CMMC 인증에 대해 알아야 할 사항

CMMC(Cybersecurity Maturity Model Certification)가 완전히 구현됨에 따라 영향을 받는 조직은 인증 프로세스를 통과할 수 있도록 서두르고 있습니다.

목표는 간단합니다. 조직은 최소한의 사이버 보안 표준을 충족해야 하며 그렇게 함으로써 국가 보안을 개선하기 위한 역할을 합니다. 곧 5개 CMMC 등급 중 하나로 인증을 받아야 연방 계약을 체결할 수 있는 약 300,000개의 DIB(방위 산업 기반) 조직에 대한 이해도가 매우 높습니다. 간단히 말해서 인증도, 계약도 없습니다. 미국 정부와 국방부의 입장에서 보면 DIB가 우리나라 국방에서 매우 중요한 역할을 하고 있기 때문에 항상 이해관계가 컸습니다. 데이터 보호와 공급망의 무결성을 보장하는 유일한 방법은 업계를 더 높은 표준으로 유지하는 것입니다.

여기에 어떻게 오게 되었나요?

국가 및 비국가 행위자의 적대 행위가 계속 증가하고 있으며 일부 추정치에 따르면 전 세계적으로 5조 달러에 달하는 경제적 비용이 발생하고 있습니다. 다른 추산에 따르면 2016년 미국 경제에 대한 비용은 570억 달러에서 1,090억 달러 사이였습니다. 그러나 CMMC의 필요성은 경제적 이익에 관한 것이 아니라 집단적으로 우리 자신을 방어하는 것입니다. 크고 작은 회사는 미국 전투기의 성공에 기여하며 모두 CMMC와 동일한 수준의 책임을 지게 됩니다.

연방 공간에서 특정 전투기만 보면 궁극적으로 우리나라를 지키고 지키는 조직을 확보하는 것이 얼마나 중요한지 점을 연결할 수 있습니다. 상업 분야에서 Target 침해는 비즈니스 파트너가 궁극적으로 공격을 조장하는 약한 고리가 될 수 있음을 보여주었습니다. DIB에 더 많은 책임을 지게 함으로써 우리는 새로운 비즈니스 요구 사항을 충족하는 데 도움이 될 뿐만 아니라 공격에 더 탄력적으로 대처해야 하는 전략적 요구 사항을 충족할 것입니다. 시대가 변했고 우리가 비즈니스를 수행하는 방식도 변했습니다. 좋든 싫든 우리는 '전쟁', '간첩', '범죄'와 같은 단어 앞에 '사이버'가 붙는 현대 전장에서 기동합니다.

CMMC란 무엇입니까?

CMMC에는 DoD 계약자를 위한 CUI(Controlled Unclassified Information) 및 FCI(Federal Contract Information) 보호를 목표로 하는 5가지 수준의 기술 및 절차 제어가 있습니다. CMMC 레벨 5에 도달하기 위해 조직은 171 기술 및 절차 제어의 구현 및 평가를 거쳐야 합니다. 연방 공간에 있는 대부분의 사이버 보안 전문가는 CMMC 제어의 대부분이 익숙하다는 것을 알게 될 것입니다. 사실, CMMC 레벨 3에 도달하기 위해 거의 모든 컨트롤이 NIST SP 800-171에 있습니다. 곧 CMMC에 따라 인증이 필요한 조직은 2016년부터 NIST SP 800-171에 요약된 제어를 충족하도록 의무화되었습니다. 주요 차이점은 조직이 더 이상 자체 인증 및 결점 해결을 위한 실행 계획 및 이정표를 제출할 수 없다는 것입니다. . 인증을 원하는 조직은 CMMC 제3자 평가 기관 또는 평가자의 준비 상태 인증을 담당하는 비영리 조직인 CMMC 인증 기관의 인증을 받은 평가자의 공식 평가를 받아야 합니다. 평가가 시작되는 날짜는 정해지지 않았지만 최근 첫 번째 CMMC 평가자 그룹에 대한 교육이 시작되었습니다.

지금 무엇을 해야 할까요?

CMMC 준비는 사이버 보안의 기본을 구현하고 더 큰 복원력을 달성하기 위해 지속적인 개선을 수행하는 것입니다. CMMC 수준은 누적되고 계층화되어 한 수준이 다음 수준으로 증가하므로 수준 4에 도달하려면 수준 3을 완전히 준수해야 합니다. 각 수준은 기본 위생 및 보안 강화로 시작하여 보안 관행의 정교화 수준과 상관 관계가 있습니다. 레벨 5의 위협 헌팅과 같은 보다 진보되고 사전 예방적인 조치로 이동합니다. 복잡성이 증가하는 171개의 제어 기능으로 어디서부터 시작해야 할까요?

CMMC 레벨 1 또는 5에 대한 인증이 필요하거나 조직이 DoD와 거래하지 않을 수도 있습니다. CMMC에서 설정한 표준은 조직이 사이버 보안 태세를 성숙시키기 위한 로드맵입니다. 시작점에 관계없이 CMMC 준수를 달성하는 것은 소규모 조직과 대규모 조직 모두에게 어려운 과제가 될 것이지만 결과는 우리가 절실히 필요로 하는 개선 사항입니다. 우리의 데이터와 지적 재산을 보호하는 것은 논리적이고 적보다 기술적 우위를 유지하는 데 절대적으로 필요합니다. 사이버 보안 기본 사항의 실행에 대한 지속적인 평가 및 개선은 현대 위협에 대처할 수 있는 수준의 디지털 복원력을 달성하는 데 가장 중요합니다.

Wayne Lloyd는 RedSeal의 연방 최고 기술 책임자입니다.