급망 환경에서 해당 통제를 어떻게 활용할 것인지 설명한다.

SP 800-218과의 관계

SP 800-218은 보안 소프트웨어 개발 프레임워크(Secure Software Development Framework, SSDF)를 제시한다.

SSDF는 소프트웨어 개발 과정에서 취약점 발생을 줄이고 보안 개발 실무를 체계화하는 데 중점을 둔다.

반면 SP 800-161은 소프트웨어 개발뿐 아니라 공급자 선정, 제품 조달, 유통, 시스템 통합, 운영 및 폐기까지 공급망 전체를 다룬다.

따라서 SP 800-218은 SP 800-161에서 다루는 소프트웨어 공급망 보안의 개발 단계 활동을 구체화하는 데 활용할 수 있다.

적용 시 고려사항

SP 800-161은 조직의 공급망 위험 관리 체계를 구축하기 위한 지침으로, 특정 제품이나 공급자의 보안성을 직접 인증하는 기준은 아니다.

실제 적용 시에는 다음 사항을 고려해야 한다.

• 조직의 업무와 시스템에 중요한 공급자 및 구성요소를 우선 식별.
• 공급망 위험을 조직 전체의 위험 관리 체계에 통합.
• 직접 공급자뿐 아니라 하위 공급망의 위험도 고려.
• 제품의 출처와 구성요소의 신뢰성 확인.
• 공급자 평가를 조달 시점에만 한정하지 않고 지속적으로 수행.
• 공급망 보안 요구사항을 계약과 운영 절차에 반영.
• 취약점 및 보안사고 정보 공유체계 확보.
• 중요 공급자를 비상계획과 사고 대응 활동에 포함.
• 공급망 위험 관리 활동의 성과를 측정하고 개선.
• 시스템의 개발부터 폐기까지 전체 수명주기에 C-SCRM 적용.

공급자가 보안 인증을 보유하거나 제품에 취약점이 발견되지 않았다는 사실만으로 공급망 위험이 제거되었다고 판단할 수는 없다.

공급망 위험은 공급자의 내부 시스템, 개발·제조 과정, 하위 공급자 및 운영 환경의 변화에 따라 지속적으로 달라질 수 있기 때문이다.

따라서 SP 800-161의 핵심은 개별 공급자를 일회성으로 평가하는 것이 아니라 공급망 전체의 위험을 조직 차원에서 지속적으로 관리하는 체계를 구축하는 데 있다.