Kiteworks, 고객들에게 사이버 공격 가능성에 대비해 9시간 동안 시스템 종료 촉구

핵심 요약

Kiteworks(이전 Accellion)가 연방 정보 당국으로부터 임박한 사이버 공격 위협 정보를 입수하여, 고객들에게 예방 조치로 9시간 동안 시스템 종료를 촉구했습니다. 이는 특정 공급망 서비스에 대한 잠재적 위협이 현실화될 가능성이 있을 때, 서비스 제공자가 선제적으로 고객에게 시스템 중단을 권고하는 이례적인 사례입니다. 이러한 조치는 위협 인텔리전스(Cyber Threat Intelligence)를 기반으로 잠재적 침해사고를 봉쇄(Containment)하려는 시도로 해석됩니다. IT 감사인은 조직이 사용하는 외부 서비스 및 공급망에 대한 위협 인텔리전스 수집 및 분석 체계가 효과적으로 작동하는지, 그리고 비상 시 서비스 중단 등 선제적 대응 계획이 수립되어 있는지 점검해야 할 핵심 시사점입니다.

개선 권고안

• ✔기술적 조치외부 서비스에 대한 의존도를 평가하고, 단일 장애점(Single Point of Failure)을 최소화하기 위한 다중화 또는 대체 서비스 확보 방안을 검토 및 적용해야 함을 권고함.
• ✔관리적 조치조직이 사용하는 모든 외부 클라우드 서비스 및 SaaS 솔루션 공급망에 대한 보안 리스크 평가를 정기적으로 수행하고, 공급망 보안 관리 정책 및 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치외부 서비스 공급자로부터의 보안 공지, 위협 정보, 서비스 중단 요청 등을 신속하게 수신하고 내부 관련 부서에 전파하는 비상 커뮤니케이션 채널 및 절차를 강화할 것을 권고함.
• ✔관리적 조치사이버 위협 인텔리전스(CTI) 수집 및 분석 역량을 강화하고, 이를 기반으로 잠재적 공급망 위협을 조기에 식별하여 선제적 대응 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치외부 서비스 중단 또는 장애 발생 시 비즈니스 연속성을 확보하기 위한 비상 계획(BCP) 및 재해 복구 계획(DRP)을 수립하고, 정기적인 모의 훈련을 통해 실효성을 점검할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기