|
| 인공지능과 사이버 보안, 정보보안 및 개인정보보호 논문 |
|
(사)한국인터넷정보학회
2025년도 추계 학술발표대회
|
❖ 일시 : 2025. 10. 30(목) ~ 11. 01(토)
❖ 장소 : 전남 여수시, 디오션호텔앤리조트
❖ 연구회 발표일 : 2025년 10월 30일(금)
|
|
|
 |
|
 논문 주제 미국 국방사이버성숙도모델인증(CMMC) 이해와 발전방안 연구 |
|
| 영문명 A Study on the Understanding and Development Plan of the U.S. Cybersecurity Maturity Model Certification (CMMC) |
|
| 논문 저자 여동균 Yeo Dong Kyun, 이준화 Jun Hwa, Lee |
|
 1. 서 론 |
|
 미국 국방부(DoD)는 방위산업계의 사이버보안을 동적으로 강화하여 진화하는 위협에 대처하고 우리의 사이버 전투원을 지원하여 정보를 보호하기 위해 CMMC(사이버보안 성숙도 모델 인증)을 개발했다. 방위산업계는 점점 더 빈번하고 복잡해지는 사이버 공격의 표적이 되고 있으며, 사이버 침해로 인해 연방계약정보(FCI: Federal Contract Information, 계약 이행 중 생성·제공되는 비공개 정보)와 통제비밀이 아닌정보(CUI:Controlled Unclassified Information, 법·정책에 따라 보호 통제가 요구되는 비기밀 정보)의 유출이 지속된다고 보고, 기존 규정·지침의 이행 여부를 평가·확인하는 체계로 기존의 CMMC을 1.0에서 2.0으로 2024.10.15 최종 공표되었다. |
|
| 2. 관련 연구 |
|
2.1 CMMC 성숙도 수준과 요구사항
CMMC는 국방부 계약업체 및 하도급업체가 FCI 및 CUI를 보호하기 위한 국방부 요구사항을 준수하도록 보장하는 데 도움을 준다. 미국 국방부 계약업체의 사이버보안성숙도를 평가하고, 개선하기 위한 중요한 인증체계이다(25년 하반기 일부 계약에 적용, 28년 전면 적용 예정). 방산업체(조직)의 전반적인 사이버보안태세를 강화하는 데 중점을 둔다. CMMC 평가 요건은 3년에 걸쳐 4단계 계획으로 시행되며,각 단계는 CMMC 레벨 요구사항을 점진적으로 추가하며, 1단계의 자체 평가에서 시작하여 4단계에서 프로그램 요구사항의 완전한 시행으로 마무리된다. 이러한 단계적 접근 방식은 평가자 교육을 위한 시간과 기업이 CMMC 평가 요구사항을 이해하고 이행할 수 있는 시간을 제공한다. NIST(National Institute of Standards and Technology) SP(Special Publication) 800-171을 기반으로 하는 CMMC 프레임워크는 모든 DIB 계약업체를 인증 가능한 하나의 보안 표준으로 통합한다.
2.2 CMMC 인증 범위 설정
CMMC 인증은 CUI/FCI를 처리·저장·송수신하는 정보시스템 단위로 인증 범위를 특정한다(관리경계, 외부 서비스 제공자 포함). 범위 밖 시스템은 격리·세분화로 위험 전이를 차단해야한다. 아래와 같이 레벨 1이 인증범위가 가장 포괄적이고 보안수준이 낮고, 레벨 3는 특정조직의 CUI를 다룰 경우에, 핵심적인 기밀사항에 대한 보안수준을 집약적으로 검토해야 한다.
2.3 CMMC 인증 핵심 증적
2.4 CMMC와 ISO 27001 인증의 비교
2.5 CMMC와 ISO 27001 통제항목 비교
2.6 CMMC의 미흡사항과 개선·발전방안 |
|
| 3. 결 론 |
|
| 본 연구에서는 CMMC의 보안 통제항목을 살펴보았으며, 향후 국방분야 및 방산업체들의 사이버보안강화를 위한 발전방안을 도출하였다. 우리나라 방산업체들이 미국으로 무기를 수출할 경우에는 CMMC 인증을 필수로 획득해야 하는 의무화에 따라 보안인증을 준비하는 데에는 비용 및 노력이 수반되기도 하지만, 본 인증제도를 잘 활용하여 안전한 보안과 기밀유출없이 수출 다각화에 박차를 가할 수 있으면 좋을 것이다. |
|
|
|
  |
2025추계_여동균_CMMC이해와_발전방안_연구.pdf
미국 국방사이버성숙도모델인증(CMMC) 이해와 발전방안 연구
ISO 표준에 따른 정보보안 원칙의 AI 관리 확장 연구 - ISO/IEC 42001과 ISO/IEC 270 
독일 자동차보안인증(TISAX)의 이해와 발전방안 연구