제조업 TPRM·공급망 위험관리(VRM·SecurityScorecard·SOC 2·CAIQ) 실무 완벽 가이드 — 종이 설문에서 지속 가시화까지 5단계 로드맵

1. 왜 TPRM이 필요한가 — 공급망 사고의 시대

지난 5년 주요 공급망 사고:

SolarWinds Sunburst(2020.12) — 18,000+ 고객 백도어
Kaseya VSA(2021.7) — 1,500+ MSP 고객 랜섬
Log4Shell(2021.12) — 라이브러리 폭발적 영향
Okta(2022.1·2023.10) — 인증 공급사 침해
MOVEit Transfer(2023.5) — 2,500+ 기업, 7,000만+ PII
3CX(2023.3) — SW 공급망
Snowflake(2024.5~) — Ticketmaster·AT&T·다중 고객 침해
CDK Global(2024.6) — 미국 자동차 딜러 15,000+ 마비
CrowdStrike Falcon Sensor(2024.7) — 850만 Windows BSOD·항공·은행·의료 마비

NCC Group 2024: 침해 사고 62%가 3rd party 경로, 평균 비용 자체 침해 1.6배. 한국 2023~2024 공급망 사고도 다수. 이제 자체 보안만으로 부족, 공급사·SaaS·외주·SW 라이브러리·하드웨어 모두 위험이다.

오해 1 — “공급사가 ISO 27001 받았으면 안전.” 인증은 시점 평가·범위 한정·실제 통제 작동 별도. 오해 2 — “한 번 평가하면 끝.” 위험은 지속 변화, 지속 모니터링 필수. 오해 3 — “대기업 공급사니까 안전.” Microsoft·Okta·CrowdStrike도 사고. 규모와 신뢰는 별개.

규제 의무:

EU DORA Article 28~30(2025.1 시행): ICT 3rd Party 의무·등록·계약·감독·집중도
EU NIS2 Article 21(2)(d): 공급망 보안 의무
EU CRA Article 13: 제조사 공급망 책임
US SEC 2023.12: 중대 3rd party 사이버 사건 4영업일 공시
HIPAA BAA(Business Associate Agreement) 의무
PCI DSS v4.0.1 12.8·12.9: Service Provider 관리
한국 ISMS-P 외주·수탁·위탁사 관리 의무
개인정보보호법 위탁자 의무 + 수탁자 관리

2. TPRM Lifecycle — 5 Stages

1. Plan & Engage   → 위험 분류·필요성·범위
2. Due Diligence   → 사전 평가·심사
3. Contract        → 보안 조항·SLA·감사권
4. Monitor         → 지속 점수·인시던트
5. Exit/Renewal    → 종료·데이터 회수·갱신

TPRM vs VRM:

TPRM: 모든 3rd party (공급사·외주·SaaS·자문·법무·MSP)
VRM: 일반적으로 같은 의미, 일부에서 공급사만 지칭
SCRM(Supply Chain Risk Mgmt): SW·HW 공급망 포함

3rd vs 4th Party:

3rd Party: 직접 계약 공급사
4th Party(Nth Party): 공급사의 공급사 — 가시화·통제 어려움
도구: Whistic Nth Party·Black Kite Nth Party Risk·BitSight Vendor Risk Network

Risk Tier 분류(보통 4 단계):

Tier	기준	평가 빈도
Critical	운영 중단·민감 데이터·법규 영향	연·반기 + 지속
High	중요 데이터·서비스 일부	연·격년
Medium	일반 운영	격년·3년
Low	사무·소비재	등록만·5년 갱신

3. 평가 도구·표준화 설문

표준화 설문:

SIG(Standardized Information Gathering) — Shared Assessments
- SIG Core: 1,500+ 질문
- SIG Lite: 350 질문
- 비용 절감·재사용
CAIQ(Consensus Assessments Initiative Questionnaire) — CSA
- 261 질문·클라우드 특화
- CCM v4 통제 매핑
HECVAT(Higher Education Community Vendor Assessment Toolkit)
VSAQ(Vendor Security Alliance Questionnaire) — Google 원형

증빙 문서 검토:

SOC 2 Type II 보고서: 6~12개월 통제 작동 증명(SOC 1·SOC 2·SOC 3)
ISO 27001 인증서 + Statement of Applicability
ISO 27701 PIMS
HITRUST CSF
PCI DSS AOC(Attestation of Compliance)
CSA STAR(Level 1·2·3)
CMMC
한국 ISMS-P 인증서
CSAP(공공 클라우드)

SOC 2 보고서 핵심 확인:

5 TSC(Trust Service Criteria): Security·Availability·Confidentiality·Processing Integrity·Privacy
Type I(시점) vs Type II(기간) — Type II 강력
CUEC(Complementary User Entity Controls) — 사용자 측 책임 통제
부적합(Exception) 갯수·해결
감사인 자격(빅4·인증 기관)
범위 — 우리가 사용하는 서비스 포함 여부

외부 보안 점수(지속 모니터링):

SecurityScorecard: A~F·10 카테고리
BitSight: 250~900
RiskRecon(Mastercard): 0~10
Black Kite: A~F·Ransomware Susceptibility·Financial Impact·Compliance
UpGuard: 0~950
Panorays: 동적
Cybernance·OutThink

4. Stage 1 — 공급사 인벤토리·분류 (1~3개월)

Vendor Inventory:

모든 공급사 카탈로그(평균 500~5,000개)
부서·계약·결제 시스템에서 자동 발견
도구: Vendict·Whistic·ProcessBolt·OneTrust TPRM·Prevalent·Sirenum·Diligent

Shadow Vendor:

IT·구매 미인지 SaaS·계약
SSO 로그·결제·이메일 도메인 분석
CASB·SSPM 통합

Critical Information:

어떤 데이터(PII·PCI·PHI·R&D·재무·인사)
어떤 시스템 접근
어떤 권한
비즈니스 영향
법적 의무(GDPR·HIPAA 등)

Risk Tier 결정 매트릭스:

Data Sensitivity × Access × Dependency × Volume = Tier
자동 분류 도구·수동 검증

4th Party 매핑:

주요 SaaS의 의존성(AWS·Cloudflare·Auth0·Stripe·Twilio·OpenAI 등)
전반적 집중도 위험(Concentration Risk)
도구: Black Kite Concentration Index·Whistic Nth Party

5. Stage 2 — Due Diligence·사전 평가 (지속 운영)

Tier별 평가 깊이:

Tier	평가 방법
Critical	SIG Core + SOC 2 + ISO 27001 + 외부 점수 + 현장 감사 + 펜테스트 보고서
High	SIG Lite + SOC 2 + ISO 27001 + 외부 점수
Medium	CAIQ + 인증서·외부 점수
Low	자가증명 + 외부 점수

평가 영역:

거버넌스·정책·조직
인적 보안(채용·교육·해고)
자산 관리·데이터 분류
접근통제·IAM·MFA
암호화
물리 보안
운영 보안(패치·백업·로깅)
통신 보안
개발 보안(SDLC·DevSecOps)
공급사 관리(4th party)
사고 대응
BCP/DRP
준법·법규

AI for TPRM(2024 트렌드):

Vendict·WhistleBlower(보안성 검토 AI): 설문 자동 응답·검토
보안 정책·정책 → 답변 자동
검토자 시간 70~90% 절감

Red Flag:

SOC 2 부적합 다수·미해결
외부 점수 D·F
인시던트 이력·미공개
4th Party 집중도(예: 모든 시스템 단일 CSP)
재정 위기·M&A 진행
지정학적 위험(중국·러시아 데이터)

Onboarding Decision:

Pass·Pass with Conditions·Reject
조건부 통과 시 — 완화 통제·재평가 일정·SLA

6. Stage 3 — 계약·SLA·보안 조항 (협상 시)

필수 보안 계약 조항(Cyber Security Schedule·Annex):

보안 기준 준수 의무(ISO 27001·SOC 2·해당 법규)
감사권(Audit Rights) — 사전 통지 후 현장·원격
인시던트 통보 SLA(24h·48h·72h)
자료 접근통제
암호화 의무
MFA 의무
SBOM 제공 의무
취약점 SLA(Critical 7일·High 30일)
인력 변경·핵심 인력 유지
4th Party 통제(중요 변경 사전 통지)
데이터 격리·삭제·반출
종료 시 자료 회수·증명
보험 가입 의무·증빙
배상 책임·면책(Indemnification·Limitation of Liability)
준거법·관할

SLA(Service Level Agreement):

가용성(99.9% 이상)
응답·해결 시간
복구 시간(RTO·RPO)
위반 시 페널티·크레딧

계약 종류:

MSA(Master Service Agreement)
DPA(Data Processing Agreement) — GDPR Art. 28 의무
BAA(Business Associate Agreement) — HIPAA
SCC(Standard Contractual Clauses) — EU 데이터 이전
NDA(Non-Disclosure Agreement)
SOW(Statement of Work) — 구체 작업
Vendor Security Schedule — 보안 부속

Exit Clause:

데이터 반출 형식·기한
데이터 삭제 증명(NIST SP 800-88 매체 파기)
인계 인수
종료 후 책임(보존 데이터·로그)

7. Stage 4 — 지속 모니터링·인시던트 (지속)

Continuous Monitoring:

외부 보안 점수 — 일·주 단위 자동
알람 트리거(점수 하락·신규 취약점·인시던트)
다크웹 모니터링(공급사 자격증명·데이터)
위협 인텔 — 공급사 ATP·랜섬 표적
공급사 도메인 감시(피싱·사칭)

자동 알람:

점수 1등급 하락
외부 자격증명 노출
신규 Critical CVE in 공급사 제품
인시던트 보도(자체 OSINT)

Vendor 인시던트 시:

사실 확인 — 영향 범위·우리 데이터·시기
격리 — 일시 차단·접근 제한
포렌식 협조 요청
법무·통보(의무 시점 — GDPR 72h·NIS2 24h)
이사회·임원 보고
사이버보험 통보
공급사 시정 요구·증빙
계약 재협상 또는 종료

MOVEit·CrowdStrike 형 사고 교훈:

영향 범위 즉시 파악 — Vendor가 명확히 통보하지 않음
우리 데이터 vs 공급사 시스템 분리
4th party 영향 가능성
단일 공급사 의존성(BCP 재검토)

Concentration Risk 관리:

EU DORA 명시적 요구
단일 공급사·CSP·SaaS·국가 의존도
Multi-vendor·Multi-region·Multi-cloud 전략
BCP 시나리오 — 공급사 중단 24h·1주

8. Stage 5 — 거버넌스·갱신·통합 (지속)

거버넌스 체계:

TPRM 위원회: CISO·CIO·구매·법무·재무·BCP
분기 운영 회의
연간 위험 평가·이사회 보고

거버넌스 통합:

TPRM × GRC(OneTrust·MetricStream·Archer·LogicGate·ServiceNow GRC)
TPRM × ESG(공급사 ESG·CSR·CSDDD)
TPRM × Procurement(SAP Ariba·Coupa·Oracle Procurement)
TPRM × Contract Lifecycle(Icertis·DocuSign CLM·Conga)

KPI:

인벤토리·분류 완료 비율
평가 통과·재평가 진행률
인시던트 발생 수
외부 점수 평균·추세
4th Party 가시화율
갱신 결정 시간

갱신·재평가:

Critical·High Tier 연 1회+
외부 점수 트리거 시 즉시
인시던트 후 즉시
계약 만료 90일 전 평가

고도화:

AI for TPRM: 자동 평가·요약·이상 탐지
Continuous Verification: 매월·실시간
Cyber Risk Quantification: 공급사별 정량 손실 추정
공급망 정량 시나리오: SolarWinds·MOVEit 형 사건 영향
Geopolitical Risk: 중국·러시아·이란 공급사 위험 평가
Software Supply Chain: SLSA·SBOM·VEX·서명 검증
HW Supply Chain: 반도체·서버 지정학 위험(SBOM for HW·HBOM)

EU DORA Article 28~30 특별 의무(금융·관련 산업):

ICT 3rd Party Register 의무
Concentration Risk 평가
Critical 3rd Party 직접 EU 감독
Exit Strategy 계약 의무
TLPT 3년 1회+
공급망 시뮬레이션 정기

미국 SEC 8-K(상장사 2023.12~):

중대 3rd Party 사이버 사건 4영업일 공시
“Material” 정의 — 투자자 의사결정 영향

한국:

ISMS-P 외주·수탁자 관리(2.3)
개인정보보호법 위탁 시 — 위탁계약·관리·감독 의무
공정거래법 갑을 관계 — 부당한 요구 X
하도급법 — 적정 단가·기간

9. 비용·ROI

항목	비용 (연간)
TPRM 플랫폼(OneTrust·Prevalent·Whistic)	1~10억
외부 점수(SecurityScorecard·BitSight 등)	1~10억
다크웹 모니터링	1~5억
AI 평가 도구(Vendict·기타)	3천~3억
외부 평가 컨설팅	5천~3억
인력(TPRM 1~5명)	2~25억
GRC 통합(ServiceNow·Archer·LogicGate)	1~30억
합계 (중견 제조사 공급사 500~5,000)	6~85억

ROI:

MOVEit 평균 피해 기업 손실 $10M+
SolarWinds 피해 평균 $11M
공급망 침해 평균 비용 자체 침해 1.6배(NCC 2024)
EU DORA 미준수 — 매출 2% 과징금
사이버보험 — TPRM 운영 시 15~25% 할인
컴플라이언스(ISMS-P·DORA·NIS2·HIPAA·PCI) 동시 충족
공급사 협상력 — 보안 수준 따라 가격·조건

10. 자가 점검

인벤토리·분류:

모든 공급사 카탈로그
Shadow Vendor 자동 발견
4 Tier 분류(Critical·High·Medium·Low)
데이터·접근·의존성 매핑
4th Party 가시화

Due Diligence:

SIG·CAIQ 표준 설문
SOC 2 Type II·ISO 27001 검토
외부 점수(SecurityScorecard·BitSight)
Tier별 평가 깊이 차등
AI 평가 도구 검토(Vendict)

계약·SLA:

보안 부속·MSA·DPA·BAA·NDA
인시던트 통보 SLA(24h)
감사권·자료 반환·삭제 증명
보험·배상·면책
Exit Clause 명시

지속 모니터링:

외부 점수 일·주 자동
알람 트리거·자동화
다크웹 모니터링
위협 인텔 통합

인시던트 대응:

Vendor 인시던트 Playbook
영향 범위 빠른 파악 절차
법무·통보·이사회 보고
BCP — 단일 공급사 의존 차단

거버넌스·고도화:

11. 마무리 — 우리 보안은 가장 약한 공급사

TPRM은 ① 인벤토리·분류, ② Due Diligence, ③ 계약·SLA, ④ 지속 모니터링, ⑤ 거버넌스·갱신·고도화 — 5단계로 정착시킨다. 단발 종이 설문에서 지속 외부 점수 + AI 평가 + 4th party 가시화 + DORA·SEC·HIPAA 매핑까지가 2025년의 TPRM이다. SolarWinds·MOVEit·CrowdStrike Falcon 사고는 가르친다 — 공급사가 무너지면 우리도 무너진다, 그래서 공급사 관리가 곧 우리 보안이다.