스위스 제네바에 본부를 둔 국제표준화기구(ISO)에 따르면 ISO/IEC 27036 표준은 정보 보안 및 사이버 보안, 개인 정보 보호와 관련이 있는 IEC와 ISO 기술위원회에 의해 개발됐다.

기업이 중요한 데이터를 저장하기 위해 클라우드 회사를 포함한 제품 및 서비스 구입 시 타사 공급업체에 의존하게 된다.

따라서 ISO/IEC 27036은 사이버 보안의 관점에서 구매자와 공급업체 모두에게 위험을 초래할 수 있다고 지적한다. 조직 스스로 공급망 공격의 결과로부터 보호해야 된다.

합의 기반 국제 표준은 최고의 사례를 근거로 하고 있다. 전 세계 전문가들의 통찰력은 신뢰할 수 있는 지침과 조언을 제공한다.

이러한 과정을 통해 개발된 국제 표준은 공급망 전체에 걸쳐 조직들의 위험을 관리해야 되며 공급자와 취득자의 관계를 정의하고, 구현, 운영, 모니터링, 검토, 유지, 개선하기 위한 정보 보안 요구사항을 식별한다.

ISO/IEC 27036:2022 표준은 ISO/IEC 27036-1,  ISO/IEC 27036-2,  ISO/IEC 27036-3,  ISO/IEC 27036-4 등 4개의 파트로 구성돼 있다.

첫째, ISO/IEC 27036-1은 사이버보안 - 공급업체 관계 - Part 1 : 개요 및 개념에 관한 표준이다. 둘째, ISO/IEC 27036-2는 사이버보안 - 공급업체 관계 - Part 2 : 요구사항에 관한 표준이다.

셋째, ISO/IEC 27036-3은 정보기술 - 보안기술 - 공급업체 관계를 위한 정보보안 - Part 3 : 정보통신 기술 공급망 보안 지침에 관한 표준이다.

넷째, ISO/IEC 27036-4는 정보기술 - 보안기술 - 공급업체 관계를 위한 정보보안 - Part 4 : 클라우드 서비스 보안 지침에 관한 표준이다.

이중 파트 2 요구사항은 공급망 및 클라우드 서비스 보안을 포함한 공급업체 관계에 대한 포괄적인 지침을 함께 제공하고 있다.

▲ 국제표준화기구(ISO) 홈페이지