CMMC 레벨 1 실무 가이드 (보안 요구사항 해설부터 심사 증거 수집까지)

이민재

이책의지은이이민재는미국로체스터공과대학교(RochesterInstituteofTechnology)에서응용수학을전공하고,미국뉴욕대학교(NewYorkUniversity)에서정보시스템감리학석사학위를받았으며,숭실대학교에서CMMI(CapabilityMaturityModelIntegration)연구로소프트웨어공학박사학위를취득했다.
CMMI관련다수의저서와논문을집필했으며,국내80여개기업에대한CMMI프로세스개선컨설팅과인증심사경험을바탕으로국가사이버안보역량강화를위한사이버보안모델연구에매진하고있다.
2015년10월,제9회아시아·태평양시스템엔지니어링콘퍼런스(APCOSE)에서사이버보안성숙도모델설계방안을다룬논문“AStudyonDesigningCyberSecurityMaturityModel”을발표했다.이후국내여러콘퍼런스와세미나를통해사이버보안에대한관심을촉구했으나당시에는큰주목을받지못했다.그럼에도굴하지않고사이버보안의중요성을알리는노력을이어갔으며,2017년3월에는‘군사논단’에“사이버戰위협과국가대응태세”를게재하기도했다.
현재는CMMC인증기관인TheCyberAB공인CMMC전문가(CCP/RPA)로활동하며,국내여러기관과기업을대상으로CMMC자문및컨설팅을수행하고있다.또한저서발간,교육,세미나발표,전문지기고등다양한방식으로자신의지식과경험을산업계에전파하는데힘쓰고있다.
주요저서로는『CMMC이해:사이버역량강화를위한접근방법』,『CMMI3.0:가상환경,개발,공급자,데이터,보안,서비스,안전,인력』,『CMMIV2.0개발해설서:현장에서길어올린사례중심의이야기』가있으며,번역서로『CMMI의이해:프로세스개선을위한접근방법』이있다.
이외에도저자가설립한사회적경제조직‘재미난청춘세상(www.funYouth.org)’을소개한『재미난청춘세상:미생이상생하여,완생이되는세상』이있다.이책은더나은세상을만들기위해우리가진정으로추구해야할가치가무엇인지를되새기게한다.

머리말004
감사의글008
프롤로그:CMMC레벨1,함께만들어가는보안의첫걸음015

PART1CMMC,왜이해해야하는가?

1장방산사이버보안환경의변화020
1.1.제5의공간,사이버020
1.2.글로벌위협환경022
1.3.방산공급망보안의부상023
1.4.한국방산기업이직면한현실024

2장CMMC의탄생배경과목적026
2.1.DFARS252.204-7012의한계026
2.2.자체평가의실패027
2.3.CMMC의목적과철학028

PART2CMMC제도한눈에이해하기

3장CMMC제도이해032
3.1.제도개요및구조032
3.2.레벨별구조와비교034
3.3.연방계약정보와통제필요정보037
3.4.계약적용방식043
3.5.허위청구법046

4장CMMC생태계052
4.1.기관별역할설명052
4.2.기업내부역할058

PART3CMMC레벨1완전해부

5장CMMC레벨1의본질062
5.1.레벨1의철학과목표062
5.2.연방계약정보상세설명064
5.3.FAR52.204-21해석066

6장레벨1보안요구사항전체구조069
6.1.15개보안요구사항개요069
6.2.도메인별구조로이해하는레벨1071
6.3.오해및주의사항082

PART4CMMC레벨1구현방법

7장적용범위설정086
7.1.시스템경계정의086
7.2.연방계약정보흐름분석092
7.3.외주및클라우드환경고려사항096

8장레벨1구현접근법099
8.1.정책,절차,증거의관계100
8.2.최소구현전략104
8.3.중소기업의현실적접근106

9장보안요구사항별구현가이드109
9.1.접근통제111
9.2.신원확인및인증147
9.3.미디어보호167
9.4.물리적보호176
9.5.시스템및통신보호194
9.6.시스템및정보무결성213

PART5CMMC레벨1실무사례

10장기업유형별사례248
10.1.왜레벨1에‘실무사례’가중요한가?248
10.2.소규모협력사249
10.3.제조중심기업255
10.4.외부IT활용기업262
10.5.국내기업레벨1구현사례269

11장현장문제및해결법284
11.1.흔히하는오해세가지284
11.2.문서vs.운영287
11.3.기존인증과의충돌291
11.4.심사실패사례298

PART6CMMC레벨1심사준비

12장심사방법이해308
12.1.자체심사방법308
12.2.심사원이보는심사포인트322
12.3.이행증거전략324

13장심사대응체크리스트329
13.1.사전점검표329
13.2.사전점검이행가이드336
13.3.실전인터뷰대응전략337
13.4.현장대응요령345

PART7CMMC이후를준비하며

14장레벨1이후전략348
14.1.레벨1과레벨2의본질적차이348
14.2.단계적준비전략351

15장한국방산기업을위한제언355
15.1.인증중심사고의한계355
15.2.CMMC의전략적활용357

에필로그:기본을지키는조직은흔들리지않는다361

부록1.연방조달규정조항52.204-21363
부록2.정책서,절차서및관련양식366
부록3.CMMC레벨1자체심사템플릿380
부록4.SPRS등록지침383
부록5.자주묻는질문392
부록6.용어정의410
부록7.두문자어및약어450
부록8.참고문헌459

사이버보안은이제기업의신뢰와생존을좌우하는핵심역량이되었다.특히미국방산공급망과연결된기업이라면CMMC(CybersecurityMaturityModelCertification)에대한이해가필수가되고있다.『CMMC레벨1실무가이드』는이러한변화속에서국내방산기업과협력사가반드시알아야할CMMC레벨1의구조와핵심개념을실무중심으로정리한안내서다.

이책의가장큰특징은“어떻게통과할것인가”보다“어떤상태가되어야하는가”에초점을맞춘점이다.저자는오랜CMMI연구와방산·보안컨설팅경험을바탕으로정책·절차·증거의관계,시스템경계설정,심사대응전략등을실제운영관점에서풀어낸다.또한국내기업이자주겪는오해와실패사례를함께다루며현장에서바로적용할수있는방향을제시한다.

특히중소협력사와제조기업등다양한기업유형별사례를수록해실무활용도를높였다.심사원이실제로무엇을확인하는지,기업이어떤준비를해야하는지를구체적으로설명하며현실적인대응방법을제안한다.부록에담긴자체심사템플릿과정책서·절차서예시역시실무에바로활용할수있도록구성되었다.

『CMMC레벨1실무가이드』는단순히인증취득만을목표로하는책이아니다.조직의기본보안체계를바로세우고,변화하는글로벌방산보안환경속에서지속가능한운영기반을마련하도록돕는실질적인지침서다.미국방산시장진출을준비하는기업과공급망보안체계를강화하려는조직모두에게든든한길잡이가되어줄것이다.