두산 디지털이노베이션BU, 미국 방산 CMMC 컨설팅 자격 취득

두산 디지털이노베이션BU(DDI)는 미국 국방부의 사이버보안 성숙도 모델 인증(CMMC) 준비를 지원할 수 있는 공식 컨설팅 기관 자격을 취득했다고 30일 밝혔다.

DDI는 CMMC 인정기구인 사이버 AB(The Cyber AB)로부터 등록 실무자 기관(RPO) 자격을 받았다. RPO는 CMMC 인증을 준비하는 기업에 보안 요구사항 적용과 평가 준비 등을 자문하는 기관이다. 직접 CMMC 인증 평가를 수행하는 기관과는 구분된다. 사이버 AB에 따르면 RPO는 등록 실무자(RP)를 두고 CMMC 준비를 위한 비인증 컨설팅 서비스를 제공할 수 있다.

CMMC는 미국 국방부 공급망에 참여하는 기업의 사이버보안 수준을 평가하는 제도다. 계약 과정에서 연방계약정보(FCI)나 통제비분류정보(CUI)를 처리·저장·전송하는 시스템에는 계약에서 요구하는 CMMC 수준을 충족해야 한다. CUI는 기밀정보로 분류되지는 않지만 법률이나 정부 정책에 따라 보호가 필요한 정보를 뜻한다.

미국 국방부는 CMMC를 단계적으로 계약에 적용하고 있다. 다만 2026년 7월에는 당초 같은 해 11월 10일부터 시작할 예정이던 2단계 적용을 중단하고 제도를 재검토하기로 했다. 1단계에서 요구하는 자체평가 요건은 유지되고 있다.

DDI는 CMMC 등록 실무자(RP·RPA) 자격을 보유한 컨설턴트와 IT 인프라 운영 경험을 활용해 국내 방산기업의 인증 준비를 지원할 계획이다. CMMC 요구사항 진단부터 보안체계 구축·개선, 평가 증적 준비, 전문 평가기관과 연계한 제3자 평가 대응까지 제공한다.

컨설팅이 끝난 뒤 기업이 자체적으로 보안 수준을 점검하고 관리할 수 있도록 사후 관리도 지원한다. DDI는 RPO 자격 취득 과정에서 중앙대학교 산업보안학과와 보안대학원과 함께 CMMC 컨설팅 방법론을 개발했다. 방법론은 평가 범위 정의, 보안 요구사항 진단과 격차 분석, 보안 통제 구현, 증적 확보와 모의평가, CMMC 평가 대응과 사후 관리 단계로 구성했다.

이정환 DDI 전무는 “미국 방산 공급망에 참여하려는 국내 기업에 CMMC는 꾸준히 준비해야 할 보안 기준”이라며 “기업별 업무 환경과 보안 수준을 정확히 진단해 준비 과제를 구체적으로 제시하고 기업이 인증 이후에도 자체적으로 보안 수준을 관리할 수 있는 역량을 갖추도록 지원하겠다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network