벤더 보안 실사가 "증명"을 요구하기 시작했다
기업 구매자들은 "감사로그 있습니까"라고 묻곤 했다. 이제는 "그 로그를 누가 고칠 수 있습니까"라고 묻는다. 조달에서 무엇이 바뀌었고, 계약 전에 무엇을 준비할 것인가.
기업에 소프트웨어를 판다면, 계약서보다 먼저 도착하는 문서가 있다. 벤더 보안 질문지다. 오랫동안 그것은 양쪽 모두 약간의 민망함 속에 치르는 의식이었다 — 예/아니오 질문이 늘어선 스프레드시트에 낙관적으로 답하고, 읽히지 않은 채 보관되는.
스프레드시트는 지금도 있다. 그 안의 질문들이 조용히 바뀌어 왔고, 그 변화는 B2B 소프트웨어가 가는 방향에 대해 무언가를 말해준다.
“있습니까”에서 “누가 만질 수 있습니까”로
옛 세대의 질문은 존재를 확인했다. 저장 시 암호화를 합니까, SSO를 지원합니까, 감사로그를 남깁니까. 타당한 질문들이고, 이제는 기본 전제다 — 거의 모든 벤더가 전부에 “예”라고 답한다. 바로 그래서 그 답은 누구의 차별점도 아니게 됐다.
새 세대의 질문은 무결성과 권한을 확인한다. 당신들의 감사로그를 누가 수정하거나 삭제할 수 있고, 그런 일이 생기면 알 수 있습니까? 당신들 관리자가 우리 데이터에 하는 작업은 어떻게 기록되고, 누가 승인합니까? “기록이 변조되지 않았다”고 말할 때, 그 주장은 당신들 말 말고 무엇에 기대고 있습니까? 특정 사건의 증거를, 우리 감사인이 제3자의 것으로 수용할 형식으로 내줄 수 있습니까?
더 어려운 질문들이고, 일부러 어렵게 만든 것이다. 구매자들은 — 자기 것이든 벤더 것이든 — 충분히 많은 사고를 겪었다. 사후 분석이 벤더 로그의 불완전함, 수정 가능성, 혹은 소실에서 멈춰버린 경험이다. 공급사의 침해는 고객의 공시 문제가 된다. 그래서 고객 보안팀은 포렌식이 어떤 모습일지 미리 묻는 법을 배웠다. 질문지는 그 교훈이 착륙하는 자리다.
체크박스의 시대는 스스로 값이 떨어졌다
두 번째 힘도 작동하고 있다. 컴플라이언스 배지가 정보를 실어 나르지 못하게 된 것이다. SOC 2 보고서가 자동화 플랫폼으로 몇 주 만에 조립되는 물건이 되자, 그것을 가진다는 건 신호에서 전제조건으로 바뀌었다. 웹사이트의 로고는 문을 열어주지만, 더는 방을 이기지 못한다.
방을 이기는 것은 시연으로 옮겨갔다. “감사로그가 있습니다”가 아니라, 이것이 관리자 작업의 증적이고, 이것이 거기 붙은 승인이고, 이것이 일부러 기록을 변조했을 때 검증이 실패하는 장면입니다. 어느 벤더든 입으로 할 수 있는 주장과, 준비된 벤더만 보여줄 수 있는 산출물의 차이다.
왜 이것이 작은 벤더에게 좋은 소식인가
보안 기준이 올라가면 컴플라이언스 부서를 가진 기존 대형사가 유리해진다 — 그렇게 읽고 싶어진다. 시연의 층위에서는 반대가 참인 경우가 많다.
큰 벤더는 큰 조직이 무엇에든 답하는 방식으로 어려운 질문에 답한다. 3주, 네 개 팀, 법무가 승인한 신중하게 유보를 단 한 문단. 증거 계층을 갖춰 만든 제품을 가진 작은 벤더는 회의 중에, 화면 위에서, 몇 분 만에 답할 수 있다. 조달팀은 그 차이를 알아본다 — 작은 벤더의 문단이 더 잘 쓰여서가 아니다. 증명의 속도와 구체성 자체가 신호이기 때문이다. 엔지니어링의 엄밀함이 영업 속도로 직접 환전되는, 몇 안 남은 자리다. 이 정렬은 활용할 가치가 있다.
준비해둘 것
어려워진 질문지가 아직 안 왔다면, 곧 온다. 준비는 계약이 테이블에 오르기 전에 시작할수록 복리가 붙는다.
- 누가 무엇을 수정할 수 있는가에 대한 한 장짜리 답. 자사 관리자와 자사 데이터베이스 접근까지 포함한 정직한 버전으로. 후속 통화는 정직하지 않은 버전을 찾아내기 때문이다.
- 특권 작업의 승인 증적. 승인이 필요하다고 적힌 정책이 아니라, 실제 승인이 어디에 기록되고 얼마나 오래 살아남는지.
- 시연 가능한 변조 스토리. 기록이 우회 경로로 고쳐지면 구체적으로 무슨 일이 일어나는가. 답이 “아무것도 알아채지 못한다”라면, 그게 잠재 고객이 대신 발견해주기 전에 메워야 할 구멍이다.
- 증거 내보내기. 사고 당일 고객의 감사인이 수용할 산출물. 그것을 영업 통화에서 태연하게 꺼내 보이는 것이 곧 피치의 전부다.
보안 실사는 지루하다. 동시에 그것은 당신 제품의 무결성이 실제로 설득해야 하는 사람들이 쓴 유일한 영업 문서다. 조용히 사양서 노릇을 하고 있는 것으로 대하라.
Axowl은 벤더에게 “시연 가능한 답”을 줍니다 — 봉인된 신원·승인·감사 이벤트와, 고객이 직접 돌려볼 수 있는 검증. 어떻게 동작하는지 보기.