고객사의 소프트웨어는 실제로
무엇을 불러오는가?
디지털 공급망 매핑은 애플리케이션이 진짜로 의존하는 제공업체를 벤더 목록에서 가져오는 대신 그 자신의 트래픽에서 관측하여 해석하고, 이어서 그 제공업체를 그 배후의 기업, 소유자, 관할권으로 해석합니다. 이는 소유권 사슬 매핑이 지배력에 대해 묻는 것과 같은 질문의 의존 축이며, 기업 구조가 아니라 시스템을 대상으로 수행합니다.
이것은 방법론을 다룬 글입니다. 세 개의 동반 페이지가 맥락을 담고 있습니다. 사슬이 무엇으로 이루어져 있는지는 여러 계층에, 그 한 조각에 대한 지배력이 어떻게 이동하는지는 지배력이 넘어갈 때에, 그리고 기존 표준과 도구가 어디까지 이르는지는 기존 도구는 소유에 이르기 전에 멈춥니다에 있습니다.
확산
벤더 목록을 넘어
과제
벤더 목록은 공급망이 아닙니다
어느 조직이든 자사의 기술 벤더 목록을 내놓을 수 있습니다. 그 목록 가운데 자사 애플리케이션이 실제로 하는 일과 일치하는 것은 거의 없습니다. 그 격차는 좀처럼 속임수가 아닙니다. 목록은 판단을 기록하고 애플리케이션은 동작을 기록하며, 이 둘은 계약에 서명한 날부터 서로 벌어지기 시작하기 때문입니다.
조달 이후에 추가된 코드
조달 시점에 승인된 벤더 기반이 있고, 그 뒤에 태그 관리자, 동의 관리 도구, 마케팅 플랫폼이 거기에 무언가를 더합니다. 코드는 계약도, 검토도, 그래야 한다고 판단한 사람도 없이 운영 환경에 도달합니다.
공개되지 않은 재수탁자
이름이 오른 벤더가 공시에 이름이 오르지 않은 당사자를 통해 그 작업을 수행합니다. 계약은 확인할 수 있는 상대를 가리키고, 데이터는 볼 수 없는 상대에게 도달합니다.
인프라의 간접 경유
DNS, 콘텐츠 배포, 호스팅, 클라우드 테넌시는 한 번도 누구의 벤더였던 적 없는 당사자를 데이터 경로에 놓습니다. 누구도 그들을 조달하지 않았으므로 누구도 그들을 검토하지 않았습니다.
물려받은 의존 관계
빌드 시점에 가져온 패키지는 자신의 의존 관계를 지니고 있고, 그 의존 관계도 마찬가지입니다. 4계층은 1계층과 함께 도착하고, 어떤 판단도 없이 도착하며, 누구에게도 그것의 이름을 들 의무가 없습니다.
방법론
목록에서 시작하면 결국 그 목록을 검증할 수 있을 뿐입니다
그래서 이 작업은 시스템이 하는 일에서 시작하며, 벤더 목록은 조사의 경계가 아니라 검증 대상 가운데 하나가 됩니다. 그런 다음 증거가 드러내는 모든 제공업체에 대해 같은 여섯 가지 동작이 수행됩니다.
01
캡처
실제 세션에서 애플리케이션이 실제로 하는 일을 기록합니다. 모든 요청과 리다이렉트, 모든 스크립트와 스타일과 미디어와 데이터 로드, 모든 쿠키와 저장 기록, 그리고 밖으로 보낸 모든 페이로드입니다. 증거는 캡처하는 것이며 매니페스트에서 추정하는 것이 아닙니다.
02
해석
관측된 호스트를 도메인으로, 주소를 네트워크와 클라우드 테넌시로, 연결을 그것을 보호하는 인증서로 해석합니다. 분석의 단위는 더 이상 URL이 아니라 그 배후의 운영자가 되며, 공유되거나 앞에 내세운 인프라가 끌어들이는 모호함은 해석해 없애지 않고 기록합니다.
03
귀속
각 운영자를 회사로, 그 회사를 그 소유자와 지배력을 행사하는 당사자, 그리고 그 회사가 다루는 데이터를 자신의 법으로 규율하는 관할권으로 해석합니다. 여기에서 디지털 사슬이 소유 사슬에 넘겨집니다.
04
대조
관측된 사슬을 선언된 사슬과 맞대어 놓습니다. 재수탁자 목록, 데이터 처리 계약, 감사 보고서, 소프트웨어 부품표, 조달 기록입니다. 어느 방향으로든 어긋나면 그것이 발견 사항입니다.
05
재귀
드러난 모든 제공업체는 그 자체가 자신의 사슬을 지닌 애플리케이션입니다. 서드파티는 그 아래 계층에게는 퍼스트파티이고, 사슬은 3차가 아니라 n차 당사자까지 이어지며, 노출은 고객사에게까지 줄곧 물려받아집니다.
06
시간에 따른 변화
캡처는 타임스탬프이며 상태가 아닙니다. 한 번의 릴리스, 한 번의 태그 변경, 한 번의 인수가 예고 없이 사슬을 다시 씁니다. 그래서 캡처를 반복하여 비교하고, 무엇이 바뀌었는지를 무엇이 있는지와 똑같이 꼼꼼하게 읽습니다.
관측의 축
서류와 캡처가 어긋날 때 실제로 일어난 일은 캡처입니다
설문은 벤더가 믿는 것, 또는 의도하는 것, 또는 글로 적어 줄 마음이 있는 것을 돌려줍니다. 캡처는 그들의 코드가 한 일을 돌려줍니다. 그 둘이 어긋날 때 그 어긋남이 그 업무에서 가장 값어치 있는 것이며, 그것은 대개 거짓말이 아닙니다. 급하게 추가된 태그, 상류에서 갱신된 라이브러리, 지난 검토 이후에 바뀐 재수탁자입니다.
그래서 이 방법론은 묻는 것에서 시작하지 않습니다. 관측이 일차 증거이고 선언은 검증 대상인 주장입니다. 반대로 수행하면 그 작업은 서류에 등급을 매길 수 있을 뿐입니다.
관측이 내놓는 것은 구체적입니다. 어느 제공업체가 어떤 순서로, 누구의 인증서 아래에서, 어느 네트워크로부터 접촉되는지. 그 각각에 무엇이 보내지고 그것이 식별자를 담고 있는지. 페이지 안에서 무엇이 실행되고 그것이 무엇에 도달할 수 있는지. 그리고 그 가운데 어느 것이라도 제약할 통제 가운데 실제로 적용된 것이 어느 것인지입니다.
하나의 소스 도메인을 단 한 번의 세션에서 관측된 100개가 넘는 서드파티 도메인과 호스트로 해석한 것입니다. 이 방법론이 돌아가는 플랫폼인 SCVue 살펴보기.
귀속의 축
도메인은 당사자가 아닙니다
애플리케이션이 100개의 호스트를 불러온다는 것을 아는 일은 목록이며 인텔리전스가 아닙니다. 발견 사항은 각 호스트가 운영자로, 각 운영자가 회사로, 각 회사가 그 배후의 사람과 관할권으로 해석될 때 도착합니다. 그때까지 손에 있는 것은 이름의 목록이며, 이름의 목록은 어떤 판단도 뒷받침하지 못합니다.
귀속은 또한 집중도를 측정할 수 있게 되는 곳입니다. 같은 세 소유자로 해석되는 스무 곳의 서로 다른 벤더는 다각화된 공급 기반이 아닙니다. 그것은 스무 개의 이름표를 달고 있는 하나의 의존 관계입니다. 중요한 척도는 대체 가능성에 비추어 본 집중도이며, 그 어느 쪽도 도메인 계층에서는 보이지 않습니다.
그곳은 또한 두 방법론이 만나는 지점입니다. 운영자의 배후에 회사가 놓이면 질문은 더 이상 기술적인 것이 아니라 소유에 관한 것이 됩니다. 계층으로 된 보유 구조, 자금조달의 계보, 지분이 아니라 계약 조건을 통해 행사되는 영향력입니다. 그것이 소유권 사슬 매핑이며, 이 방법론이 드러내는 당사자를 대상으로 수행합니다.
귀속은 각 제공업체 배후의 기업 구조를 거쳐 위쪽으로 이어집니다. 소유권 사슬 매핑 읽기.
스무 건의 계약, 네 곳의 지배 당사자, 두 개의 관할권입니다. 집중도는 계약 계층에서는 보이지 않습니다. 계약 계층이 그것을 기록하지 않기 때문입니다.
해석
어느 하나의 출처도 호스트를 회사로 해석하지 못합니다
이것이 나머지 가운데 무엇이라도 가질 가치가 있는지를 결정하는 단계이며, 가장 실패하기 쉬운 단계입니다. 등록 기록은 예전 같지 않습니다. 2024년에는 일반 최상위 도메인의 약 89%가 공개 데이터에 식별 가능한 등록자를 담고 있지 않았으며, 프라이버시 규칙이 바뀌기 전에는 그 비율이 약 24%였습니다. 그래서 대신 네 가지 출처를 함께 사용합니다.
인증서
연결을 보호하는 인증서는 발급자, 주체, 그리고 그것이 담당하는 다른 모든 이름을 지니고 있습니다. 그 대체 이름은 눈에 보이는 다른 어떤 것도 공유하지 않는 호스트들을 으레 연결시키며, 투명성 로그는 어느 도메인의 발급 이력을 물어봐야 하는 것이 아니라 공개 기록으로 만듭니다.
네트워크와 테넌시
주소는 할당에 속하고, 할당은 자율 시스템에 속하며, 자율 시스템은 조직에 속합니다. 그 네트워크가 공유 클라우드나 배포 설비로 드러나는 경우, 정직한 답은 고객이 아니라 제공업체이며, 정확히 그렇게 기록합니다.
이름과 호스팅 이력
해석 이력, 위임 기록, 메일과 인프라 설정, 그리고 한 묶음의 호스트가 시간에 걸쳐 함께 움직이는 방식입니다. 제공업체는 끊임없이 인프라를 바꾸며, 한 묶음의 이름이 어떻게 바뀌는지의 패턴이 그 안의 어느 하나의 기록보다 더 잘 식별해 주는 경우가 잦습니다.
기업 기록
기술적 증거가 내놓은 것이 무엇이든 그것을 등기, 공시, 자금조달 기록, 제재와 집행 데이터로 가져갑니다. 여기에서 이름이 소유자와 규율 관할권을 가진 회사가 되며, 이 작업이 소유권 사슬 매핑과 같은 실무 기법이 됩니다.
어떤 호스트는 그 앞에 놓인 인프라까지만 해석됩니다
콘텐츠 배포 네트워크, 리버스 프록시, 멀티테넌트 호스팅이 있다는 것은 관측된 주소가 전혀 다른 누군가에게 속한 오리진을 앞에서 대신할 수 있다는 뜻이며, 어떤 기법을 써도 모든 경우에 그것을 해석해 내지는 못합니다. 그래서 각 귀속은 그것을 뒷받침하는 증거와 그 증거를 반영한 확신도와 함께 기록하며, 명시적인 미확정 상태를 둡니다. 앞에 놓인 인프라까지만 해석할 수 있었던 제공업체는 정확히 그렇게 이름과 함께 보고하고, 직접 물어볼 가치가 있는 질문으로 열어 둡니다. 배포 네트워크를 조용히 공급업체로 올리거나 공유 주소를 회사로 올리는 평가는, 사슬의 단서가 식었고 어디에서 식었는지 밝히는 평가보다 훨씬 나쁩니다.
2025년 3월부터 결제 페이지가 무엇을 불러오는지 파악하는 것은 의무가 되었습니다
한 분야에서는 그 의무가 이미 구체적입니다. 2025년 3월부터 PCI DSS 요건 6.4.3과 11.6.1은 결제 페이지를 운영하는 자에게 그곳에서 실행되는 모든 스크립트의 목록을 보유하고, 각각에 대해 서면으로 정당화 근거를 기록하고, 승인하고, 승인되지 않은 변경을 탐지할 것을 요구해 왔습니다. 이는 실제로 무엇이 불러와지는지를 파악하라는, 집행이 따르는 요구입니다. 그것은 스크립트에서 멈추며, 그 스크립트가 말을 거는 곳을 누가 운영하는지에 대해서는 아무 말도 하지 않습니다. 그곳이 이 방법론이 이어받는 지점입니다. 더 넓은 의무도 그와 나란히 도착하고 있습니다. 행정명령 14117호는 28 CFR 제202부로 시행되어 대량의 민감 데이터에 대한 간접적인 외국의 접근 배후에 있는 당사자를 식별할 것을 요구합니다. GDPR 제28조는 재수탁자를 기용하는 일을 구현상의 세부가 아니라 문서화되고 승인된 행위로 규정합니다. DORA는 그 기대를 금융 기관과 그 ICT 제공업체 아래에 놓인 하도급 연쇄까지 넓혔으며, 최초의 중요 ICT 서드파티 제공업체가 2025년 후반에 공식 지정되어 집중도 자체가 감독 아래에 놓였습니다. 그리고 NIS2는 스스로를 기술 기업이라고 여겨 본 적 없는 조직에게도 공급망 보안을 적용 범위에 넣었습니다. 이들 하나하나는 조직이 자사 애플리케이션이 무엇에 의존하는지 말할 수 있다는 것을 전제로 합니다. 의무화된 공시에 나타나야 할 재수탁자가 나타나지 않는다는 것 자체가 발견 사항이 됩니다.
원칙
세 가지 규칙이 무엇을 발견 사항으로 볼지 결정합니다
어느 정도 규모가 있는 조직은 모두 이미 서드파티 검토를 운영하고 있으며, 그 대부분은 성실한 작업입니다. 이 세 가지 규칙이 여기에서 증거를 규율하는 것입니다.
증명보다 증거
모든 발견 사항은 캡처된 산출물까지 되짚어 갑니다. 요청, 응답, 인증서, 페이로드입니다. 그 가운데 어느 것이든 결론에 동의하지 않는 사람이 다시 살펴볼 수 있습니다. 증명은 다시 살펴볼 수 없습니다. 믿거나 믿지 않을 수 있을 뿐입니다.
부재는 증거입니다
캡처에 있어야 하는데 없는 제공업체는 있는 제공업체와 똑같이 많은 것을 알려줍니다. 선언되었으나 한 번도 접촉되지 않은 재수탁자, 리스크가 가장 높은 바로 그곳에 빠져 있는 무결성 통제, 애플리케이션이 분명히 바뀌었는데도 그대로인 공시 목록입니다. 그 하나하나가 물어볼 가치가 있는 질문입니다.
범위는 계약이 아니라 노출을 따릅니다
통상적인 검토는 계약이 있는 당사자를 다룹니다. 설문을 보낼 수 있는 상대가 그들이기 때문입니다. 노출은 그 경계를 존중하지 않으며, 가장 큰 리스크를 지고 있는 계층은 대개 고객사와 아무 관계도 없는 계층입니다.
산출물
산출물은 증거가 붙어 있는 지도입니다
산출물은 매핑된 디지털 공급망입니다. 애플리케이션이 실제로 접촉하는 제공업체를 운영자, 기업, 소유자, 규율 관할권으로 해석하고, 관측된 사슬을 선언된 사슬과 맞대어 놓으며, 모든 어긋남을 양쪽 방향으로 열거한 것입니다. 중요한 노드에 대해서는 집중도와 대체 가능성을 평가하며, 증거는 각 발견 사항의 뒤가 아니라 그것에 붙어 있습니다.
그것은 시점이 기록되어 있고 재현할 수 있습니다. 모든 발견 사항은 그것이 비롯된 캡처의 이름을 들므로, 같은 세션을 다시 살펴볼 수 있고 이후의 캡처를 그것과 비교하여 무엇이 움직였는지 보일 수 있습니다. 어떤 제공업체를 특정 계층을 넘어 귀속시킬 수 없었던 경우에는 그것을 분명하게 밝히고 해석되지 않은 노드의 이름을 들어, 후속 질문에 향할 곳이 생기게 합니다.
이것이 낳는 것은 지표이며 증명이 아닙니다. 불리한 관할권에 있는 제공업체는 무게를 달아야 할 노출이며 근거로 행동할 판결이 아닙니다. 그렇게 출처와 확신도를 붙여 제시하므로, 그저 믿는 것이 아니라 그것을 두고 다툴 수 있습니다.
범위는 발견 사항과 나란히 밝힙니다. 관측된 것은 그 세션에서 지나간 경로에서 실행된 것입니다. 백엔드에서만 도달되는 제공업체는 클라이언트 세션에 흔적을 남기지 않으므로, 대신 공시나 직접적인 질문을 통해 추적합니다. 통상적인 국경 간 운영은 실제로 판단을 요하는 노출과 구분합니다. 거의 모든 애플리케이션이 여러 관할권과 접하며, 그것을 발견 사항으로 다루면 잡음이 나오기 때문입니다. 관측된 사슬이 선언된 사슬과 일치하고 귀속되지 않은 운영자가 없는 애플리케이션은 실질적인 결과이며, 그렇게 보고합니다.
적용
실무 기법은 업무마다 바뀌지 않습니다
바뀌는 것은 애플리케이션과 그것에 얹힌 판단뿐입니다. 같은 작업이 가장 자주 의뢰되는 곳은 다음과 같습니다.
벤더와 플랫폼 검토
서명하기 전에, 그리고 그 뒤에 다시입니다. 플랫폼이 실제로 무엇을 불러오는지, 그 제공업체가 누구로 해석되는지, 그리고 그 가운데 계약이 한 번도 언급하지 않은 것이 어느 것인지입니다.
공시와 규제 대응 업무
재수탁자 등록부, 데이터 처리 계약, 이전 평가를 등록부의 최신 판이 아니라 관측된 동작과 대조하여 확인합니다.
데이터 흐름 평가
식별자, 페이로드, 텔레메트리가 실제로 어디로 가는지, 거기에 이르기까지 어느 관할권을 지나는지, 그리고 도착한 뒤에는 누구의 법이 그것을 규율하는지입니다.
거래
접근 권한을 부여하기 전에 인수 대상의 기술 설비를 바깥에서 읽습니다. 그 회사의 엔지니어링 팀조차 한 번도 목록으로 만든 적 없는 의존 관계도 포함합니다.
콘텐츠와 플랫폼의 무결성
발행사, 캠페인, 또는 공개를 전제로 한 서비스가 독자 앞에 내놓는 것에 영향을 미칠 수 있는 위치에 어느 당사자가 있는지, 그리고 운영자가 그 하나하나를 알고서도 받아들였을지를 확정합니다.
지속적 모니터링
가장 중요한 애플리케이션을 대상으로 캡처를 되풀이하며, 그 사이의 변화가 곧 알림입니다. 새로운 제공업체, 바뀐 소유자, 사라진 통제입니다.
의존 관계는 그 배후에 누가 있는지 알기 전까지는 아무 의미가 없습니다
하나의 공급업체는 그것이 통상적인 상업 주체라면 조달의 문제이고, 고객사의 실패에 이해관계를 가진 당사자에게 지배되고 있다면 사업에 중대한 리스크입니다. 그 두 경우 사이에서 의존 관계 자체는 아무것도 바뀌지 않습니다. 바뀌는 것은 그 의미뿐이며, 그 의미는 배후에 있는 것이 누구인지의 함수입니다. 이 방법론은 시스템이 의존하는 제공업체를 거쳐 의존을 아래쪽으로 해석합니다. 소유권 사슬 매핑은 그들을 소유하는 구조를 거쳐 지배력을 위쪽으로 해석합니다.
브리핑
요청하기
진행 중인 실제 사례에서 가져온 활용 사례를 통해, 공급망 무결성이 지금 경영진의 주의와 조율된 대응을 필요로 하는 이유를 설명합니다.
글로벌 공급망 무결성의 동향과 nDiligence 소식을 받아보시려면 구독하십시오.
Copyright © 2026 nDiligence, Inc. All Rights Reserved.