해양 사이버 리스크에 대한 구매 관점
조용현 박사 | CYTUR 대표이사
본 기고문은 IMPA 공식 간행물인 「Supply Chain and Sustainability Magazine」에 게재되었으며, IMPA의 허가를 받아 CYTUR 홈페이지에 한국어로 번역·게시합니다.
IMPA 공식 간행물 「Supply Chain and Sustainability Magazine」에 게재된 CYTUR 기고문
기고문 전문
사이버 컴플라이언스는 더 이상 IT만의 문제가 아닙니다.
사이버 컴플라이언스는 더 이상 IT만의 문제가 아닙니다. 이제는 일상적인 해양 구매, 공급업체 관리, 운영 리스크 관리의 일부가 되고 있습니다. 진짜 과제는 새로운 요구사항을 충족하는 것 자체가 아니라, 비용과 서류 작업, 업무 부담을 늘리지 않으면서 이를 이행하는 것입니다. 해양 산업의 다음 과제는 사이버 컴플라이언스를 실용적이고 반복 가능하며 관리 가능한 프로세스로 만드는 것입니다.
해운·해양 분야의 구매팀은 늘 압박 속에서 일합니다. 비용을 관리하고, 신뢰할 수 있는 공급업체를 확보하며, 납기 지연을 방지하고, 선박 운영을 지원하는 동시에 관련 문서도 체계적으로 관리해야 합니다. 이제 여기에 한 가지 과제가 더해졌습니다. 바로 사이버보안 규정 준수입니다.
많은 조직이 사이버보안의 중요성을 의심하는 것은 아닙니다. 실제 고민은 또 하나의 높은 비용과 서류 작업, 수작업 부담을 추가하지 않으면서 이를 어떻게 관리할 것인가에 있습니다.
규정 준수가 일상적인 구매 업무의 일부가 되면 무엇이 달라질까요?
사이버 리스크 관리는 더 이상 해운산업의 미래 과제가 아닙니다. IMO 지침, IACS UR E26 및 E27, 선급의 요구사항, 보험 관련 요구, 고객 요구사항 등이 산업을 같은 방향으로 움직이고 있습니다.
컴플라이언스는 점차 일반적인 해사업무의 일부가 되고 있습니다. 그러나 선주, 선박관리사, 구매팀에게 중요한 실무적 질문은 분명합니다. 운영 효율성을 유지하면서 이러한 요구사항을 어떻게 충족할 것인가?
이 질문이 중요한 이유는 오늘날 선박이 고도로 연결된 업무 환경이기 때문입니다. 항해 시스템, 위성통신, 엔진 모니터링, 유지보수 플랫폼, 화물 시스템, 원격접속 도구, 공급업체 포털 등 다양한 시스템이 디지털 연결을 형성합니다.
이러한 연결은 효율성을 높이는 동시에 새로운 취약 지점도 만듭니다. CYTUR의 「2026 Maritime Cyber Threat White Paper」에 따르면 기록된 해양 사이버 사고는 2024년 408건에서 2025년 828건으로 증가해 103%의 증가율을 보였습니다.
구매팀의 관점에서 이는 더 이상 IT만의 문제가 아닙니다. 공급업체 리스크이자 계약 리스크이며, 운영 리스크이자 규정 준수 리스크입니다.
사이버 컴플라이언스 자체가 비용 문제가 될 수 있을까요?
대부분의 기업에는 무제한의 사이버보안 전문가, 예산 또는 시간이 주어지지 않습니다. 많은 해양 조직은 이미 비용 압박, 선원 업무 부담, 기술 운영, 규제 보고 업무를 동시에 관리하고 있습니다.
사이버 컴플라이언스가 또 하나의 수작업 체크리스트로 운영된다면 공급업체 설문 중복, 반복적인 문서 요청, 불분명한 책임 소재, 느린 공급업체 온보딩으로 이어질 수 있습니다. 즉, 잘못 설계된 사이버 컴플라이언스 프로세스 자체가 새로운 비용 문제가 될 수 있습니다.
더 나은 접근법은 하나의 단순한 원칙에서 시작합니다. 사이버 컴플라이언스는 불필요한 업무를 만들지 않으면서 리스크를 줄여야 합니다.
구매 담당자가 기술적인 사이버보안 전문가가 될 필요는 없습니다. 하지만 어떤 공급업체, 시스템 또는 계약을 보다 면밀하게 검토해야 하는지 판단할 수 있는 실용적인 방법은 필요합니다.
모든 구매가 동일한 수준의 리스크를 수반하는 것은 아닙니다. 연결된 항해 시스템, 원격 모니터링 플랫폼 또는 위성 서비스는 저위험 소모품보다 더 심층적인 검토가 필요합니다.
계약 체결 전에 적절한 질문을 하고 있습니까?
구매팀은 다음의 세 가지 실무적인 질문을 활용할 수 있습니다.
1. 어떤 공급업체 또는 제품이 가장 높은 사이버 리스크를 발생시키는가?
2. 공급업체의 사이버보안 증빙을 한 번 수집한 뒤 반복적으로 요청하지 않고 재사용할 수 있는가?
3. 구매 이후 사이버 리스크의 책임은 누구에게 있으며, 현재 프로세스가 실제로 업무 부담을 줄이고 있는가, 아니면 단순히 또 하나의 체크리스트를 추가하고 있는가?
이러한 질문은 광범위한 사이버 컴플라이언스 이슈를 관리 가능한 구매 프로세스로 전환하는 데 도움이 됩니다.
또한 기업이 중요한 영역에 자원을 집중할 수 있도록 합니다. 고위험 시스템에는 보다 심층적인 검토를 적용하고, 저위험 구매는 더 빠르게 진행할 수 있습니다.
이러한 리스크 기반 접근법은 규정 준수와 효율성을 동시에 지원합니다. 모든 공급업체를 동일하게 취급하지 않아도 되므로 이미 업무 부담이 높은 조직의 불필요한 작업을 줄일 수 있습니다.
감사인이 증빙을 요구할 때 필요한 자료는 어디에 있습니까?
공급업체 관련 증빙은 특히 중요합니다. 규제 및 선급 요구사항은 기업이 무엇을 확인했는지, 리스크를 어떻게 관리하고 있는지, 그리고 그 책임자가 누구인지 보여줄 것을 점점 더 요구하고 있습니다.
실제 현장에서는 이러한 증빙이 이메일, 스프레드시트, PDF 인증서, 내부 폴더 등에 분산되어 있는 경우가 많습니다.
이는 구매, 기술, IT 및 컴플라이언스팀의 추가 업무를 발생시키며, 감사를 필요 이상으로 복잡하고 부담스럽게 만듭니다.
보다 체계적인 프로세스는 이러한 부담을 줄일 수 있습니다. 공급업체의 사이버보안 정보를 일관된 방식으로 수집하고 최신 상태로 유지하면서 관련 선박, 시스템 또는 계약과 연결한다면 필요한 문서를 찾는 데 드는 시간을 줄일 수 있습니다.
리스크 상태를 한눈에 확인할 수 있으면 관리자는 더 빠르게 의사결정을 내릴 수 있습니다. 책임 소재가 명확히 기록되어 있다면 감사, 사고 대응, 계약 갱신 또는 공급업체 검토 과정에서 발생하는 혼선을 줄일 수 있습니다.
AI 기반 도구는 이러한 과정을 더욱 빠르게 만들 수 있습니다. 공급업체 문서를 자동으로 검토하고, 만료된 인증서를 식별하며, 별도의 수작업 없이 리스크 상태를 요약하는 방식입니다.
관리되지 않는 사이버 리스크의 실제 비용은 무엇일까요?
사이버보안은 종종 추가 비용으로만 인식됩니다. 그러나 관리되지 않는 리스크는 선박 운항 중단, 운영 지연, 중복된 공급업체 검토, 막판의 규정 준수 작업과 같은 숨겨진 비용을 발생시킵니다.
목표는 '린 컴플라이언스(lean compliance)'여야 합니다. 즉, 안전성과 복원력을 향상시키면서도 최소한의 수작업으로 요구사항을 충족하는 것입니다.
해양 구매에서 린 컴플라이언스란 명확한 공급업체 기준, 리스크 기반 우선순위 설정, 재사용 가능한 증빙, 감사에 즉시 대응할 수 있는 기록을 의미합니다. 결국 필요한 정보를 필요한 시점에 이용할 수 있도록 만드는 것입니다.
해양 구매는 신뢰할 수 있는 제품과 공급업체를 선택함으로써 오랫동안 선박을 보호하는 역할을 해왔습니다. 연결된 선박의 시대에는 이러한 책임에 디지털 신뢰성도 포함됩니다.
가장 경쟁력 있는 기업은 가장 많은 문서를 만드는 기업이 아닐 것입니다. 사이버 컴플라이언스를 실용적이고 반복 가능하며 효율적인 프로세스로 만드는 기업이 될 것입니다.
사이버 복원력은 안전하면서도 관리 가능할 수 있을까요?
해운기업에게 필요한 다음 단계는 더 많은 복잡성을 추가하는 것이 아닙니다.
공급업체의 사이버 리스크를 이해하고, 규정 준수를 입증하며, 불필요한 업무를 줄일 수 있는 보다 단순한 방식을 만드는 것입니다.
모든 비용과 시간이 중요한 시장에서 사이버 복원력은 단순히 안전하기만 해서는 충분하지 않습니다. 관리 가능해야 합니다.