미국 국방부 CMMC 본격화…국내 방산 기업이 지금 준비해야 할 보안 체계

(출처: tolem929 - stock.adobe.com)

CMMC란 무엇인가

CMMC는 미국 국방부가 방산 공급망 참여 기업의 보안 수준을 검증하기 위해 마련한 인증 제도다. 정식 명칭은 Cybersecurity Maturity Model Certification이며, 미국 국방 관련 계약 과정에서 다뤄지는 연방 계약 정보(FCI, Federal Contract Information)와 통제되지 않은 기밀 정보(CUI, Controlled Unclassified Information)를 안전하게 보호하는 것을 핵심 목적으로 한다.

특히 기존에는 기업 자체 평가(Self-Assessment) 중심으로 운영되던 영역이 앞으로는 공인된 제3자 심사를 통한 인증 체계로 전환되고 있다는 점에서 의미가 크다. 미국 국방부는 단계적으로 CMMC 적용 범위를 확대하고 있으며, 향후 대부분의 국방 계약에 관련 요구사항을 포함할 것으로 전망된다.

[그림 1] CMMC 인증 취득 필요성 및 적용 대상

왜 지금 CMMC가 중요한가

국내 방산 기업 입장에서 가장 큰 변화는 공급망 전체로 요구사항이 확대된다는 점이다. 기존에는 원청 기업 중심으로 보안 요구가 적용됐다면, 앞으로는 협력사와 하청 업체까지 동일한 수준의 보안 체계를 요구받게 된다. 특히 미국 국방 사업에 참여하려는 기업들은 요구되는 CMMC 레벨 인증이 없을 경우 입찰 참여 자체가 제한될 가능성이 높다.

또한 CMMC는 단순 보안 솔루션 도입만으로 대응할 수 있는 인증이 아니다. 실제 인증 과정에서는 정보보호 정책과 절차, 접근통제, 로그 관리, 취약점 대응, 사고 대응 체계, 공급망 보안, 교육 이력, 운영 증적 등 기술·관리·운영 전반의 보안 체계를 종합적으로 평가한다.

현재 가장 주목받는 영역은 CMMC Level 2다. 미국 국방 사업에서 가장 폭넓게 요구될 것으로 예상되는 수준이며, NIST SP 800-171 기반의 110개 보안 요구사항 충족이 필요하다. 이에 따라 단순 인증 취득보다 체계적인 GAP 분석과 운영 프로세스 정비가 핵심 과제로 부상하고 있다.

국내 기업들이 어려움을 겪는 이유

많은 기업들이 실제 대응 과정에서 가장 어려워하는 부분은 미국 국방 규정 기반의 복잡한 요구사항과 문서·증적 중심의 심사 체계다.

기업들은 FAR 52.204-21, DFARS 252.204-7012, NIST SP 800-171 등 다양한 규정을 함께 이해해야 하며, 실제 심사에서는 보안 시스템 존재 여부보다 정책과 절차가 실제로 운영되고 있다는 객관적 증적이 중요하게 평가된다.

또한 방산 산업 특유의 업무 환경도 중요한 변수다. 폐쇄망 운영 환경, 생산 시스템 연계, 협력업체 간 정보 공유 구조 등 일반 IT 환경과 다른 특수성이 존재하기 때문에 단순 규정 해석이 아니라 실제 방산 업무 환경에 대한 이해가 요구된다.

CMMC 대응은 어떻게 진행되는가

CMMC 대응은 일반적으로 인증 범위 설정부터 GAP 분석, 개선 과제 수행, 인증 준비, 공식 인증 심사까지 단계적으로 진행된다.

[그림 2] CMMC 컨설팅 방법론

초기 단계에서는 보호 대상 정보와 적용 시스템 범위를 정의하고, 현재 운영 환경과 CMMC 요구사항 간 차이를 분석하는 작업이 수행된다. 이후 정책 및 절차 정비, 기술적 보호조치 강화, 운영 프로세스 개선, 증적 관리 체계 구축 등을 통해 실제 심사 대응이 가능한 수준으로 보안 체계를 고도화하게 된다.

[그림 3] CMMC Level 2 인증 취득 절차

특히 실제 인증 심사에서는 문서와 운영 증적, 인터뷰, 프로세스 수행 여부 등이 종합적으로 검증되기 때문에 사전 모의 심사와 점검 과정도 매우 중요하다.

[그림 4] CMMC Level 2 인증 컨설팅 수행 방안

안랩의 CMMC 대응 역량

안랩은 이러한 시장 변화에 대응해 CMMC 인증 대응을 위한 준비를 진행하고 있다. 특히 방산 및 공공 분야 보안 프로젝트 경험을 기반으로 국내 기업의 CMMC 대응을 지원할 수 있는 역량을 확보하고 있다.

안랩은 방산업체 취약점 진단과 정보보호 관리체계 컨설팅 등 다양한 유사 사업 수행 경험을 보유하고 있으며, 방산 산업 특화 업무 환경에 대한 이해를 기반으로 CMMC Level 2 대응 체계를 지원하고 있다.

또한 GAP 분석, 정책 및 절차 수립, 운영 프로세스 개선, 증적 관리 체계 구축, 인증 대응 준비 등 인증 취득 전 과정을 고려한 단계별 컨설팅 수행 체계를 마련하고 있다.

무엇보다 CMMC는 단순 문서 컨설팅만으로 대응하기 어려운 영역이라는 점에서 실제 운영 가능한 보안 체계 구축 역량이 중요하다. 안랩은 엔드포인트 보안, 네트워크 보안, 위협 대응, 보안 관제, 취약점 관리 등 다양한 보안 역량을 기반으로 기술과 운영을 함께 고려한 대응 방안을 제공할 수 있다는 점에서 차별성을 갖는다.

[그림 5] AhnLab CMMC 인증 컨설팅 특·장점

이제는 ‘인증’이 아니라 ‘보안 경쟁력’의 문제