제품 계획 및 개발은 제품 수명 주기 내내 다수의 분야와 관련됩니다. 계획 활동은 제품이 최초로 착상되는 시점에 보안 요구와 데이터 가용성에 대한 요구의 균형점을 찾고자 보안 요구 사항을 정의하는 것으로 시작됩니다. 공정 내내 제품이 디자인 및 테스트 되는 보안된 중요 개발 공정에 이후 계속되는 검토 및 개선을 포함시키려는 증진 노력이 거듭되고 있습니다. 보안 요구 사항이 문서화되면 Lenovo의 제품 개발팀은 신제품에 해당 기능을 통합하려는 계획을 수립합니다. 개발 단계는 다음 영역 위주입니다.

• 개발 및 자격
• BIOS/펌웨어
• 소프트웨어

공급자 관리 및 통제

ODM, OEM, 구성 요소 제조업체, BIOS, 소프트웨어 공급자 등 제품 공급 사슬의 강력한 공급자 기반은 어떤 첨단 기기 제조업자에든 성공의 열쇠로 작용합니다. 이를 보장할 수 있도록 Lenovo는 핵심 공급자의 자격을 심사하는 프로세스를 갖추었으며, 심사 통과 후에도 분기별로 공급자에 대한 정식 평가를 시행합니다. 수많은 Lenovo 공급자는 20여 년간 자사의 파트너로 협력하였습니다. 이러한 관계는 신중하게 관리되며 신규 공급자는 철저한 평가를 받습니다.

Lenovo는 Trusted Supplier Program을 통해서 공급자와의 관계를 증진하고 있습니다.  이 프로그램의 목표는 전체에 걸친 제품 보안 프로세스의 일부로서 감사 가능한 문서화된 공급 사슬 보안 프로그램의 구현을 통해 이루어지는 고객 위험 관리입니다.  Trusted Supplier Program은 고객 보안에 영향을 미칠 수도 있는 지능형 구성 요소 공급자, ODM, OEM 및 수리 서비스 공급자에 중점을 둡니다.

지능형 구성 요소는 일부 예로 다음과 같습니다.

• 임의의 마이크로프로세서의 소프트웨어 또는 펌웨어 프로그램 일체
• 해당 마이크로프로세서 자체
• 데이트 처리 기능이 있는 임의의 반도체 기기
• 내부 메모리가 있는 임의의 구성 요소 또는 장치
• 입출력 기능을 수행하는 임의의 구성 요소 또는 장치

Lenovo는 해당 기술 분야에 일정한 추세와 취약성이 발생할 때 그에 관한 최신 정보를 빠짐없이 접하고 흐름에 앞서가기 위해 사전 대비 차원에서 끊임없이 자사의 소싱 요구 사항을 검토합니다.

자사 제품과 공급 사슬의 보안을 보장하려는 Lenovo의 노력은 미국의 주요 보안 기업 중 한 곳인 Chain Security, LLC의 인증을 받았습니다. 이 최종 결과는 Lenovo의 보안 프로세스, 법인 거버넌스, 공급자 프로그램 등에 대한 근 3년간의 면밀한 조사 끝에 나왔습니다. 이 분석 결과는 Chain Security사의 Lenovo 관련 조사 내용 상술, Lenovo가 지난 2년 동안 이룬 변화와 개선 내용 그리고 이러한 분석 프로세스로 미루어 봤을 때 Lenovo가 “업계에서 유리한 고지를 선점할 가능성이 크다”는 결론이 담긴 20페이지 분량의 증명서입니다.

증명서 전문을 보려면 여기를 클릭하십시오.

위험 관리

Lenovo는 고객이 신뢰할 수 있는 기술 솔루션을 디자인, 제작 및 납품하는 데에 도움이 되는 전 세계 공급 사슬의 뒷받침을 받습니다. 이 공급 사슬에 해가 되는 위험을 관리할 때 당사는 전략상 다음의 5가지 주요 영역/단계를 따릅니다.

1. 공급 사슬에 해가 되는 잠재 위험 식별
2. 특수 통제로 Lenovo의 공급 사슬 보호
3. 조기에 문제를 발견함으로써 대응 시간 추가 확보 및 선택지 확대
4. 되도록 신속한 대응으로 위협 완화 및
5. 복원 가능한 공급 사슬을 디자인함으로써 고객이 겪을 일시 중단의 여파를 최소화하면서 복구 수행

이 전략을 실행하고자 Lenovo는 늘 평가, 업데이트 및 최적화된 상태로 공급 사슬 체계를 유지해서 고객의 요구와 비즈니스 요구에 부응하고 있습니다.

• Lenovo는 준수, 보안 및 재정 건전성을 대상으로 정기적으로 공급자와 협력사를 감사합니다. 중요한 구성 요소의 경우 여러 공급자(또는 여러 공급 제조 사업장)의 필요성을 사정합니다.
• 또한, Lenovo는 정기적으로 자체 통제의 효력을 테스트하면서 빈틈없이 내부 프로세스를 모니터링합니다.

고객의 요구에 부응하는 당사의 능력에 영향을 미치는 어떤 환경도 모니터링, 분석 및 관리되며 결국에 그 심각성은 완화됩니다. 조기에 문제를 식별함으로써 Lenovo는 다음과 같이 할 수 있습니다.

1. 영향을 최소화하기 위해 공급 사슬 조정
2. 공급자와 협력해서 문제 해결
3. 문제가 여전히 해결되지 않는 경우 공급자 교체

공급 사슬에서 Lenovo는 물론 해당 고객의 위험을 최소화하는 것은 매우 중요합니다.

보안상 안전한 제조

보안상 안전한 제조 사업장이 되려면 다음 항목을 갖추어야 합니다.

• 물리적 보안: 공고한 실무 관례와 통제는 직원과 실제 공장의 보안 기능으로 작용합니다. 여기에는 엑세스 제어 및 방문자와 납품의 모니터링이 포함됩니다.
• 보안상 안전한 제조 프로세스: 내부 제조 구역, 생산 공정 및 통제는 면밀하게 관리되는 한편, 주요 구성 요소와 하위 부품 조립체는 전자적으로 추적 관리됩니다. 최종 제품은 검수를 거친 후 제품이 보안, 안정성 및 기능 요구 사항을 충족하는지 확인하는 테스트를 받습니다.
• 보안된 소프트웨어 이미징 및 BIOS 배포: 고객 이미징(즉, 고객이 선택한 OS 및 기타 애플리케이션 소프트웨어의 사전 설치) 및 BIOS 설정은 제조 공정의 중요한 단계이므로 Lenovo는 종류를 불문하고 임의의 외부 부당 변경으로부터 이러한 절차를 늘 보호하고자 특별한 주의를 기울이고 있습니다.

보안상 안전한 물류

Lenovo 물류는 포장, 운송 및 납품을 모두 취급합니다. 제품이 제작 및 테스트되면 해당 제품은 포장되어서 보안 훼손 방지 자재로 운송 준비에 들어가므로 어떤 문제든 그 자리에서 그리고 운송 구간에서 인지될 수 있으며 이후 해당 사고는 조사를 받습니다. 포장 후 Lenovo는 적격한 물류 공급자와 협력해서 최종 고객에게 무사히 제품을 인도합니다. 운송 프로세스 전반에 걸친 보호 요소로는 보안된 설비, 트럭 및 운수, 엄격하게 선별된 직원, 방문자 및 운전사 등이 있습니다. 운송은 제품이 Lenovo 건물을 떠나는 시점부터 고객의 납품 장소에서 인도될 때까지 추적 관리됩니다.

수명주기 관리

보안에 대한 Lenovo의 확고한 의지는 제품이 고객에게 인도된 후에도 계속됩니다. 운영 체제와 애플리케이션 소프트웨어, 칩셋, 펌웨어 및 BIOS는 이동 통신사를 비롯한 해당 생태계 공급자뿐 아니라 Lenovo에서 수시로 제공되는 업데이트를 받을 수 있습니다.  이러한 업데이트는 예정된 개선 작업일 수 있으며 혹은 보안 취약성을 해결하고자 PSIRT가 수행한 작업에 상응하는 조치일 수 있습니다. 이유 불문하고 Lenovo는 공급자가 Lenovo 시스템에 사용되고 있는 구성 요소의 생산을 종료하였을 수도 있는 상황에서도 제품의 수명 내내 소프트웨어 업데이트 및 구성 요소의 보안된 납품에 필요한 프로세스를 제대로 갖추었습니다. 이는 서비스에 사용될 수 있는 새 부품에 대한 적격성 평가의 필요성을 제기합니다. Lenovo는 신뢰할 수 있는 공급자 목록상의 공급자를 통해서 대체 부품을 조달하기 위해 노력하고 있습니다.