194. CMMC (Cybersecurity Maturity Model Certification)

핵심 인사이트

본질: CMMC (Cybersecurity Maturity Model Certification, 사이버보안 성숙도 모델 인증)는 미 국방부(DoD, Department of Defense)가 방산 공급망의 CUI (Controlled Unclassified Information, 통제 비분류 정보) 보호를 위해 도입한 의무 인증 제도로, 계약 참여의 필수 요건이다.

가치: CMMC 2.0은 Level 1~3의 3단계로 단순화되어 중소 방산업체의 부담을 줄이면서도, Level 3(고급)에서는 NIST SP 800-172 기준의 고도화된 사이버 방어 역량을 요구한다.

판단 포인트: 기술사 답안에서는 "CMMC 2.0 레벨 구조 → NIST SP 800-171 연계 → C3PAO (Certified Third-Party Assessor Organization) 평가 체계 → 한국 방산업체 영향"을 논리적으로 전개해야 한다.

Ⅰ. 개요 및 필요성

미 국방부(DoD)는 약 30만 개의 방산 공급망(DIB, Defense Industrial Base) 업체와 계약을 맺고 있으며, 이들 중 많은 기업이 CUI (통제 비분류 정보)를 취급한다. 사이버 침해로 CUI가 유출될 경우 군사 전략 노출, 첨단 무기 기술 탈취 등 국가 안보에 직접적 위협이 된다.

기존에는 DFARS (Defense Federal Acquisition Regulation Supplement, 국방 연방조달규정 보충) 252.204-7012 조항에 따라 자체 평가 방식으로 NIST SP (Special Publication) 800-171 준수를 선언했으나, 자체 평가의 신뢰성 문제가 제기되었다. CMMC 1.0이 2020년 도입되고, 2022년 CMMC 2.0으로 개정되어 규정 구조를 단순화하고 제3자 평가(C3PAO) 체계를 강화하였다.

한국 방산업체도 미국 국방부와 직접 계약하거나 1차 협력업체(Prime Contractor)의 공급망에 포함되는 경우 CMMC 인증이 계약 요건으로 요구될 수 있다. K-방산 수출 확대 추세에 따라 CMMC 대응 역량은 한국 방산업계의 핵심 경쟁력이 되고 있다.

📢 섹션 요약 비유: CMMC는 방위산업 입찰 허가증처럼 — 일정 수준의 사이버보안 능력을 증명하지 못하면 미 국방부 계약에 아예 참여할 수 없다.

Ⅱ. 아키텍처 및 핵심 원리

CMMC 2.0 3단계 구조

┌──────────────────────────────────────────────────────────────────┐
│                CMMC 2.0 성숙도 레벨 구조                          │
├──────────────────────────────────────────────────────────────────┤
│                                                                   │
│  ┌────────────────────────────────────────────────────────────┐  │
│  │  Level 3 — Expert (전문)                                   │  │
│  │  기준: NIST SP 800-171 + NIST SP 800-172 (110+개 관행)    │  │
│  │  평가: 미 국방부(DoD) 주도 정부 평가                       │  │
│  │  대상: 극비 CUI 취급, 핵·미사일 등 최고 민감 계약         │  │
│  │  빈도: 3년 주기 + 연간 자체 평가                          │  │
│  └────────────────────────────────────────────────────────────┘  │
│                           ▲                                       │
│  ┌────────────────────────────────────────────────────────────┐  │
│  │  Level 2 — Advanced (고급)                                 │  │
│  │  기준: NIST SP 800-171 전체 110개 관행                     │  │
│  │  평가: C3PAO (제3자 인증 평가 기관)                        │  │
│  │  대상: CUI 취급 일반 방산 계약 (대다수 해당)               │  │
│  │  빈도: 3년 주기 제3자 평가 또는 연간 자체 평가            │  │
│  └────────────────────────────────────────────────────────────┘  │
│                           ▲                                       │
│  ┌────────────────────────────────────────────────────────────┐  │
│  │  Level 1 — Foundational (기초)                             │  │
│  │  기준: FAR (Federal Acquisition Regulation) 52.204-21     │  │
│  │        기본 17개 관행                                       │  │
│  │  평가: 연간 자체 평가 (Self-Assessment)                    │  │
│  │  대상: FCI (Federal Contract Information) 취급 기업        │  │
│  └────────────────────────────────────────────────────────────┘  │
└──────────────────────────────────────────────────────────────────┘

NIST SP 800-171 14개 도메인 (Level 2 핵심 기준)

도메인	한국어명	관행 수
Access Control (AC)	접근 통제	22
Awareness and Training (AT)	인식 제고 및 훈련	3
Audit and Accountability (AU)	감사 및 책임	9
Configuration Management (CM)	구성 관리	9
Identification and Authentication (IA)	식별 및 인증	11
Incident Response (IR)	사고 대응	3
Maintenance (MA)	유지보수	6
Media Protection (MP)	미디어 보호	9
Personnel Security (PS)	인사 보안	2
Physical Protection (PE)	물리적 보호	6
Risk Assessment (RA)	위험 평가	3
Security Assessment (CA)	보안 평가	4
System and Communications Protection (SC)	시스템 및 통신 보호	16
System and Information Integrity (SI)	시스템 및 정보 무결성	7
합계		110

📢 섹션 요약 비유: NIST SP 800-171은 방산 공장의 보안 체크리스트다 — 110가지 안전 규칙 모두를 증명해야 고급 부품을 미군에 납품할 수 있다.

Ⅲ. 비교 및 연결

구분	CMMC 1.0	CMMC 2.0
레벨 수	5단계 (1~5)	3단계 (1~3)
평가 방식	모든 레벨 제3자 평가	Level 1: 자체 평가, Level 2/3: 제3자 또는 정부 평가
기준 표준	CMMC 자체 관행 171개	NIST SP 800-171 (Level 2), 800-172 (Level 3)
도입 시기	2020년	2022년 (규칙 확정 2024년 예상)
비용 부담	높음 (중소기업 부담 과다 지적)	완화 (Level 1 자체 평가 허용)
계약 요건	DFARS 조항에 연계	DFARS 252.204-7021 조항 신설

CMMC vs ISO 27001 비교

구분	CMMC 2.0	ISO/IEC 27001
목적	미 국방 공급망 CUI 보호	정보보안 관리체계 일반 인증
적용 범위	DoD 계약 업체	전 산업 자발적
법적 강제성	계약 필수 요건	자율 인증
평가 기관	C3PAO / DoD 정부	인정된 인증 기관(CB)
상호 인정	일부 매핑 존재	CMMC 준비에 활용 가능

📢 섹션 요약 비유: CMMC는 군납 허가증이고 ISO 27001은 일반 보안 우수 기업 인증이다 — 군납을 하려면 반드시 CMMC가 있어야 하지만, ISO 27001만으로는 불충분하다.

Ⅳ. 실무 적용 및 기술사 판단

한국 방산업체 CMMC 대응 로드맵
① 현황 진단(GAP Analysis): NIST SP 800-171 110개 관행 대비 현재 구현 수준 자체 평가를 수행하고 SPRS (Supplier Performance Risk System, 공급업체 성과 위험 시스템) 점수를 산출한다.
② POA&M (Plan of Action & Milestones) 수립: 미이행 관행에 대한 이행 계획과 일정을 문서화한다.
③ 우선 이행: 고위험 미이행 항목(MFA 미적용, 암호화 미적용, 로그 관리 부재 등)부터 순차 이행한다.
④ SSP (System Security Plan) 작성: CUI를 처리하는 모든 시스템의 보안 계획서를 작성한다.
⑤ C3PAO 선정: CMMC-AB (CMMC Accreditation Body) 등록 C3PAO를 선정하여 Level 2 평가를 신청한다.

기술사 답안 포인트
"CUI 범위 정의 → NIST SP 800-171 GAP 분석 → SSP·POA&M 문서 준비 → C3PAO 평가 → 계약 요건 충족"의 6단계 대응 프레임워크로 답안을 구성하면 체계적으로 보인다.

📢 섹션 요약 비유: CMMC 준비는 운전면허 취득 과정과 같다 — 필기(문서화)와 실기(기술 이행)를 모두 통과해야 면허증(인증서)을 받아 도로(DoD 계약)를 달릴 수 있다.

Ⅴ. 기대효과 및 결론

CMMC 인증은 단순한 규정 준수를 넘어 방산업체의 사이버보안 역량을 실질적으로 향상시키는 효과가 있다. 110개 NIST 관행을 이행하는 과정에서 취약점 관리, 사고 대응, 접근 통제 체계가 고도화된다. 또한 CMMC 인증은 민간 사이버보안 역량 강화로도 이어져 기업 전체의 보안 수준을 높인다.

미래 방향으로는 CMMC 요건이 NATO (North Atlantic Treaty Organization) 회원국 방산 공급망에도 확산될 가능성이 있으며, 한국-미국 방위 협력 강화에 따라 한국 방산업체의 CMMC 대응 역량이 수출 경쟁력의 핵심 지표가 될 것이다. K-CMMC(한국형 방산 사이버보안 인증) 도입 논의도 진행 중이다.

📢 섹션 요약 비유: CMMC는 방산업체의 사이버보안 여권이다 — 이 여권이 없으면 미국 방위 시장에 입국(계약 참여)할 수 없고, 등급이 높을수록 더 많은 기밀 프로젝트를 맡을 수 있다.

📌 관련 개념 맵

개념	설명	연관 키워드
CMMC 2.0	DoD 방산 공급망 사이버보안 인증 3단계 체계	Level 1/2/3, C3PAO
NIST SP 800-171	CUI 보호를 위한 110개 보안 관행 표준	14개 도메인, SSP
CUI	통제 비분류 정보 — 기밀은 아니지만 보호 필요	DFARS, DIB
C3PAO	CMMC-AB 인정 제3자 평가 기관	Level 2 평가, 독립성
SSP	시스템 보안 계획서 — CMMC 핵심 문서	POA&M, GAP Analysis

👶 어린이를 위한 3줄 비유 설명

CMMC는 미국 군대 물건을 납품하려면 꼭 받아야 하는 '보안 우수 마크'로, 사이버 공격으로부터 군사 비밀을 지킬 능력이 있는지 확인하는 거예요.
레벨이 높을수록 더 중요한 비밀을 다룰 수 있어요 — 마치 경비원도 1급, 2급, 3급 자격증이 따로 있는 것처럼요.
한국 방산 회사들도 미국 군대와 거래하려면 CMMC 인증을 받아야 하기 때문에, 지금부터 열심히 준비해야 해요.