제조업체가 정부 준수 관련해 가장 많이 묻는 사이버 보안 5대 질문

본 기사는 인더스트리 투데이(Industry Today)에 게재되었습니다. 콜로라도주 NIST MEP 센터이자 MEP 내셔널 네트워크™ 대표인 매뉴팩처러스 에지(Manufacturer's Edge) 사이버 프로그램 디렉터 제니퍼 커츠(Jennifer Kurtz) 기고.

미국 국토안보부에 따르면 신고된 사이버 공격 건수 기준 제조업은 두 번째로 많이 표적이 되는 산업입니다. 더욱이 사이버 범죄자들은 중소 제조업체(SMM)를 주요 표적으로 보는데, 이들 중 많은 기업이 적절한 예방 조치를 갖추지 않았기 때문입니다.

국방부(DoD) 계약업체와 하도급업체들에겐 평범한 비즈니스가 더 이상 통하지 않습니다. 연방 정부가 외부 서비스 제공업체에 점점 더 의존해 비즈니스를 수행함에 따라, 비연방 정보 시스템과 조직에서의 통제된 비기밀 정보(CUI) 보호에 있어 판돈을 올렸습니다. 2017년 12월 31일부로 모든 연방 정부 계약업체는 국방 조달 규정 보충(DFARS) 최소 사이버 보안 요건을 충족해야 하며, 그렇지 않으면 계약을 잃을 위험이 있습니다. 이 기한이 지났음에도 많은 중소 제조업체는 시스템 업그레이드 지식과 자원이 부족해 이 110개 신규 보안 요건을 어떻게 충족할지 막막해합니다. 중요하게는, 일반 서비스청(GSA)과 미국 항공우주국(NASA)을 위해 일하는 정부 계약업체에 적용되는 연방 조달 규정(FAR)에도 곧 유사한 사이버 보안 요건이 포함될 예정입니다.

MEP 내셔널 네트워크는 미국 제조업체에 포괄적이고 검증된 솔루션을 제공하는 민관 파트너십으로서, 미국 제조업체들이 정보 자산을 사이버 공격 위험으로부터 보호하도록 인식 제고와 지원을 적극 제공해 왔습니다. 이 조직과 파트너들은 저장, 처리, 전송되는 통제된 비기밀 정보를 보호하기 위한 적절한 보안 구현을 원하는 미국 제조업체들에게 국가적 자원 역할도 합니다.

다음은 중소 제조업체들이 연방 정부의 DFARS 보안 가이드라인에 대해 가장 자주 묻는 5가지 질문입니다.

질문: 통제된 비기밀 정보(CUI)란 무엇이며, 내 계약의 일부로 이 유형의 정보를 다루고 있는지 어떻게 알 수 있나요?

답변: 통제된 비기밀 정보(CUI)는 정부 소유의 데이터입니다. 국가 안보에 필수적이진 않지만 정부가 안전하게 보관하길 원하는 정보입니다. DFARS 조항 252.204.7012가 계약에 나타날 수 있지만, CUI를 처리, 저장, 전송하는 경우에만 발효됩니다. CUI엔 연구·엔지니어링 데이터, 엔지니어링 도면, 사양, 매뉴얼, 기술 보고서, 연구·분석, 컴퓨터 소프트웨어 실행 코드와 소스 코드 등이 포함될 수 있습니다. CUI엔 FOUO(공식 용도만 해당) 같은 특별 표시와 취급 지침이 있습니다. CUI 표시에 대한 자세한 내용은 CUI 레지스트리를 참조하세요.

질문: DFARS 준수는 법적으로 의무인가요?

답변: 계약에 DFARS 조항이 있는 모든 계약업체나 하도급업체는 법적으로 준수해야 합니다. 허위로 준수했다고 주장하면 정부 계약과 관련 수익을 모두 잃고 향후 정부 계약 참여 자격도 박탈될 가능성이 높습니다.

질문: 저는 소규모 사업체이고 정부 계약 규모도 작습니다. DFARS 준수가 저에게도 적용되나요?

답변: 회사 규모나 계약 규모와 관계없이, 연방 정부 계약업체나 하도급업체로서 CUI를 처리, 저장, 전송한다면 준수해야 합니다. 사이버 범죄자들은 보안 조치가 일반적으로 더 적은 소규모 기업을 표적으로 삼습니다. 공급망 하위 단계 기업들이 주 표적의 네트워크를 뚫으려 시도하는 것보다 침투하기 더 쉬울 수 있습니다. 공급망 공격이 정부 네트워크를 직접 노리는 것보다 통제된 비기밀 정부 정보에 도달하는 더 쉬운 경로일 수 있습니다.

질문: 내 회사가 현재 DFARS 준수 상태인지 어떻게 알 수 있나요?

답변: NIST 핸드북 162를 참조하세요. 이 핸드북은 제조업체의 정보 시스템을 DFARS 보안 요건에 따라 평가하는 단계별 가이드를 제공합니다.

질문: 우리 조직이 최소 DFARS 가이드라인을 충족하지 못하지만 준수 프로세스를 어디서 시작해야 할지 모릅니다.

답변: 정부 승인 사이버 보안 계획을 구현하는 건 벅찬 일일 수 있습니다. NIST SP 800-171 간행물을 검토해 DFARS 요건을 파악하는 것으로 시작할 수 있습니다. 또한 MEP 내셔널 네트워크에 연락해 지역 MEP 센터와 연결될 수 있습니다. 지역 MEP 센터는 프로토콜과 절차의 상세 갭 분석을 개발하고 취약점과 기타 준수 이슈를 해결하는 실행 계획을 수립할 수 있는 사이버 보안 전문가 연결 등 준수 프로세스를 안내하는 다양한 무료 또는 저렴한 서비스와 이니셔티브를 제공합니다.

질문: 우리 회사는 정부 계약업체가 아니지만 사이버 보안 프로토콜을 강화하고 싶습니다. DFARS 가이드라인을 활용할 수 있나요?

답변: 물론입니다. 상업적 공급망에서 운영하는 제조업체들은 조직 리스크 관리의 필수적 측면으로 DFARS 보안 요건 구현을 진지하게 고려해야 합니다.

제조 부문이 점점 더 디지털화됨에 따라, 점점 더 복잡한 사이버 위협을 이해하고 완화하며 대응하는 것은 비즈니스의 필수 비용이 되었습니다.