AI 공급망 보안을 위한 CMMC 2.0과 NIST AI RMF 통제항목 매핑 및 정합성 분석
|
| 인공지능과 사이버 보안, 정보보안 및 개인정보보호 논문 |
|
(사)한국인터넷정보학회
2026년도 춘계 학술발표대회
|
❖ 일시 : 2026. 5. 07(목) ~ 08(토)
❖ 장소 : 제주도 서귀포시, 휘닉스아일랜드
❖ 연구회 발표일 : 2026년 5월 07일(금)
|
|
|
 |
|
 논문 주제 AI 공급망 보안을 위한 CMMC 2.0과 NIST AI RMF 통제항목 매핑 및 정합성 분석 |
|
| 영문명 Control Mapping and Conformance Analysis between CMMC 2.0 and NIST AI RMF for AI Supply Chain Security |
|
| 논문 저자 임범석 Lim BeomSeok, 이준화 Jun Hwa Lee |
|
 1. 서 론 |
|
 AI 기술이 방위산업·제조업·금융 등 핵심 산업의 공급망에 급속히 통합되면서 공급망 사이버보안 위협은 AI 모델 오염(data poisoning), 적대적 공격(adversarial attack), 학습 데이터 무결성 침해 등 새로운 형태로 진화하고 있다. SolarWinds 공급망 공격(2020)과 XZ Utils 백도어 사건(2024) 등은 단일 공급업체의 보안 취약점이 전체 공급망으로 연쇄 확산될 수 있음을 실증하였다. 이에 대응하여 미국은 방산 공급망 보안을 위한 CMMC 2.0을 수립하였으며, 2024년 12월 프로그램 규칙(32 CFR Part 170)이 발효되어 2025년부터 계약에 단계적으로 적용되고 있다. 또한 NIST는 AI 시스템 위험관리를 위한 AI RMF 1.0(2023)을 발표하였다. 그러나 두 프레임워크는 상이한 목적으로 설계되어 AI 공급망이라는 교차 영역에서의 통제항목 정합성에 대한 분석이 부재하다. CSA의 AI Controls Matrix(2025)가 NIST SP 800-171과의 매핑을 제시하였으나, CMMC 2.0과 AI RMF 간 직접적 정합성 분석은 수행되지 않았다.
|
|
| 2. 관련 연구 |
|
2. 이론적 배경
2.1 CMMC 2.0 개요
CMMC 2.0은 미 국방부(DoD) 공급업체를 대상으로 NIST SP 800-171 Rev.2 기반 110개 보안 요구사항을 3단계(Level 1: Foundational, Level 2: Advanced, Level 3: Expert)로 구성한 인증 체계이다. 2025년 중반부터 국방부 연방 조달규정 보충 규정에 포함된 개별 계약 조항(DFARS조항)을 통한 공식 시행이 개시되어, CUI를 처리하는 모든 계약자에게 적용되고 있다.
2.2 NIST AI RMF 1.0 개요
NIST AI RMF 1.0은 2023년 1월에 발표된 AI 위험관리 자발적 프레임워크로 Govern·Map·Measure·Manage의 4개 핵심 기능, 19개 범주, 72개 하위 범주로 구성된다. 각 기능은 범주와 하위 범주로 세분화되며, 신뢰할 수 있는 AI의 7개 특성으로 유효성 및 신뢰성, 안전성, 보안 및 회복력, 책무성 및 투명성, 설명 가능성 및 해석 가능성, 프라이버시, 공정성을 제시한다. 국내에서도 과학기술정보통신부가 인공지능 윤리·신뢰성 확보 추진계획을 발표하여AI 신뢰성 기반 조성을 추진하고 있다. CSA가 AI Controls Matrix를 통해NIST SP 800-171 간 매핑을 제시하였으나, CMMC 2.0과 AI RMF를 직접 비교한 연구는 수행되지 않았다.
3. 연구방법
3.1 분석 대상 및 방법론
본 연구는 문헌 기반 비교분석(document analysis) 방법론을 적용하여 두 프레임워크의 통제항목 간 구조적 정합성을 분석한다. 분석 대상 원문은 다음과 같다. (1) CMMC 2.0 프로그램 규칙(32 CFR Part 170)과 NIST SP 800-171 Rev.2의 14개 패밀리별 110개 보안 요구사항, (2) NIST AI RMF 1.0(AI 100-1)의 4개 기능별 19개 범주 및 72개 하위 범주, (3) NIST AI RMF Playbook의 하위 범주별 권장 조치사항이다.
3.2 분석 절차
분석은 추출–매핑–판정의 3단계로 수행하였다.
3.3 정합성 판정 기준
4. 분석 결과
4.1 정합성 분포
CMMC 2.0 Level 2의 110개 통제항목에 대한 NIST AI RMF 하위 범주와의 정합성 분석 결과를 표 2에 제시하였다.
4.2 통제항목 상세 매핑
표 3은 도메인별 대표 매핑 결과를 제시한다. 매핑은 각 통제항목의 평가 목표와 AI RMF 하위 범주의 기대 결과를 분석절차의 3가지 기준에 따라 비교하여 수행하였다. |
|
| 3. 결 론 |
|
본 논문에서는 3단계 정합성 평가 척도를 적용하여 CMMC 2.0과 NIST AI RMF 간 통제항목 매핑 및 정합성을 분석하였다. CMMC 2.0은 전통적 사이버보안 통제에서는 높은 정합성을 보이나, AI 특화 보안 요구사항에는 구조적 한계가 존재한다. 따라서 AI 시스템을 공급망에 통합하는 기관은 두 프레임워크를 상호 보완적으로 병행 적용하는 통합 보안 체계 구축이 요구된다. 본 연구는 문헌 분석 기반의 탐색적 연구로서 단일 연구자의 매핑 판단에 의존하였다는 한계를 지닌다. 향후 복수 전문가 교차검증(inter-rater reliability)을 통한 매핑 신뢰도 확보, TISAX·ISO 42001 등 다중 프레임워크 비교, NIST AI 600-1 생성형 AI 프로파일 확장 매핑, 실제 방위산업 조직 대상 적용 사례 연구로 확장이 필요하다.
|
|
|
|
  |
|
|
임범석-AI_공급망_보안을_위한_CMMC_2.pdf
블록체인 기반 DID를 활용한 AI 시스템 개인정보 보호 프레임워크 연구 
AI를 활용한 정보보안 인증 Evidence 자동 생성 및 Gap Analysis 플랫폼 설계