한국형 사이버보안 위험관리체계(K-RMF)가 실질적으로 작동하려면 국방부와 체계통합사(SI), 벤더사가 함께 활용할 수 있는 'K-RMF Ready' 기준과 시장 생태계를 조속히 구축해야 한다는 제언이 나왔다.
김성기 선문대학교 교수 겸 국방혁신기술보안협회 운영위원장은 'K-RMF Ready 확인제도 및 사례연구'를 주제로 K-RMF 시행 이후 산업계가 겪고 있는 현실적 문제와 대응방안을 제시했다.
올해부터 국방 획득사업 제안요청서에 K-RMF 충족 요구가 반영되면서 체계통합사는 사업에 사용하는 장비와 소프트웨어가 K-RMF 보안통제를 구현할 수 있는지 사전에 확인해야 한다. 하지만 국내에는 제품별 보안통제 구현 수준과 비용, 소요기간을 판단할 기준이 부족하다.
김 교수는 현재 가장 큰 문제를 국방부와 체계통합사, 벤더사 모두 K-RMF 적용에 필요한 적정 비용과 사업기간을 정확히 알지 못하는 점으로 꼽았다. 이 상태에서는 기업이 손실 위험을 감수하면서 사업에 참여하기 어렵고 시장경제 원리상 제도가 정상적으로 작동하기 어렵다고 지적했다.
미국은 DISA를 중심으로 CCI, SRG, STIG, SCAP, OSCAL 등 표준화된 RMF 운영체계를 갖추고 있다. 벤더가 제품별 보안통제 구현 정보를 제공하고 이를 기반으로 체계통합사와 획득기관이 RMF 업무를 자동화한다.
김 교수는 국내에서도 협회의 'K-RMF Ready 확인제도'를 활용해 벤더 제품의 준비상태를 사전에 확인하고 보안통제 구현 점검항목 수를 기반으로 시간·인력·비용을 추정할 수 있는 체계를 마련해야 한다고 제안했다.
그는 “국방부와 방산·IT 산업계가 미국 RMF 정착 과정의 시행착오를 압축해 K-RMF 운영체계와 시장 생태계를 함께 구축해야 한다”고 강조했다.
소성렬 기자 hisabisa@etnews.com
