I. 서론
대한민국 국방부는 2024년 4월 K-RMF(Korean Risk Management Framework)를 제정 및 공표하였다[1]. K-RMF는 미국의 DoD(Department of Defense)에서 개발 및 발표한 RMF A&A(Assessment & Authorization)와 미국 국립 표준 및 기술 연구소(National Institute of Standards and Technologies, NIST)의 RMF를 벤치마킹하여 만들어졌다.
DoD는 무기체계 및 정보체계의 보안을 보장하기 위해 보안 평가 및 인가 프로세스를 지속적으로 개선해 왔다[2]. RMF는 DoD의 평가 및 인가 프로세스의 가장 최신 버전이다[3]. 모든 사전 정의된 보안 요구사항을 준수하도록 의무화한 이전의 평가 및 인가 제도와 달리, RMF는 시스템에서 처리되는 다양한 유형의 정보와 관련된 특정 위험에 맞게 조정된 접근 방식을 취한다. 이러한 변화는 체크리스트 기반의 획일적인 전략에서 조직, 개인, 국가에 미칠 수 있는 부정적인 영향에 대한 평가를 바탕으로 하는 보다 역동적인 평가로의 전환을 의미한다.
RMF는 조직이 운영하는 체계에 의해 처리, 저장, 송수신되는 정보의 특성을 먼저 평가하고, 이 평가에 기초하여 체계별로 적절한 보안 요구사항, 즉, 보안통제항목을 구성한다[4]. 이후 조직은 선정된 보안통제항목 구현 및 잔존 위험 평가 진행 후 체계 획득 결정을 내린다. 조직은 이러한 RMF의 위험관리 프로세스를 반복적으로 수행하여 체계에 의해서 발생할 수 있는 위험의 수준을 감당할 수 있는 수준으로 낮추고 관리한다. 또한, RMF는 FISMA, The Privacy Act of 1974 등 다양한 미국 법률 및 규정에 근거하여 만들어졌으므로 전통적인 보안 관행을 지키는 데에도 큰 역할을 한다[3].
K-RMF는 이러한 미국의 RMF를 벤치마킹하여 만들어졌다. 그러므로 K-RMF의 보안통제항목을 비롯하여 상당한 부분이 RMF와 닮아있다. 특히, K-RMF의 위험관리 프로세스는 미국 RMF의 1.0 버전과 동일하게 구성되어 있다1). 미국 RMF는 현재 2.0버전으로 업데이트되었으며, “Prepare” 단계가 추가된 7단계의 프로세스를 가지고 있다. K-RMF는 과거 버전인 미국 RMF 1.0을 기반으로 하기에 6단계로 구성된 프로세스를 가진다.
K-RMF[1]에 따르면 K-RMF는 6단계로 정의된 위험관리 프로세스를 중심으로 기타 산출물, 세부활동, 요구사항 등이 구성되어 있다. Table 1은 K-RMF 위험관리 프로세스의 6가지 핵심 단계에 대한 설명을 보여준다.
Table 1. Summary of K-RMF’s 6-step risk management process
미국 RMF에서는 보안성 향상 및 규정 준수 외에도 기존의 사이버보안 평가·인증 표준 및 프로그램과의 호혜성을 중요시한다. 다음 인용구는 RMF의 호혜성을 보여줄 수 있는 NIST SP 800-53 내 보안 통제항목 중 일부를 발췌한 것이다[5].
"CA-2(3) CONTROL ASSESSMENT / LEVERAGING RESULTS FROM EXTERNAL ORGANIZATIONS :: ... Accredited testing laboratories that support the Common Criteria Program [ISO 15408-1], the NIST Cryptographic Module Validation Program (CMVP), or NIST Cryptographic Alogrithm Validation Program (CAVP) can provide independent assessment result that organizations can leverage."
RMF 표준에 따르면, 호혜성이란 시스템 자원의 재사용성을 높이고 원활한 정보 공유를 위해서 상호 인정하기로 협정된 타 조직에서 인증받은 보안 평가 내용을 자신도 함께 받아들이는 것이다. RMF의 보안 통제 카탈로그에서도 호혜성을 위해서 CC, CMVP와 같은 타 보안성 평가 표준 및 프로그램의 평가 증거물을 재사용하도록 권장하고 있다. RMF에서 호혜성을 강조하는 것은 보안성 평가에 필요한 노력과 시간을 중복되지 않게 하여 효과적으로 줄이는데 그 목적이 있다[3].
국내의 경우에도 K-RMF가 발표되기 이전 국내 사이버보안 분야에서 활용되던 다양한 평가 및 인증 표준, 프로그램들이 존재한다. 대표적으로 국내용 CC, KCMVP (Korean CMVP) 등이 존재한다. 뿐만 아니라, 미국 DoD와 계약을 진행하기 위해선 국내 업체들도 CMMC (Cybersecurity Maturity Model Certification) 인증을 받아야 한다.
K-RMF의 경우 미국의 RMF처럼 호혜성의 원칙이라는 것이 존재하지 않는다. 호혜성의 원칙이 존재하지 않는다는 것은 곧 기존 평가 및 인증 제도의 평가 증거물을 K-RMF에서 재사용이 불가능하다는 것이다. 이 경우 평가 증거물 작성에 필요한 노력이 크게 중복되어 개발자의 부담이 가중되며, K-RMF의 근간이 되는 RMF의 호혜성 원칙에 어긋난다.
본 연구는 RMF 표준의 호혜성 원칙에 입각하여 국내용 CC, KCMVP 등 기존에 국내에서 활용되던 보안성 평가와 K-RMF의 연관성을 분석한다. 궁극적으로는 이러한 연관성 분석을 바탕으로 각종 보안성 평가 및 인증 표준의 평가 증거물을 K-RMF의 평가 증거물에 어떻게 통합할 수 있는지 포괄적인 활용 방안에 대해 제안한다.
본 논문의 이후 장은 다음과 같이 구성되어 있다. 2장에서는 본 연구와 연관성이 있는 기존 관련 연구 및 문헌들에 대해서 살펴본다. 3장에서는 기존 평가 및 인증 표준인 국내용 CC, KCMVP, CMMC와 K-RMF의 연관성에 대해 분석한다. 이후 4장에서는 이전 장들의 내용을 바탕으로 K-RMF 평가 증거물에 타 보안성 평가 표준을 통합하는 포괄적인 접근 방식에 대해 제안한다. 마지막으로 5장에서는 본 논문의 접근법에 대한 한계 및 향후 연구에 대해 논의하고 결론을 짓는다.
II. 관련 연구
본 장에서는 RMF 및 K-RMF와 타 평가 인증 제도 간의 호혜성을 다룬 기존 연구 및 문서들에 대해 분석한다. 관련 연구를 체계적으로 분석하기 위해 본 연구팀은 SLR(Systematic Literature Review) 방식에 따라 먼저 아래와 같은 조건으로 검색을 수행하였다.
- 검색 엔진: Google Scholar
- 검색 워드: "RMF" AND "Reciprocity"
- 검색 기간: 최근 5년 (2021년 이후)
- 검색 언어: 모든 언어
그 결과 약 340개의 학술 데이터가 검색되었다. 검색된 학술 데이터를 제목과 초록으로 1차 스크리닝하였고, 그 결과 약 3개의 연구 문헌만 상세 분석 대상으로 선정되었다[6,7,8]. 이 중 Michael Greene의 연구[6]는 본 연구와 연관성이 있는 것으로 보이나 초록을 제외한 문헌 내용에 접근이 불가하여 최종적으로는 2개의 연구 문헌만을 상세 분석 대상으로 선정하였다. 본 연구팀은 분석 대상 및 관련 연구 문헌이 부족한 것으로 판단되어, 위에서 선정한 분석 대상 외에 미 국방성에서 발간한 RMF 관련 문헌 중 호혜성을 다루고 있는 가이드 등의 문헌들을 추가로 조사하였다.
먼저, 국외에서는 RMF의 호혜성과 관련하여 주로 미 국방성 내부의 실무적 구현 현황과 개선 방안에 대한 연구가 수행되었다. 2022년, 미 국방성 감찰관실(DoD Office of Inspector General)에서는 미 국방성의 산하 기관들이 RMF 프로세스를 통해 정보기술을 인가할 때 사이버보안 호혜성을 활용하여 중복된 평가 노력을 줄였는지에 대한 감사 결과를 검토한 보고서를 발간하였다[9].
해당 [9] 보고서에 따르면, 호혜성은 "다른 조직의 보안 평가를 수용하고 재사용하여 정보를 공유하고 시스템 인가 관련 시간과 자원 비용을 줄이는 협정"으로 정의된다. 해당 정의에 따라 미 국방성 감찰관실에서 미 국방성의 산하 기관들을 조사한 결과 미국방 물류청(Defense Logistics Agency, DLA) 및 미 국방 인사청(Defense Human Resources Activity, DHRA)에서 호혜성을 달성하기 위한 활동을 미흡하게 수행하고 있음을 언급하였다. 예를 들어, DLA의 경우 시스템과 인가 문서를 임무 보증 지원 서비스(Enterprise Mission Assurance Support Service, eMASS)에 공유하지 않았고, eMASS 전담인원을 지정하지 않았으며, Tier 2 공통 보안통제항목을 인가하지 않았다고 지적하였다.
해당 미 국방성 감찰관실의 보고서는 RMF의 호혜성과 관련하여 ‘DoD 내부 조직 간 원활한 정보 공유’에 초점을 맞추어 내부 조직을 검토한 것이다. 즉, 해당 보고서에선 외부 보안 평가 표준의 평가 증거물을 RMF 프로세스에 활용하는 방법을 다루고 있지 않다.
2025년, Paula Jr.과 Shives[8]는 현재 DoD 산하 기관들이 RMF 프로세스에서 호혜성을 충분히 활용하지 않고 있다는 문제점을 제기하였다. 특히 미해병대가 eMASS 대신 해병대 인증 및 인가 지원 도구(Marine Corps Certification and Accreditation Support Tool, MCCAST)를 사용함으로 인해 데이터 공유가 불가능하다고 지적했다. 또한 보안 통제 평가자(Security Control Assessor, SCA)가 수행하는 평가에 상당한 주관성이 포함되어 있고, 시스템이 안전한지 정의하는 명확한 표준이 부재하다는 점을 강조하였다. 그러나 해당 연구도 마찬가지로 타 보안 평가 표준의 평가 증거물을 RMF에서 활용하는 구체적인 통합 방안에 대해서는 다루지 않는다.
2024년, 미 국방성 CIO에서는 DoD 내에서 사이버보안 호혜성을 실행하기 위한 종합적인 실무 가이드인 "Cybersecurity Reciprocity Playbook"[10]를 발간하였다. 해당 가이드에 따르면, 호혜성은 CNSSI 4009와 동일하게 "참여 조직들이 서로의 보안 평가를 수용하고, 시스템 자원을 재사용하며, 정보 공유를 위해 서로의 평가된 보안 자세를 수용하기로 하는 협정"으로 정의된다. 또한, 동 가이드에서는 호혜성을 수동적 수용이 아닌 신중한 위험 기반 평가 프로세스라고 설명한다. 특히, 시스템의 보안 통제 구현과 평가에 대한 모든 문서 및 증거를 뜻하는 Body of Evidence(BoE)의 재사용을 통한 효율성 극대화와 중복 테스트, 평가, 문서화 및 관련 비용 절감을 강조하고 있다. 이 문서는 FedRAMP와 DoD 간의 클라우드 서비스 호혜성, DoD 전사 시스템의 여러 구성요소 간 배포, AO 위원회를 통한 복합 인가 환경에서의 호혜성, 개별 조직 간 평가 증거물 재사용, DoD와 정보기관 간 호혜성 등 5가지 구체적인 사용 사례를 제시하였다. 하지만 해당 문서에서 제시한 모든 사례는 DoD 내부 조직 간 또는 연방정부 기관 간의 호혜성에 한정되어 있어, CC, CMVP, CMMC와 같은 국제적으로 인정받는 상업적 보안 평가 표준과 RMF 간의 연관성 및 평가 증거물 통합 방안에 대해서는 구체적으로 다루지 않는 한계가 있다.
국내에서는 2024년, CMMC와 RMF 간의 호혜성을 실무적으로 구현한 사례가 존재한다[7]. 해당 연구는 2022년 이후 국방부 합동참모본부 주관의 한/미 국방 사이버보안 업무지원 자동화 솔루션 개발프로젝트 결과를 바탕으로, 국내 방산업체들이 2025년 10월까지 CMMC 인증 취득과 2026년부터 K-RMF 적용에 동시에 대비할 수 있는 공통 규정 준수 메타모델(RC3)을 개발하였다. 그러나 해당 연구는 RMF와 CMMC 간의 연관성에만 집중하고 있다. CMMC는 미 DoD가 계약업체의 정보보안 능력을 사전에 평가하기 위해 개발한 평가 제도이다. 즉, 해당 연구 결과는 전체 보안통제항목 중 SR-6 ‘Supplier Assessment and Review’와 같은 RMF의 공급망 보안 관련 보안통제항목만 대응할 수 있다. 공급망 보안 이외에 CC, CMVP 등 체계의 보안성을 평가하기 위한 다른 주요 보안 평가 표준과 RMF 간의 연관성 및 통합 방안에 대해서는 다루지 않는 한계가 있다.
이와 같이 기존 연구들은 RMF의 호혜성을 해석하는 시각이 조금씩 다르고, 특히, 외국 연구 사례의 경우 미 국방성 내부 조직 간 호혜성 구현에만 초점을 맞추고 있어, RMF와 CC, CMVP, CMMC 등 주요 사이버보안 평가 표준 간의 포괄적인 호혜성을 다룬 연구는 부족하다. 이는 곧 K-RMF와 타 국내용 평가 표준간의 호혜성을 달성하기 위해 참고할 통합적 사례연구가 부족함을 의미한다.
본 연구에서는 위와 같은 연구 공백을 해결하기 위해 K-RMF와 타 국내용 보안성 평가 표준 및 CMMC 간의 연관성을 분석하고, 각 표준의 핵심 평가 증거물을 K-RMF 내에서 재사용할 수 있는 포괄적인 활용 방안을 제안하고자 한다.
III. K-RMF와 타 국내용 사이버보안 평가 인증 제도의 연관성 분석
3.1 K-RMF와 국내용 CC
본 절에서는 국내용 CC 평가 인증 제도의 특징에 대해 간략히 설명하고, K-RMF와 국내용 CC 평가 인증 제도 간의 연관성을 분석한다. 이를 통해 국내용 CC 평가 인증이 K-RMF 내에서 어떻게 활용될 수 있는지 분석한다.
3.1.1 국내용 CC 개요
CC는 IT 제품의 보안성을 평가하기 위한 국제 표준이다. 국내용 CC는 이러한 국제 표준을 바탕으로 국내 실정에 맞게 해석한 평가제도이다[11]. CC의 주요 목적은 컴퓨터 보안 제품이 사전에 정의된 특정 보안 요건을 충족하는지 검증하는 것으로, 공급 업체가 주장하는 보안 기능에 대해 소비자에게 신뢰를 제공하는 것이다. 이러한 CC의 요구사항은 기능 요구사항과 보증 요구사항 두 가지로 나뉘어져 있다. 또한, CC는 보안 IT 제품의 명세, 구현 등을 표준화된 방식으로 평가할 수 있도록 평가자, 개발자, 증거물에 대한 요구사항을 다룬 Common Evaluation Method (CEM)을 제공한다[12].
CC는 미국의 Trusted Computer System Evaluation Criteria (TCSEC), 캐나다의 Canadian Trusted Computer Product Evaluation Criteria (CTCPEC), 유럽의 Information Technology Security Evaluation Criteria (ITSEC) 등 여러 국가에서 기존에 사용하던 보안성 평가 기준을 통합하여 만들어졌다[13]. 이는 제품의 반복적인 국가별 인증 과정을 거쳐야 하는 불편함과 비용적 손해를 줄이기 위해 기본적인 틀을 제정한 것이다[14]. 국내의 경우 이러한 기본적인 틀 아래 국내 실정에 맞도록 해석하여 평가제도를 운영하고 있다. CC를 구성하는 핵심 개념은 다음과 같다.
- 평가 대상(Target of Evaluation, ToE): 보안 평가의 대상이 되는 특정 IT 제품 전체 또는 일부분을 의미. 보안 평가의 목적은 해당 제품에 대한 보안 주장의 타당성을 검증하는 것
- 보호 프로파일(Protection Profile, PP): 방화벽, 침입 탐지 시스템, 브라우저 등 특정 제품군에 대한 보안 요구사항을 정의한 문서. 이는 재사용 가능한 보안 요구사항 템플릿의 역할
- 보안 목표 명세서(Security Target, ST): PP가 특정 제품군에 대한 템플릿이라면 ST는 실제 만들어진 제품에 대한 상세 명세서. 개발 업체는 해당 문서를 작성하여 평가를 의뢰하고 고객은 해당 문서를 바탕으로 해당 IT 제품의 경쟁력을 확인
- 보안 기능 요구사항(Security Functional Requirements, SFRs): 제품이 제공하는 개별 보안 기능을 정의. CC는 Part2 문서에서 명세에 포함할 수 있는 보안 기능의 카탈로그를 제공. 개발자는 해당 카탈로그에서 보안 기능을 선택하거나 추가적인 보안 기능을 정의하여 ST에 명세
- 보증 요구사항(Security Assurance Requirements, SARs): 개발자가 제품의 보안 기능을 설계, 구현, 테스트하는 과정에서 얼마나 엄밀한 절차를 따랐는지 주장할 수 있는 요구사항의 목록. CC는 Part3 문서에서 명세에 포함할 수 있는 보증 요구사항의 카탈로그를 제공
- 보증 등급(Evaluation Assurance Level, EAL): 보안 IT 제품 개발 시 준수한 개발 절차와 보안 평가의 엄격한 수준을 나타내는 지표. 1등급부터 7등급까지 존재하며, 숫자가 더 높은 등급일수록 더욱 엄격한 준수를 의미. 각 보증 등급을 만족하기 위해 필요한 SAR 목록은 사전에 모두 정의
이러한 CC 평가는 전문 자격을 갖춘 기관 및 인증된 평가자에 의해서 수행된다. 평가가 성공적으로 완료되었을 경우 인증서가 발행되며 해당 인증서는 제한적으로 상호 인정 협정(Common Criteria CCRA) 참여국 간에 상호 인정된다[14]. 이는 앞서 말한 국가 간 중복된 평가로 인해 발생되는 불필요한 노력 및 비용을 감소하는 데 의미가 있다.
3.1.2 K-RMF 내에서 국내용 CC의 역할
미국의 RMF에 따르면 CC를 통해 인증된 제품일 경우 CC 인증에서 활용된 평가 증거물을 적극적으로 활용할 수 있도록 권고하고 있다[5]. CC 인증서를 발급받은 IT 제품은 ST에 명세된 보안 기능과 EAL 등급 수준의 보증을 만족하였다는 것을 의미한다. 이러한 인증 결과는 RMF의 보안 통제 항목의 일부를 만족시키는데 기여할 수 있다. 또한, RMF의 적용 사례연구가 다소 부족한 조직의 경우 CC의 공개된 ST와 PP, EAL 등을 바탕으로 공통 보안 통제 항목을 지정하거나 보안 통제 항목 기준선을 잡는데 도움을 얻을 수 있다.
K-RMF와 국내용 CC의 경우에도 기본적으로 미국의 RMF와 CC 국제 표준을 벤치마킹하여 개발되어 그 모양이 크게 다르지 않다. 그러므로 이러한 RMF와 CC의 연관성을 K-RMF와 국내용 CC에도 동일하게 적용할 수 있다. 위와 같은 CC의 특성을 바탕으로 K-RMF의 6단계 위험관리 프로세스 각 단계에 대해 국내용 CC는 아래와 같은 기여를 할 수 있다:
- 선택(Select) 단계: CC 인증을 받은 제품은 RMF의 선택 단계에서 보안 통제 항목을 선정하는데 ST 문서에 명세된 보안 기능 요구사항과 보증 요구사항 참고 가능
- 구현(Implement) 단계: CC 인증을 받은 제품은 해당 제품의 ST 문서에 명세된 보안 기능 및 보증 요구사항과 관련한 보안 통제 항목에 대해 추가적인 구현 활동 없이 CC 인증 받은 상태로 평가 증거물로 활용 가능
- 평가(Assess) 단계: CC 인증을 받은 제품은 RMF 평가 시 기존 CC 인증을 받을 당시 수행한 평가 기록이 존재하므로 해당 평가 기록을 검토하는 것으로 평가 과정을 간소화 가능
- 모니터링(Monitor) 단계: CC 인증을 받은 제품이 CC 인증서의 유효 기간 효력을 유지하고 있는지 확인하는 것으로 해당 제품의 보안 태세 변화 여부 판단 가능. CC 인증서의 경우 5년의 유효기간을 가지므로 해당 유효기간을 인정할 수 있는지에 대해 충분한 고려 필요. 단, 2021년 1월 12일 이전에 발급된 인증서는 기본적으로 3년의 유효기간을 가지며, 효력연장 평가를 통과할 시 5년으로 변경 적용
3.2 K-RMF와 KCMVP
본 절에서는 KCMVP 평가 인증 제도의 특징에 대해 간략히 설명하고, K-RMF와 KCMVP 평가 인증 제도 간의 연관성을 분석한다. 이를 통해 KCMVP 평가 인증이 K-RMF 내에서 어떻게 활용될 수 있는지 분석한다.
3.2.1 KCMVP 개요
KCMVP의 근간이 되는 CMVP는 미국 NIST와 캐나다 사이버보안센터(Canadian Centre for Cyber Security, CCCS)가 공동으로 운영하는 인증 프로그램으로, 암호모듈이 적절한 보안 요구사항을 충족하는지 검증하는 제도이다. 이 프로그램은 암호화 기능을 포함한 장비를 조달할 때, 연방기관이 사용할 수 있는 표준화된 보안 기준을 제공한다. 그리고 실제 개발된 구현체가 이 프로그램에서 명시한 보안 기준을 만족시키고 있는지 검증한다[15].
CMVP에서 준수하도록 지시하는 표준은 FIPS(Federal Information Processing Standard) 140번 시리즈로 현재는 140-2, 140-3 표준에 따라 검증한다. CMVP 평가는 NIST 산하의 National Volunteer Laboratory Approving Program(NVLAP)을 통해 인정된 시험 기관인 암호 및 보안 시험기관(Cryptographic and Security Testing Laboratories, CSTL)에서 수행한다. 평가가 완료된 후 CSTL은 모든 평가 결과를 CMVP 인증 기관에 전달하고 최종적으로 인증기관이 해당 평가 결과를 바탕으로 인증서 발급 여부를 결정하게 된다.
국내의 KCMVP도 유사하게 구성되어 있다. 기본적으로 국가정보원에서 제도의 전체 운영을 담당한다. 국가정보원은 암호모듈 검증 정책의 제정, 최종 인증서 발급, 결과 심의 및 최종 통보에 이르는 역할을 주로 수행한다. 실제 암호모듈에 대한 시험평가는 국가정보원에서 지정한 시험 기관에서 진행한다. 이러한 시험 기관으로는 국가보안기술연구소, 한국인터넷진흥원 등이 존재한다[16].
CMVP 및 KCMVP의 핵심 기능은 암호모듈에 승인된, 즉, 지정된 암호 알고리즘을 정확하게 구현되어 있으며, 암호화 관련 보안 모범 사례를 조직이 준수하고 있는지 보장하는 것이다. NIST는 CMVP를 통해 인증되지 않은 암호모듈의 사용은 실질적으로 정보를 보호하지 못하는 평문과 동급으로 간주한다. 또한, 국가 기관에서 사용할 시스템의 경우 CMVP로 인증되지 않은 암호모듈의 사용을 엄격히 금지하고 있다. 국내의 경우에도 공공기관에서 사용하는 암호모듈에는 KCMVP 인증이 의무화되어 있는 등 유사한 수준의 정책이 마련되어 있다[16].
3.2.2 K-RMF 내에서 KCMVP의 역할
RMF는 미국 연방 및 국방 시스템 내 민감 정보를 보호하기 위해 FIPS 평가, 즉, CMVP 평가를 거친 암호모듈의 사용을 요구한다. 특히 RMF의 선택 단계에서 활용되는 보안통제항목 카탈로그 내 평가 및 인가 관련 보안통제항목과 시스템 및 통신보호 관련 보안통제항목 등에 명시되어 있다. K-RMF의 경우에도 마찬가지로 군 무기체계에 암호모듈을 탑재하기 위해선 KCMVP의 평가를 필수로 획득하도록 요구한다[17]. 이러한 KCMVP가 K-RMF의 6단계 위험관리 프로세스 내에서 어떠한 역할을 수행할 수 있는지 살펴보면 아래와 같다:
- 선택(Select) 단계: 암호화, 해시, 디지털 서명 등 암호 기능을 포함하는 보안통제항목에서 KCMVP 인증 모듈의 사용 요구
- 구현(Implement) 단계: 선택된 KCMVP 인증 암호모듈을 시스템에 배치 및 구성하고, KCMVP 검증 문서[18,19,20]에 명시된 방식대로 운영
- 평가(Assess) 및 인가(Authorize) 단계: 실제 시스템에 구현된 모듈의 버전이 검증된 버전과 동일한지, 검증 문서에 명시된 대로 동작하는지 검토
- 모니터링(Monitor) 단계: 사용 중인 암호모듈의 KCMVP 인증 상태를 추적하여 인증 갱신, 구성 유지 여부를 지속적으로 점검
3.3 K-RMF와 CMMC
본 절에서는 CMMC 평가 인증 제도의 특징에 대해 간략히 설명하고, K-RMF와 CMMC 평가 인증 제도 간의 연관성을 분석한다. 이를 통해 CMMC 평가 인증이 K-RMF 내에서 어떻게 활용될 수 있는지 분석한다.
3.3.1 CMMC 개요
CMMC는 미국 DoD에서 개발한 평가 제도이다. CMMC는 국방 산업 기반(Defense Industrial Base, DIB)을 겨냥한 사이버 공격의 빈도와 정교함이 증가함에 따라 이에 대응하기 위한 목적으로 개발되었다. 이 평가 제도의 핵심 목적은 DoD의 계약 업체가 DoD의 민감 정보를 적절히 보호할 수 있는 능력이 있는지 평가하기 위함이다. DoD에서 계약 보안 관리 차원에서 보호 대상으로 지정한 민감 정보는 연방 계약 정보(Federal Contract Information, FCI), 통제 미분류 정보(Controlled Unclassified Information, CUI) 로 구별되며, 계약업체가 다루는 정보의 중요성에 따라 요구되는 CMMC 평가의 수준에도 차이가 존재한다. Fig. 1은 CMMC의 각 평가 수준에 대해 간략히 보여준다.
Fig. 1. Overview of CMMC Assessment Levels(Source: [22])
- 레벨 1 (Foundational): FCI를 보호하기 위해 기본적인 사이버 위생 관행을 수행해야 한다. FCI를 다루는 조직을 위해 설계되었다.
- 레벨 2 (Advanced): CUI를 처리하는 조직을 위해 설계된 레벨로, CUI를 보호하기 위해 보안 요구사항을 만족해야 한다.
- 레벨 3 (Expert): 최고 레벨로, 레벨 2보다 더 민감한 CUI를 처리하는 조직을 위한 것이며, 지능형 지속 위협(Advanced Persistent Threats, APTs)으로부터 보호하는 것을 목표로 한다.
CMMC 준수는 DoD 계약 수주의 필수 조건이며 레벨 1을 제외한 레벨 2, 3 인증에서는 일부 미비사항을 POA&M을 통해 일정 기간 내 개선 가능하도록 하는 유연성을 제공한다[21].
3.3.2 K-RMF 내에서 CMMC의 역할
K-RMF 및 RMF는 대한민국 국군 및 연방정부 정보시스템 전반의 위험관리를 위한 포괄적 구조를 제공하는 반면, CMMC는 DoD 계약업체의 사이버 보안 성숙도를 평가 및 인증하는 특화된 제도이다. CMMC의 보안 요구사항은 NIST SP 800-171을 기반으로 하며, NIST SP 800-171은 NIST SP 800-53의 통제 중 CUI 보호에 필수적인 항목을 간추려 만든 하위 집합이다[22,23]. 이처럼 CMMC는 RMF의 보안 통제 카탈로그에 기반하기 때문에, CMMC 인증 결과는 RMF의 통제 선정 단계에서 중요한 근거로 활용될 수 있다. 또한, 계약업체는 RMF의 보안 통제 카탈로그를 참고함으로써 CMMC 요구사항을 충족하기 위한 전략을 수립할 수 있다. 따라서, RMF와 CMMC는 상호보완적 관계를 형성하며 전반적인 사이버보안 표준을 강화한다.
앞서 설명하였듯 K-RMF는 RMF를 기반으로 국내 실정에 맞게 해석하여 개발된 제도이다. K-RMF와 RMF는 보안통제항목, 위험관리 프로세스 등의 전반적인 부분에서 유사하므로 CMMC와의 상호보완적인 관계가 K-RMF에도 적용될 수 있다. 물론, CMMC의 CUI, FCI와 같은 데이터 분류 체계는 K-RMF에 구현되어 있지 않다. 하지만, 최근 N2SF[24]와 같은 국내 가이드라인에서 정의하고 있는 데이터 분류 체계를 CMMC에 매핑하여 응용할 수 있다. 이러한 CMMC가 K-RMF의 6단계 위험관리 프로세스 내에서 어떠한 역할을 수행할 수 있는지 살펴보면 아래와 같다.
- 선택(Select) 및 구현(Implement) 단계: CMMC 인증 결과를 활용하여 해당 시스템 또는 조직이 요구하는 보안 통제들이 적절히 이행되었음을 입증 가능
- 평가(Assess) 단계: RMF는 K-RMF의 근간이 되며 보안통제항목 등에서 전반적으로 유사한 요구사항을 정의함. 그러므로 CMMC 인증을 획득한 DoD 계약업체의 시스템은 RMF의 요구사항을 만족하는 것으로 판단하고, K-RMF 평가 시 CMMC 평가 결과를 공급망 보안 준수 증거로 활용 가능
IV. RMF와 타 보안성 평가 인증 제도의 평가 증거물의 통합적 접근 방법
본 장에서는 상기 3장의 K-RMF와 타 사이버보안 평가 인증 표준의 연관성을 바탕으로 호혜성 원칙에 따른 평가 증거물 재사용 방법에 대해 분석한다. 앞서 1장에서 언급한 것과 같이 NIST SP 800-37 및 NIST SP 800-53, DoD RMF 지침문서 등에 따르면 K-RMF의 근간이 되는 RMF에서는 호혜성을 강조한다[2,5,25]. 다음 4.1절에서는 K-RMF에서도 이러한 호혜성을 만족시키기 위해 K-RMF 보안통제항목과 타 보안성 평가 표준의 요구사항 간 연관 관계를 먼저 분석한다. 그리고 4.2절에서는 3장과 4.1절의 내용을 종합하여 타 보안성 평가 표준에서 요구되는 평가 증거물의 K-RMF 내 재사용 방안에 대해 제안한다.
4.1 RMF 보안통제항목과 타 보안성 평가 표준의 요구사항간 연관성 분석
본 세부 절에서는 앞서 3장에서 언급했던 것과 같이 K-RMF 보안통제항목과 국내용 CC, KCMVP, CMMC의 연관성을 분석한다. Table 2는 K-RMF 보안통제항목과 국내용 CC의 요구사항을, Table 3은 K-RMF 보안통제항목과 CMMC의 요구사항을 매핑한 표이다.
Table 2. Correlation of K-RMF Security Control and CC Requirements
Table 3. Correlation of K-RMF Security Control and CMMC Requirements
먼저, NIST에서는 이전 버전 보안통제항목인 SP 800-53 Rev.4와 CC의 요구사항 간 매핑표를 제공한다. K-RMF의 경우 해당 Rev.4 버전을 기준으로 개발되었기에 해당 매핑을 충분히 활용할 수 있다. RMF의 Rev.4 보안통제항목과 CC의 요구사항 매핑표에 따르면 177개의 Rev.4 버전 보안통제항목과 195개의 CC 요구사항이 연관성을 가진다. 예를 들어, CC 요구사항 중 ASE_REQ.1의 경우, 보안 목표 명세서 내 보안요구사항의 정합성, 추적성, 일관성을 보장하기 위한 요구사항을 가리킨다. 이는 RMF 보안통제항목 중 '계획(Planning)' 패밀리에 속하는 PL-2 'System Security Plan'과 연관성을 가진다.
PL-2은 조직이 시스템 보안 계획(System Security Plan, SSP)을 작성·유지·보호·검토·배포하는데 필요한 요건을 제시한다. 두 요구사항 모두 "보안 요구사항의 정의 및 관리"를 다룬다는 점에서 연관성을 띤다. 해당 PL-2의 경우 K-RMF에는 보안통제항목으로 정의되어 있지 않다. 대신 K-RMF 지시의 본문에 시스템 보안 계획과 동일한 문서인 보안 계획서 작성에 대해 템플릿을 비롯하여 상세히 설명하고 있다.
다음으로, K-RMF 보안통제항목과 KCMVP의 요구사항간 연관성을 분석한 결과를 설명한다. KCMVP와 연관된 K-RMF 보안통제항목은 KCMVP의 검증 대상인 암호모듈과 직접적인 연관이 있는 항목으로 총 10개이다.
KS X ISO/IEC 19790 표준에서는 암호모듈에 접근하는 사람의 신원과 역할을 항상 확인하는 인증절차가 갖춰져 있을 것을 보안 요구사항으로 명시하고 있다. 이는 K-RMF 보안통제항목 중 '식별 및 인증(Identification and Authentication)' 패밀리에 속하는 IA-6(암호모듈 인증)과 연관성을 가진다. IA-6에 의하면 암호모듈을 사용할 때 관련 법규, 규정, 정책에 적합한 암호모듈 인증 메커니즘을 구현해야 한다. 두 요구사항은 암호화 모듈에 인증 메커니즘을 구현하도록 한다는 점에서 연관성을 가진다.
마지막으로, RMF 보안통제항목과 CMMC의 요구사항 간 연관성을 분석한 결과를 설명한다. CMMC의 경우 위에서 언급한 것과 같이 미 DoD에서 운영하는 제도이므로 K-RMF와 직접적인 연관은 없다. 하지만, K-RMF는 미 DoD 및 NIST RMF를 바탕으로 만들어졌으며, 요구사항 등이 매우 유사하기에 미국의 RMF와 CMMC 간 연관성 분석 결과를 K-RMF에 적용해도 무방하다. 이에 본 논문에서는 K-RMF 대신 그 근간인 RMF와 CMMC 간의 연관성 분석으로 대체한다. K-RMF와 RMF는 매우 닮아있다. 그러므로 RMF와 CMMC의 분석 내용에 기반하여 이후 4.2절에서 CMMC 평가 증거물의 K-RMF 내 재사용 방안을 충분히 보일 수 있다.
RMF 보안통제항목과 CMMC의 요구사항 간 연관성을 분석한 결과, 총 142개의 보안통제항목과 97개의 800-171 rev.3 기준 CMMC 요구사항이 연관성을 가진다. CMMC의 레벨 2 요구사항 중 3.02.01은 관리자, 시스템 관리자 및 사용자가 자신의 업무와 관련된 보안 위험과 시스템 보안 정책, 표준, 절차를 인지하도록 하는 것이다. 이는 RMF 보안통제항목 중 '인식 및 훈련(Awareness and Training)' 패밀리에 속하는 AT-2(보안 인식 훈련) 항목과 직접적으로 관련되어 있다. 두 요구사항 모두 조직 내 모든 구성원이 사이버 보안에 대한 책임과 인식을 갖추도록 한다는 점에서 상호 보완적인 관계에 있다.
하지만, CMMC 평가 증거물을 재사용하고자 할 때는 CMMC와 RMF가 탄생한 배경과 사용 목적에 대한 근본적 차이점에 주의해야 한다. 앞서 3.3.1절에서 설명한 것과 같이 CMMC는 계약자(클라우드 서비스 제공자 등)가 DoD를 비롯한 미 연방정부의 데이터를 적절히 다룰 수 있는지 평가하는 제도이다. 즉, 계약업체의 사이버보안 성숙도를 사전에 평가하여 공급망 위험을 관리하기 위해 마련된 제도이다. CMMC 또한 데이터의 중요도에 따라 평가 수준을 3개로 나누고 있으나, DoD에서 외부 공유 가능한 데이터인 FCI, CUI 만을 대상으로 한다[21]. 하지만, K-RMF 및 RMF는 외부 공유가 불가능한 기밀 데이터를 처리하기 위한 무기체계 등을 획득하기 위한 제도이다. 그러므로, CMMC 평가 증거물을 K-RMF 보안통제항목에 대한 달성 근거로 활용하고자 할 경우에는 위 Table 3과 같은 매핑을 바탕으로 CMMC 평가 증거물의 내용이 군이 요구한 K-RMF 보안통제항목 상세 파라미터 등을 충분히 달성하였는지 점검할 필요가 있다.
다음 4.2절에서는 앞서 3장과 본 4.1절의 내용을 바탕으로 타 보안성 평가 표준의 평가 증거물의 RMF에서의 재활용 방안에 관해 설명한다.
4.2 타 보안성 평가 표준 평가 증거물의 K-RMF 내 재활용 방안
K-RMF를 적용하는 조직, 즉, 군에서는 각 단계를 거쳐감에 따라 해당 단계의 활동을 적절히 수행했음을 증명할 수 있는 산출물을 도출해야 한다. 미국의 RMF에서는 이러한 산출물을 군에서 작성할 것을 기본으로 지정하고 있다. 다만, 보안통제항목의 구현 상세 지침 등과 같이 기술적인 부분에 대해서는 방산업체에서 작성하거나 군에서 작성하는데 충분한 도움을 주도록 명시되어 있다[25]. K-RMF에서는 보안계획서에 대해 방사청이 총괄하고 연구개발주관기관, 즉, 국방과학연구소와 소요제기기관, 즉, 군에서 작성하도록 지시하고 있다. Fig. 2는 앞서 1장에서 설명한 K-RMF의 위험관리 프로세스에서 도출되어야 하는 산출물을 간략히 보여준다.
Fig. 2. Overview of Key Deliverables in the K-RMF Risk Management Process
기본적으로 K-RMF에서는 개발업체, 즉, 방산업체는 산출물 작성에 참여하지 않는다. 하지만, K-RMF에 명시된 주요 산출물 작성 기관인 소요제기기관 및 연구개발주관기관은 기술적인 세부 사항을 모두 파악하는데 한계가 있을 수 있다. 이에 미국의 RMF에서는 앞서 언급한 것처럼 방산업체에서 일부 작성하는 등 충분한 도움을 주도록 지시하고 있다.
본 논문에서는 Fig. 2에 명시된 산출물 중 RMF에 따라 방산업체가 작성에 참여하는 산출물인 보안 계획서(Security Plan, SP), 보안통제 구현 지침(Security Technical Implementation Guide, STIG), 후속조치 계획서(Plan of Action and Milestones, POA&M)에 초점을 맞추어 설명한다. 먼저, 각 산출물의 정의를 설명하고, 이들을 작성할 때 활용할 수 있는 타 보안 인증제도의 증거물과 활용 방안에 대해 설명한다.
먼저 보안 계획서란 보안통제항목 선정 단계의 산출물로, 시스템의 보안 요구사항에 대한 개요를 제공하고 이러한 요구사항을 충족하기 위해 시행 중이거나 계획된 보안통제항목을 설명하는 공식 문서이다[1,3]. 다음으로 보안통제 구현 지침이란 보안통제 항목 구현 단계의 산출물로, 특정 정보체계 및 버전에 대한 보안 관련 기술적 가이드 문서이다[26]. 미국의 RMF와 다르게 K-RMF에는 해당 산출물이 명시되어 있지 않다. 하지만, 보안통제항목 평가, 무기체계 인가 및 운용 단계에서 이러한 상세 구현 지침이 존재하지 않으면 보안통제의 올바른 구현을 보장할 수 없다. 이에 본 논문에서는 RMF에 따라 보안통제 상세 구현 지침을 주요 산출물로 추가하여 설명한다. 마지막으로 후속조치 계획서란 보안통제항목 평가 단계의 산출물로, 보안평가 결과 미흡한 시스템 보안상 발견된 취약점이나 미흡한 통제에 대해 후속 조치 방안, 예정된 완료 날짜 등을 결정하여 기록한 문서이다[1,3].
위 세 개의 문서는 타 보안 인증제도의 증거물을 활용하여 전체 또는 일부가 작성될 수 있다. 본 절의 세부 항에서는 국내용 CC, KCMVP, CMMC 순으로 증거물이 어떻게 활용될 수 있는지 설명한다. 국내용 CC의 경우, 평가가 시스템의 설계 및 구현 단계에서부터 보안 요구사항을 검증하는 방식으로 수행되므로, K-RMF 주요 산출물의 항목별로 CC 증거물을 직접적으로 대응시켜 활용할 수 있다. 그러나 KCMVP와 CMMC는, 각각 암호모듈 단위 또는 공급망 보안에서 보안 요건을 검증하는 평가 체계이기 때문에, K-RMF 주요 산출물과 직접적인 대응이 어렵다. 따라서, 두 개의 보안 인증제도는 참고할 수 있는 문서와 내용을 중심으로 활용 방안을 제시한다.
4.2.1 국내용 Common Criteria (CC)
본 항에서는 국내용 CC 평가 증거물을 K-RMF에서 활용하는 방안에 관해 설명한다. 먼저, 보안 계획서 작성 시 사용될 수 있는 CC 증거물을 설명한다. 보안 계획서에는 크게 대상 시스템에 대한 설명과 요구되는 보안 요구사항이 포함되며, 이는 CC 증거물 중 생명 주기 정의 문서, 기능 명세서, 보안 목표명세서, 보안 구조 설명서를 활용하여 작성될 수 있다. K-RMF에서는 보안 계획서 템플릿을 제공하고 있다[1]. Fig. 3은 해당 보안 계획서 템플릿의 각 항목에 CC 증거물을 활용하는 방안을 보여준다.
Fig. 3. Mapping between the Security Plan Template and CC Evidence Documents
생명주기 정의 문서의 ALC_LCD 보안 요구사항은 개발 대상 체계의 설계, 구현, 유지보수에 사용되는 절차를 요구한다. 이러한 개발 및 유지 프로세스 정보는 보안 계획서의 보안통제항목 구현계획에 활용될 수 있다. 보안목표명세서는 개발 대상 체계에 적용된 보안 기능 요구사항을 제시하는 ASE_REQ의 내용을 포함하며, 해당 보안 기능 요구사항은 보안 계획서의 보안통제항목 부분에 활용할 수 있다. 보안 구조 설명서에는 ADV_ARC 보안 요구사항을 증명하기 위한 시스템 전체 구조 및 신뢰 경계 등 보안 아키텍처 설명이 포함된다. 보안 계획서 작성자는 해당 내용이 보안 계획서의 시스템 설명 부분에 포함되어 있는지 점검함으로써 보안 계획서의 완성도를 높일 수 있다.
다음으로 STIG 작성 시 CC 평가 증거물의 활용방안을 설명한다. STIG에는 '점검 항목', 'Discussion', '점검 방법(Check Text)', '조치 방법(Fix Text)'이 포함된다. 점검 항목에는 해당 시스템 또는 구성요소가 충족해야 하는 보안 요구사항이 기술되며, 보안 설정 또는 구성 기준을 구체적으로 제시한다. Discussion은 해당 점검 항목의 목적과 배경, 보안상 중요성을 설명하여 관리적·기술적 취지를 이해할 수 있도록 한다. Check Text는 시스템이 점검 항목을 만족하는지의 여부를 확인하기 위한 구체적인 검사 절차나 명령어, 검증 방법을 기술한다. 마지막으로 Fix Text는 점검 결과 위반 사항이 발견된 경우, 이를 수정하거나 완화하기 위한 단계별 조치 방법을 제시한다. 위 내용들은 CC 증거물 중 보안목표명세서, 시험서, 기능 명세서, 사용자 운영 설명서, 절차 지침서를 참조하여 작성될 수 있다. Fig. 4는 STIG의 각 항목에 CC 증거물을 어떻게 활용할 수 있는지를 보여준다.
Fig. 4. Mapping between the STIG and CC Evidence Documents
추가로 국내 KISA에서는 주요정보통신기반시설 기술적 취약점 분석 평가 상세 가이드[27]와 같은 가이드 문서를 제공하고 있다. 해당 가이드에는 유닉스, 윈도우즈, 네트워크 장비 등 각종 소프트웨어 제품군에 관해 알려진 주요 취약점과 이에 대한 점검 방법, 수정 조치 방법 등이 상세히 기술되어 있다. 이러한 가이드 내용을 바탕으로 조직은 STIG 내 Check Text 및 Fix Text 등을 기술적으로 상세히 작성할 수 있다.
시험서의 ATE_FUN 보안 요구사항은 보안기능이 설계상 의도한 대로 동작하는지를 확인하기 위한 시험 결과를 요구한다. 이를 활용하여 STIG Rule의 'Check Text' 내 판단 기준이 제대로 작성되었는지 확인할 수 있다. 사용자 운영 설명서는 개발 대상 체계가 안전한 환경에서 실행될 수 있도록 필요한 절차와 지침을 명시할 것을 요구하는 AGD_OPE의 내용을 포함한다. 한편, 절차 지침서의 경우, 보안 요구사항 중 개발 대상 체계가 올바르게 설치되기 위한 절차와 기타 지침을 명시할 것을 요구하는 AGD_PRE의 내용을 포함한다. 이러한 안전한 설치 및 운영 절차와 지침을 바탕으로 STIG Rule의 'Fix Text'에 사용자가 제품을 안전하게 설치할 수 있도록 안내한 내용이 포함되어 있는지 점검할 수 있으며, 결과적으로 정확성 높은 STIG를 작성할 수 있다.
마지막으로 후속조치 계획서 작성 시, CC 증거물 활용 방법을 설명한다. 후속조치 계획서에는 시스템 보안상 발견된 취약점 또는 미흡한 통제, 해당 항목의 평가 내용(미흡한 점), 개선 조치 계획, 일정, 진척 상황 등의 내용이 기록된다. 후속조치 계획서는 CC 증거물 중 형상 관리 문서, 시험서, 생명 주기 문서, 결함 대응 절차 문서를 참조하여 작성될 수 있으며 Fig. 5는 K-RMF 내 후속조치 계획서의 각 항목에 CC 증거물을 활용하는 방안을 보여준다.
Fig. 5. Mapping between the POA&M and CC Evidence Documents
시험서는 앞서 언급한 ATE_FUN 결과와 함께, 시험이 실제 구현된 체계에서 수행되었음을 보이는 ATE_DPT 보안 요구사항을 포함한다. 후속조치 계획서에서는 이러한 시험서의 내용을 활용하여 미비점을 작성할 수 있다. 그리고, 결함 대응 절차 문서에 기술되어야 하는 보안 요구사항 중 ALC_FLR은 발생될 수 있는 보안 결함을 식별하고, 대응하는데 필요한 모든 절차를 요구한다. 이러한 결함 대응 절차 문서에서 확인된 보안 결함에 대한 식별 및 수정 방안, 조치와 상태를 후속조치 계획서 내 조치 내용과 상태에 기술할 수 있다.
4.2.2 Korean Cryptographic Module Validation Program (KCMVP)
KCMVP 인증을 받기 위해 제출해야 하는 증거물은 기본 및 상세설계서, 형상관리문서, 시험서의 3가지이다[28]. 먼저, 기본 및 상세설계서는 소프트웨어 암호모듈로서 갖추어야 할 보안요구사항, 암호 모듈의 아키텍처 및 인터페이스 등을 체계적으로 기술한 설계 문서이다. 다음으로, 형상관리문서는 암호모듈에 대한 설계서, 소스코드, 버전을 식별하여 관리하기 위한 문서이다. 마지막으로, 시험서는 암호모듈 내부에 구현된 보안 기능이 정상적으로 동작하는지 검증하기 위한 시험 계획, 절차 및 결과를 기술한 문서이다. 한편, K-RMF 보안통제항목 중 암호모듈의 구현에 관한 요구사항은 총 9개이다. 따라서, 이러한 암호 관련 요구사항에 대한 평가 증거물로 KCMVP 평가 증거물을 활용할 수 있다.
보안 계획서 내에 암호모듈 설계 세부 사항, 운영 환경을 작성할 때에는 기본 및 상세설계서와 형상관리문서를 활용할 수 있다. 그리고, STIG 내에 점검항목과 점검 방법을 작성할 때 시험서의 시험 절차 및 예상 시험 결과를 활용할 수 있다.
4.2.3 Cybersecurity Maturity Model Certification (CMMC)
CMMC를 인증받기 위해 제출해야 하는 증거물은 시스템 보안 계획서 (System Security Plan, SSP), 후속조치 계획서 (POA&M), 증빙 자료(Supporting Evidence)로 구성된다. 이외에도 필요한 추가적인 증빙 자료로 정책 및 절차서, 보안 교육 자료, 각종 보안 계획서, 시스템 및 데이터 흐름도 등이 존재한다[29,30]. 먼저, 시스템 보안 계획서는 조직이 CUI를 보호하기 위해 서비스를 제공하는 정보시스템에 구현한 보안통제항목과 운영 현황을 상세히 기술한 문서이다. 후속조치 계획서는 시스템 보안 계획서 내에서 미비하거나 부분적으로만 구현된 통제항목에 대해 향후 개선 계획을 수립한 문서이다. 증빙 자료는 시스템 보안 계획서에 기술된 내용이 실제로 운영되고 있음을 입증하는 보조 증거로서 다음과 같은 문서 유형으로 구성된다. 첫 번째로, 정책 및 절차서는 조직의 보안 관리체계를 제도적으로 규정한 자료이다. 다음으로, 보안 교육 자료는 직원 및 관리자를 대상으로 한 보안 인식 제고 및 기술 교육의 수행 사실을 입증한 자료이다. 계획 문서는 조직이 보안사고, 구성 변경, 비상 상황 등과 같은 상황에 대해 사전에 수립한 실행 계획을 가리킨다. 마지막으로, 시스템·네트워크·데이터 흐름도는 시스템 경계 및 데이터의 흐름을 시각적으로 표현한 문서로, 평가자로 하여금 CUI가 어떤 경로로 저장, 처리, 전송되는지를 명확히 파악할 수 있도록 돕는다.
K-RMF에서는 보안 계획서 내 보안통제항목 작성 시, 상기에서 설명한 CMMC의 증거물인 각종 정책 및 절차서, 보안 교육 자료, 보안 계획서를 참고하여 해당 통제의 구현 근거를 보완할 수 있다. 단, CMMC의 평가 증거물을 K-RMF에서 재활용하고자 할 경우에는 앞서 4.1절에서 설명한 것과 같이 RMF와 CMMC의 평가 관점에서 차이점을 유의해야 한다.
V. 결론
본 연구는 K-RMF 산출물 작성 과정에서 국내용 CC, KCMVP, CMMC의 평가 및 인증 증거물을 재활용할 수 있는 방안을 제시한다. 이를 위해 각 보안성 평가 표준의 목적과 평가 범위, 증거물을 분석하고, RMF 보안통제항목과의 연관성을 도출하였다. 그리고 각 보안성 평가 증거물을 K-RMF의 주요 산출물인 보안 계획서, 보안통제 구현 지침, 후속조치 계획서 작성에 활용하는 방안을 제시하였다. CC의 평가 증거물은 보안 계획서, 보안통제 구현 지침, 후속조치 계획서 작성의 기술적 근거로, KCMVP의 증거물은 보안 계획서 및 보안통제 구현 지침 내 암호 관련 보안통제항목 작성의 준거 근거로, 마지막으로 CMMC의 증거물은 보안 계획서 작성 시 관리적 통제 구현 근거를 보완하는 참고 자료로 활용될 수 있다.
미국의 RMF에서는 평가에 필요한 자원과 노력을 최소화하기 위해 CMVP, CC 국제 표준 등과의 호혜성을 강조한다. 그리고, 이러한 호혜성에 따라 연방정부 내 각 조직이 적절한 조치를 취하고 있는지 조사하는 등 다양한 노력을 기울이고 있다. K-RMF의 경우 미국의 RMF를 바탕으로 개발되었으나 호혜성과 관련한 연구는 수행되지 않았다. 이 경우 동일한 제품에 대해 동일한 평가를 여러 번 중복해서 받는 등 낭비의 문제가 발생할 수 있다. 본 연구는 이러한 문제를 해결하기 위해 호혜성 원칙에 입각하여 기존 국내 및 군 분야에서 요구되는 다양한 평가 및 인증 체계의 증거물의 K-RMF 평가 시 재활용 방법을 제시하였다.
최근 자연어를 이해하고 분석하고 생성하는 인공지능 영역에 관한 연구와 도구가 활발히 공개되고 있다. 본 연구의 분석 결과와 이러한 인공지능 연구를 결합하여 향후에는 증거물의 자동 추출 및 산출물 생성 지원 도구를 개발한다면, 단순히 호혜성 원칙을 달성하는 데에서 더 나아가 더욱 효과적인 비용 및 노력의 절감을 기대할 수 있을 것이다.
VI. 부록
본 연구에서 제시하는 K-RMF 보안통제항목과 타 평가 기준 요구사항 간 매핑의 전체 내용은 다음 Github에서 확인할 수 있다. https://github.com/cks4386/Reciprocity-of-K-RMF
참고문헌
- Ministry of National Defense, "National Defense Cybersecurity Risk Management Instruction," Administrative Rule No. 2025-8, National Law Information Center, Feb. 2025.
- Department of Defense, "The DOD cyber strategy," Apr. 2015.
- Joint Task Force, "Risk management framework for information systems and organizations: A system life cycle approach for security and privacy," NIST SP 800-37 Rev. 2, Dec. 2018.
- National Institute of Standards and Technology, "Standards for security categorization of federal information and information systems," FIPS 199, Feb. 2004.
- Joint Task Force, "Security and privacy controls for information systems and organizations," NIST SP 800-53 Rev. 5, Sep. 2020.
- M. Greene, "National industrial security program information systems authorization: A case study," Ph.D. Thesis, Purdue University, Jan. 2025.
- J.Y. Hwang and H.J. Kwon, "A research on RC3(RMF-CMMC common compliance) meta-model development in preparation for defense cybersecurity," Journal of Internet Computing and Services, 25(1), pp. 123-136, Feb. 2024. https://doi.org/10.7472/JKSII.2024.25.1.123
- J. Paula Jr. and T. Shives, "Enhancing cybersecurity through a revised risk management framework," Proceedings of the 20th International Conference on Cyber Warfare and Security, pp. 393-399, Mar. 2025.
- DoD Office of Inspector General, "Audit of the DoD's use of cybersecurity reciprocity within the risk management framework process," DODIG-2022-041, Jan. 2022.
- DoD Chief Information Officer, "Cybersecurity reciprocity playbook," Department of Defense, Mar. 2024.
- Kwang-Woo Lee, Jin-Woo Park, Min-Seok Kim, Woo-Seok Choi, "Trends in ISO/IEC International Standardization of CC Evaluation and Certification Technology," Review of the Korea Institute of Information Security and Cryptology, 31(4), pp. 45-53, Aug. 2021.
- Common Criteria, "Common methodology for information technology security evaluation," CCMB-2017-04-004 Version 3.1 Revision 5, Apr. 2017.
- Sung-Yong Cha, "A Study on Methods to Strengthen Cybersecurity in the Acquisition and Operation of Advanced Weapon Systems," Ph.D. Dissertation, Korea University, Aug. 2019.
- Common Criteria Recognition Arrangement, "Arrangement on the recognition of common criteria certificates in the field of IT security," Sep. 2014.
- National Institute of Standards and Technology, "Security requirements for cryptographic modules," FIPS140-3, Mar. 2019.
- National Security Research Institute,"Cryptographic Module Validation," https://www.ncsc.go.kr/PageLink.do?link=forward:/PageContent.do&menuNo=060000&subMenuNo=060100&thirdMenuNo=, Accessed Nov. 8, 2025.
- Defense Counterintelligence Command, "List of K-RMF Security Controls," Jun. 2024.
- National Intelligence Service, "Guidelines for Cryptographic Module Testing and Validation," Jun. 2025.
- Korean Agency for Technology and Standards, Ministry of Trade, Industry and Energy, "Information technology - Security techniques - Security requirements for cryptographic modules," KS X ISO/IEC 19790:2015, Aug. 2015.
- Korean Agency for Technology and Standards, Ministry of Trade, Industry and Energy, "Information technology - Security techniques - Test requirements for cryptographic modules," KS X ISO/IEC 24759:2015, Aug. 2015.
- Department of Defense Chief Information Officer, "Cybersecurity maturity model certification overview," Aug. 2025.
- Office of the Under Secretaryof Defense for Acquisition and Sustainment, "Cybersecurity maturity model certification (CMMC) model overview," Version 2.0, U.S. Department of Defense, Dec. 2021.
- R. Ross, V. Pillitteri, K. Dempsey, M. Riddle, and G. Guissanie, "Protecting controlled unclassified information in nonfederal systems and organizations," NIST SP 800-171 Rev. 2, Feb. 2020.
- National Intelligence Service, National Security Research Institute, "Security Guidelines for National Network Security System," Sep. 2025.
- U.S. Department of Defense, "DoD program manager's guidebook for integrating the cybersecurity risk management framework (RMF) into the system acquisition lifecycle," Version 1.0, Office of the Under Secretary of Defense for Acquisition and Technology, Sep. 2015.
- U.S. Department of Defense, "Cybersecurity," DoDI 8500.01, Office of the DoD Chief Information Officer, Oct. 2019.
- Korea Internet & Security Agency, Ministry of Science and ICT, "Detailed Guide to Technical Vulnerability Analysis and Evaluation of Critical Information Infrastructure," Mar. 2021.
- Korea Internet & Security Agency, Ministry of Science and ICT, National Intelligence Service, "Guide for Writing Cryptographic Module Submissions," Aug. 2022.
- Cybersecurity Maturity Model Certification Accreditation Body, "CMMC assessment process (CAP)," Version 2.0, Dec. 2024.
- Department of Defense Chief Information Officer, "CMMC assessment guide – level 2, version 2.13," DoD-CIO-00003, Sep. 2024.