K-RMF를 효과적으로 적용하려면 사업별로 사후 대응하기보다 무기체계 개발 프로세스 자체에 보안통제와 위험관리 절차를 내재화해야 한다는 현장 사례가 제시됐다.
서경덕 한화시스템 사이버시큐리티팀장은 'K-RMF 개발 프로세스 내재화 및 적용 현황'을 주제로 한화시스템이 추진해 온 K-RMF 시범적용과 실제 무기체계 적용 경험을 소개했다.
한화시스템은 K-RMF 시행 이전인 2022년부터 국방부와 방위사업청, 방첩사 등 유관기관과 협력해 K-RMF 시범적용과 기술지원을 수행했다. 2025년부터는 최초 K-RMF 적용 사업인 '연합지휘통제체계(AKJCCS) 성능개량 체계개발'을 진행하고 있다.
시스템 보안분류 단계에서는 체계 운용개념과 요구사항, 운용환경 등을 종합적으로 분석하고 보안통제항목 선정 단계에서는 무기체계 개발 산출물과 NIST RMF, 산학연구를 결합해 자체 보안계획서 서식과 작성 가이드를 구축했다.
보안통제 구현 단계에서는 전사 프로세스와 연계한 보안통제항목 DB를 만들고 선행 사례를 기반으로 재료비·노무비·경비 등 적용 예상 비용을 자동 산출하는 도구도 개발했다.
또 설계부터 제작·시험평가·양산·납품·운용까지 보안 요구사항이 누락되지 않도록 전 수명주기 STIG 프로세스를 내재화하고 SBOM 기반 소프트웨어 공급망 보안체계도 추진하고 있다.
제로트러스트 분야에서는 약 230개의 관련 보안통제항목을 식별해 사용자·단말·네트워크 등 분야별 대응기술과 매핑했다.
서 팀장은 “K-RMF를 개별 사업의 대응업무가 아니라 무기체계 개발 전 과정의 기술 거버넌스로 정착시키는 것이 중요하다”고 강조했다.
이경민 기자 kmlee@etnews.com
