[논문 리뷰] Assessing Supply Chain Cyber Risks

Alberto Redondo, Alberto Torres‐Barrán외 2명|arXiv (Cornell University)|2019. 11. 26.

Supply Chain Resilience and Risk Management참고 문헌 23인용 수 4

한 줄 요약

이 논문은 공급사슬 사이버 리스크 관리(SCCRM)를 위한 구조적 프레임워크를 제안한다. 공격 발생 확률과 관련 비용을 평가하기 위해 전문가 판단과 예측 모델을 활용하며, 공급사슬이 해킹을 당했을 경우의 리스크를 분석한다. 위협 지능 데이터를 확률 모델링 및 동적 선형 모델(DLM)과 통합함으로써 리스크 모니터링, 공급사 순위 매기기, 사전 리스크 경고 기능을 가능하게 하며, 핵심 결과로 공급사슬 관련 사이버 리스크로 인한 총 예상 손실액이 €737.27만 유로로 도출되었다.

ABSTRACT

Risk assessment is a major challenge for supply chain managers, as it potentially affects business factors such as service costs, supplier competition and customer expectations. The increasing interconnectivity between organisations has put into focus methods for supply chain cyber risk management. We introduce a general approach to support such activity taking into account various techniques of attacking an organisation and its suppliers, as well as the impacts of such attacks. Since data is lacking in many respects, we use structured expert judgment methods to facilitate its implementation. We couple a family of forecasting models to enrich risk monitoring. The approach may be used to set up risk alarms, negotiate service level agreements, rank suppliers and identify insurance needs, among other management possibilities.

연구 동기 및 목표

• 공급사슬 간 상호 연결성이 높아짐에 따라 발생하는 사이버 리스크 증가 문제를 해결하기 위해, 특히 공격에 대한 기록된 데이터가 부족한 상황에서의 대응 방안을 모색한다.
• 실제 데이터가 부족한 상황에서도 전문가 판단을 기반으로 한 실용적이고 데이터 기반의 방법을 개발하여, 공급사와 모회사의 사이버 리스크를 평가한다.
• 시간적 변화를 반영하는 시계열 예측 모델을 통해 공격 발생 확률을 추적함으로써 예측 가능한 리스크 모니터링을 가능하게 한다.
• 정량화된 리스크 지표를 통해 공급사 선정, 서비스 수준 합의(SLA) 협상, 보험 필요성 평가 등의 경영 의사결정을 지원한다.
• 전통적인 리스크 평가 방식을 초월하여 공급사에서 유래하는 간접 리스크를 통합하고, 향후 공격 발생 가능성을 예측함으로써 리스크 평가를 보완한다.

제안 방법

• 실제 데이터가 부족한 상황에서 전문가 판단을 체계적으로 활용하여 공격 발생 확률과 영향 분포를 추정한다.
• 전문가가 추정한 1분위수와 3분위수를 기반으로 정규화된 감마 분포(Gamma distribution)를 사용하여 정지 시간 지속 기간을 모델링한다 (예: 회사의 경우 Gamma(1.79, 0.40)).
• 고객 손실 비율은 전문가 평가를 바탕으로 베타 분포(Beta distribution)로 모델링한다 (예: Beta(0.13, 1.74)).
• 정지 시간 비용과 고객 손실 영향을 통합하여 기대 직접 및 간접 비용을 계산하며, 총 기대 비용은 €737.27만 유로로 도출된다.
• 동적 선형 모델(Dynamic Linear Models, DLMs)을 사용하여 향후 k단계에 대한 공격 확률(AP, IAP, GAP)을 95% 예측 구간과 함께 예측한다.
• 시스템은 파이썬으로 구현되었으며, 공격 벡터 및 보안 상태에 대한 실시간 데이터를 수신하기 위해 위협 지능 시스템(Threat Intelligence System, TIS)과 통합되었다.

실험 결과

연구 질문

• RQ1 역사적 공격 데이터가 부족하거나 존재하지 않을 경우, 공급사슬 내 사이버 리스크는 어떻게 평가할 수 있는가?
• RQ2 공급사가 모회사의 사이버 리스크 노출도를 간접적으로 어떻게 증가시키는가?
• RQ3 전문가 판단을 위협 지능 데이터와 체계적으로 융합하여 신뢰할 수 있는 리스크 지표를 도출할 수 있는가?
• RQ4 예측 모델을 통해 향후 공격 발생 가능성을 예측하여 사전 리스크 관리를 가능하게 할 수 있는가?
• RQ5 리스크 스코어는 공급사 순위 매기기, SLA 협상, 보험 결정에 어떻게 활용될 수 있는가?

주요 결과

• 공급사에서 기인하는 사이버 리스크로 인한 총 기대 비용은 €737.27만 유로로 추정되며, 이 중 €517.16만 유로는 직접 회사의 정지 시간 비용, €116.73만 유로와 €103.38만 유로는 각각 두 공급사에서 기인한 비용이다.
• 공급사 1은 공급사 2보다 더 높은 기대 손실(€116.73만 유로)을 유발하므로, 더 높은 리스크 프로파일을 지닌다.
• 모델 예측에 따르면, 공급사 2에서 기인하는 공격 발생 확률은 시간이 지남에 따라 악화되어, 최초의 리스크 순위를 뒤집는 결과를 보였다.
• DLMs는 향후 공격 발생 확률을 95% 예측 구간과 함께 성공적으로 예측하여 조기 경고 시스템을 가능하게 하였다.
• 프레임워크는 동적 리스크 모니터링을 지원하며, 100단계의 시간 단계 동안 변화하는 공격 발생 확률의 추세를 시각화한 결과를 제공한다.
• 정량화된 리스크 지표를 통해 공급사 순위 매기기, SLA 협상, 보험 필요성 평가 등의 실용적 응용이 가능하다.