국방 공급업체 컴플라이언스: 미래를 형성하는 두 가지 사이버보안 오해

제조 및 비제조 부문을 아우르는 국방산업기반(DIB) 기업이 약 30만 개로 추산됩니다. DIB의 약 99%가 직원 500명 미만의 중소기업입니다.

2017년 12월 이래 DIB 모든 기업 계약에 국방연방조달규정보충(DFARS) 조항(252.204-7012 - 통제된 비기밀 정보 보호 및 사이버 사고 보고)이 포함되었습니다. 약 3년이 지난 지금, DIB 내에 여러 잘못된 인식이 존재하는데, 그중 두 가지는 심도 있는 논의가 필요합니다.

첫 번째 오해: 자기 진술(Self-Attestation)은 대수롭지 않다

DoD 계약 조건 수락 결과로 제조업체는 NIST 특별 출판물 800-171에 명시된 110개 보안 요건을 완전히 이행하는 '적절한 사이버보안'을 사용해 통제된 비기밀 정보(CUI)를 보호한다고 자기 진술합니다.

많은 제조업체가 자사 사이버보안 프로그램이 충분하다고 가정합니다. CMTC 고객 대부분이 사이버보안 협업 초기 70~80% 준수라고 추정하지만, 기본 갭 분석 후 실제 평균 준수율은 약 34%입니다.

이전 블로그 게시물에서 사이버보안 요건 미준수와 관련된 종종 간과되는 법적 리스크를 다뤘습니다. 결국 DoD와 거래하려면 계약 조건을 수락해야 하므로, 준수된 사이버보안 태세에 대해 자기 진술하게 됩니다.

두 번째 오해: 외부 IT 제공업체만 있으면 된다

많은 중소기업에 전담 IT 인력과 리소스가 부족합니다. 그 결과 많은 제조업체가 서드파티 IT 서비스 제공업체를 활용합니다. 이 소기업들이 운영되려면 외부 서비스 제공업체에 회사 정보 시스템에 대한 엄청난 관리자 접근 권한을 맡겨야 합니다. 제조업체는 모든 것이 계획대로 진행된다고 가정하는 경우가 많습니다. 제조업체는 서드파티 IT 제공업체를 감독해 어떤 조치가 취해지는지 이해해야 합니다. 제조업체의 IT 제공업체와의 사이버 여정은 회사가 제공업체 업무의 활동과 결과에 관여하는 협력적 과정입니다.

또한 노출 측면에서 110개 보안 요건의 약 절반이 서드파티 IT 제공업체가 통상 제공하는 기술 운영 및 기술 솔루션과 직접 관련됩니다. 일부 사이버보안 조치는 비즈니스 운영에 너무 근본적이어서 정부가 모든 DoD 공급업체가 자사 리스크를 선제적으로 관리할 것이라 합리적으로 가정했습니다. 제조업체와 IT 제공업체가 협력해 DoD 컴플라이언스를 달성하는 건 필수입니다. DoD 공급업체가 장기적으로 컴플라이언스 책임을 집니다.

이 두 가지 핵심 오해가 결합하면 엄청난 기술적·컴플라이언스 부채를 만듭니다.

정부 사이버보안 컴플라이언스 감사가 다가오고 있으므로, 최선의 길은 IT 제공업체를 감독하고 협력해 전반적 컴플라이언스에 기여하는 것입니다.

권장 다음 단계

1. 기존 DFARS 요건에 집중하세요.
2. NIST SP 800-171의 근간 가정을 철저히 이해하세요.
3. 강력한 서드파티 벤더 관리 프로세스를 수립하세요.
4. 계약상 하도급 의무(flow down obligations)를 철저히 이해하세요.

전체 규제 생태계 개요와 이 게시물에서 다룬 주제에 대한 더 심층적인 논의는 CMTC 온디맨드 웨비나에서 확인하세요.