CMMC에 대한 제조업체 필수 6대 질문: 인증 가이드

제조업체가 알아야 할 것들

사이버보안은 제조업에서 새로운 주제가 아닙니다. 커넥티드 장비, 혁신적 소프트웨어, 첨단 로봇 시스템이 현장에 들어서면서 사이버보안은 대화의 일부가 되었습니다. 사이버보안이 인더스트리 4.0 기사들과 함께 헤드라인을 장식했지만, 화려한 신기술 버즈가 대화를 지배했습니다.

제조업체들은 사이버보안을 뒷전으로 미뤄왔습니다. 하지만 많은 기업에겐 더 이상 선택이 아닙니다. 제조업은 사이버공격에 가장 취약하고 표적이 되는 상위 5개 산업에 꾸준히 이름을 올려왔습니다. 의료, 금융, 정부 기관은 보안 컴플라이언스와 리스크 관리에서 더 높은 기준을 적용받아왔지만, 제조업은 아직 그런 높은 기준 적용을 받지 않아 사이버범죄에 더 취약합니다.

사이버보안 성숙도 모델 인증(CMMC)이 업계를 강타하고 있습니다. 아래는 제조업체가 던져야 할 6가지 핵심 질문입니다.

CMMC란 무엇인가?

CMMC는 사이버보안 성숙도 모델 인증(Cybersecurity Maturity Model Certification)의 약자입니다. 이 인증은 핵심 지적재산 보호를 보장하는 독특한 접근법을 취합니다. 처음에는 국방부(DoD)용 통제비밀정보(CUI)를 다루는 제조업체와 공급업체에만 요구됩니다.

CMMC는 DoD 공급망 내 약 30만 개 계약업체·하도급업체가 적절한 사이버보안 프로세스와 보호를 갖췄는지 인증하는 방법입니다. CMMC 프로세스는 이제 CMMC 제3자 평가 기관(C3PAO)이 기업 컴플라이언스와 CUI 보안을 인증하도록 요구합니다.

CMMC에는 '기본 사이버보안 위생'부터 '고급/진보적'까지 5단계 성숙도 레벨이 있습니다. 성숙도 레벨이 올라갈수록 인증 유지·컴플라이언스를 위해 따라야 할 규칙과 지침도 늘어납니다.

왜 CMMC가 만들어졌나?

국방부는 사이버공격을 중대 위협으로 인식했습니다. 특히 대형 프라임 계약업체를 지원하는 중소 하도급업체에 큰 위협입니다. 악의적 행위자들은 프라임들이 공격 예방에 더 많은 자원을 투입함을 알고, 공급망이 더 쉬운 표적임을 간파했습니다. NIST SP 800-171 사이버보안 요건은 DoD 협력 계약업체 민감정보 보호를 위해 개발됐고, DFARS 252.204-7012 조항 준수를 위해 마련됐습니다. DoD가 공급망 극소수만 이 지침을 준수한다고 추정하자 CMMC가 탄생했습니다.

사이버공격은 매일 발생합니다. "국방 정보 80% 이상이 파트너 네트워크에 존재하는 지금, 네가 뭘 하고 내가 뭘 하냐가 아니라, 우리가 국가 방위를 위해 집단적으로 뭘 하느냐가 더 중요하다"고 케이티 애링턴(Katie Arrington) 국방부 획득담당 차관보 특별보좌관(사이버 담당)은 말했습니다.

2018년 12월, 중국 해커들이 해군 계약업체에서 함정 유지보수 데이터와 미사일 계획 등 정보를 탈취했다는 보도가 있었습니다. 이는 국가 안보에 대한 직접적 위협입니다. 록히드 마틴(Lockheed Martin) 같은 대형 DoD 공급업체가 최상위 사이버보안 프로그램을 갖췄어도, DoD 공급망의 모든 하도급업체와 공급업체가 스스로를 보호하지 않으면 사이버 범죄자들의 진입로가 됩니다. 단 하나의 취약한 고리가 국가 전체를 위험에 빠뜨릴 수 있습니다.

내 회사도 CMMC가 필요한가?

모든 기업은 사이버보안 강화에 투자해야 합니다. 래드웨어(Radware) 설문조사에 따르면 사이버공격당 추정 비용은 460만 달러입니다. 설문 참여자 13%가 1천만 달러 이상 피해를 입은 공격을 경험했으며, 이 수치는 2018~2019년 사이 2배로 뛰었습니다. NJMEP 사이버보안 전문가들은 모든 제조업체가 '중급 사이버 위생' 즉 CMMC 레벨 2 상당을 모범 관행으로 달성하면 이득이라고 제안합니다. DoD 계약업체의 경우 성숙도 레벨은 DoD 공급망 내 위치에 따라 달라집니다.

DoD 공급업체, 하도급업체, 제조업체가 준수해야 할 5개 CMMC 성숙도 레벨 중 어느 것인지는 프라임 DoD 계약업체가 결정하거나 CMMC 갭 분석으로 파악할 수 있습니다. DoD와 어떤 업무든 하는 모든 공급업체, 하도급업체, 제조업체는 어느 정도 CMMC가 필요하지만, 다루는 정보와 수행 업무에 따라 성숙도 레벨은 다릅니다.

국방산업기반(DIB) 기업이 CUI는 없지만 연방계약정보(FCI)를 보유한 경우, FAR 조항 52.204-21을 충족해야 하며 최소 CMMC 레벨 1 인증이 필요합니다.

인증 프로세스는 언제 시작해야 하나?

지금 당장입니다. DoD 공급업체, 하도급업체, 제조업체는 중요한 DoD 계약 상실 위험을 피하려면 CMMC 인증 프로세스를 최대한 빨리 시작해야 합니다. 시작부터 완료까지 1년 이상 걸릴 수 있습니다. 2020년 6월부터 RFI에 CMMC가 등장하기 시작했습니다. 2020년 9월부터 RFP에 CMMC 언급이 예상되며, 평가는 2020년 가을부터 시작됩니다.

지금 행동하고, CMMC와 그 근간인 NIST 800-171 프레임워크에 정통한 컨설턴트와 협력하는 게 필수적입니다. 인증은 현재 조직이 CMMC 성숙도 레벨 어디에 있는지 파악하는 평가로 시작합니다. 다음 단계는 심층 갭 분석, 그다음은 전면적 리디에이션(remediation)입니다. 각 CMMC 성숙도 레벨마다 소요 시간과 노력이 다릅니다. 하지만 최대한 빨리 시작하면 회사, 리더십, 인력 부담을 덜 수 있습니다.

인증을 받지 않으면 어떻게 되나?

DoD 계약업체, 하도급업체, 공급업체, 제조업체의 경우…

필요한 CMMC 성숙도 레벨 달성이 다음 DoD 계약 수주 여부를 가를 수 있습니다. DoD 프라임 계약업체들은 모든 하도급업체에 이 중요한 새 규정 준수를 요구하기 시작할 것입니다. 이 지침을 따르지 않고 적절한 CMMC 성숙도 레벨을 달성하지 못한 제조업체는 DoD 비즈니스를 계속할 수 없습니다.

비DoD 제조업체의 경우…

현재로선 DoD 계약업체만 CMMC 미획득 시 DoD 업무 상실 위험이 있습니다. 하지만 중소 제조업체는 사이버공격으로 비즈니스가 완전히 마비돼 재정적으로 영구 회복 불가능한 상태에 빠질 위험이 항상 있습니다. 이 인증은 비DoD 제조업체에 훌륭한 사이버보안 기준선과 모범 관행을 제공합니다. 사이버보안 평가 결과에 따라 자사에 가장 적합한 성숙도 레벨을 결정할 수 있습니다.

CMMC 관련 기타 질문은 누가 답해주나?

CMMC 획득은 도전적일 수 있습니다. 특히 적절한 지원 없이는 더 그렇습니다. 인증이 아직 초기 단계라 제조업체가 혼자 헤쳐나가기 어려운 환경입니다. acq.osd.mil/cmmc/faq.html 같은 웹사이트 탐색이나 NJMEP 같은 컨설턴트와 협력이 시작하는 최선의 방법이며, 벅찬 프로세스를 모든 비즈니스에 가치 있는 스트림라인으로 바꿔줍니다.

CMMC 이해, 영향받을 기업, 행동 시점, 필요 성숙도 레벨 식별은威圧的일 수 있습니다. 혼자 하지 마세요. 사이버보안은 필수지만 복잡할 수 있습니다. 올바른 팀과 협력하고 올바른 정보에 접근하면 매우 귀중한 자산이 될 것입니다.

주의사항

이 주제엔 수많은 질문과 전개 과정이 있었습니다. 초기에 많은 기업이 최종 가이드라인조차 결정·공표되지 않았는데도 돕겠다며 큰 비용을 청구했습니다. 솔루션이나 서비스를 파는 회사가 무수히 많아 누구를 신뢰할지 판단하기 어렵습니다. 단순히 요건을 안다고 주장하는 관리형 서비스 제공업체(MSP)에 아웃소싱할 수 있는 일이 아닙니다.

1. https://www.radware.com/newsevents/pressreleases/c-suite-2019