Instituting Cyber Resilience in the US Nuclear Command Control Communications (NC3) Systems = 미국 핵 지휘 통제 시스템 (NC3)의 사이버 회복 탄력성 강화방안에 관한 연구

국문 초록 (Abstract)

미국 핵 지휘 통제(Nuclear Command, Control, and Communications, NC3) 시스템은 핵공격을 탐지하고 정책결정자들 간에 협의 및 조정을 하며, 인증된 핵 사용 명령을 전달할 수 있도록 하는 보안 네트워크로서, 미국의 전략적 핵 억지력과 글로벌 핵 안정성을 지탱하는 핵심 적 기반이다. 그러나 냉전 시기에 구축된 NC3 시스템이 기존의 아날로그 방식으로부터 디지털 네트워크 기반의 플랫폼으로 전환함에 따라 NC3 시스템의 취약성이 확대되었으며, 그 결과 허위 경보의 발동, 명령 체계의 혼란과 지연, 비인가된 작동 등 다양한 사이버 위험에 노출되고 있다. 사이버 보안이 결코 완벽할 수 없다는 점에서, 사이버 공격을 당한 이후에 신속하게 사이버 회복탄력성(cyber resilience)을 확보하는 것은 미국 NC3 시스템의 안전성을 유지하는 데 필수적인 요소라고 볼 수 있다.

이러한 배경 하에서, 본 논문은 사이버 회복탄력성 생애주기(cyber-resilience life cycle)에 관한 이론에 기초하여 미국 NC3 시스템의 실태와 문제점을 분석하고, 이를 토대로 NC3 시스템을 강화하기 위한 정책방안을 제시하고자 하는 것이다. 지금까지의 선행 연구들이 주로 사이버 안보의 기술적 현대화에 초점을 맞추면서 실제 사이버 회복탄력성 구현을 가능하게 하는 거버넌스 요인을 제대로 분석하지 못하고 있는 현실에서, 본 연구는 이에 대한 학문적 공백을 메우 고자 하는 것이다. 이를 위해 본 논문은 법적·제도적 체계, 행정 체계, 재정 체계, 모니터링 및 평가 체계 등으로 구성되는 거버넌스 체계가 식별(identify), 보호(protect), 탐지(detect), 대응(respond), 복구(recover) 단계 전반에 걸쳐 미국 NC3 시스템의 사이버 회복탄력성 확보에 어떠한 영향을 미치는지를 분석하였다. 이 과정에서 미국 NC3 시스템과 관련한 주요 정책자료 및 보고서, 미 의회 등의 예산 자료, 주요 법령 자료, 미국 국방부 지침, NC3 시스템과 관련된 주요 사이버 공격 사건 등 다양한 실증 자료들을 분석하였다.

본 논문의 핵심 주장은 NC3 사이버 회복탄력성의 확보는 단순한 기술적 보안 조치를 넘어서는 과제이며, 법적·행정적 권한의 정합성, 통합과 조정, 예산의 우선순위 설정, 적절한 모니터링과 평가시스템 등 통합적 거버넌스 체계를 구축하기 위한 근본적인 제도 개혁이 필요하다는 점이다. 본 연구는 NC3 거버넌스 체계와 사이버 회복탄력성의 각 단계 간의 연계를 통해, 거버넌스 역량의 제고가 사이버 공격에 대한 대응 능력에 미치는 영향을 입증하고, 이를 토대로 NC3 사이버 회복탄력성을 강화하기 위한 구체적인 정책 방안을 제시하였다. 이는 궁극적으로 불안정하고 다극화되는 국제질서 속에서, 미국 핵 억지력의 신뢰성을 확보함으로써 미국과 한국 등 미국의 주요 동맹국들의 집단 안보를 강화하는 데 기여할 것이다.

다국어 초록 (Multilingual Abstract)

The US Nuclear Command, Control, and Communications (NC3) system - the secure network enabling the President to detect attacks, confer with senior leaders, and transmit authenticated nuclear orders - forms the operational backbone of US strategic deterrence and global nuclear stability. As this Cold War-era architecture transitions from analog to digitally networked platforms, its attack surface has significantly expanded, exposing it to cyber intrusions that could generate false warnings, delay presidential directives, or trigger unauthorized actions risking nuclear escalation. Since cybersecurity is never absolute, cyber resilience - the capacity to rapidly recover from compromise- is indispensable to preserving the integrity of the US NC3 system.

This thesis examines vulnerabilities in the US NC3 system through the cyber-resilience life cycle and proposes policy measures to reinforce its cyber resilience. It addresses a critical gap in existing literature, which emphasizes technical modernization while neglecting institutional governance factors that enable cyber-resilience in practice. This thesis analyzes how the legal-institutional, administrative, budget and finance, and monitoring and evaluation systems affect the operationalization of cyber resilience across the stages of identify, protect, detect, respond, and recover. Drawing on policy analysis, congressional budget data, Department of Defense directives, and historical NC3-related cyber incidents, this thesis examines how governance systems shape and constrain US NC3 cyber resilience in practice.

The central argument is that achieving effective NC3 cyber resilience requires more than technical cybersecurity safeguards; it demands fundamental institutional reforms that align legal and administrative authorities, budgetary priorities, and oversight mechanisms into a unified governance structure with dedicated funding and continuous cross-service monitoring capable of sustaining coordinated cyber-resilience efforts across the entire US NC3 enterprise. By linking governance systems to operational functions, this research demonstrates how institutional capacity determines the system’s ability to withstand cyber intrusions and offers concrete policy recommendations to strengthen NC3 cyber resilience, thereby preserving the credibility of US nuclear deterrence and reinforcing allied collective defense in an increasingly volatile and multipolar international order.

목차 (Table of Contents)

• Table of Contents
• Ch 1. Introduction
• 1. Research Background 1
• 2. Research Purpose and Research Questions 3
• 3. General Structure of the Thesis 4
• 4. Significance of the Thesis 6
• Ch 2. Theoretical Discussion and Analytical Framework
• 1. Theoretical Discussions
• 1) Cybersecurity 8
• 2) Cyber resilience 10
• 3) The NC3 system 15
• 2. Literature Review
• 1) Literatures on governance system 28
• 2) Literatures on resilience and cyber resilience 30
• 3) Literatures on nuclear systems and cybersecurity 36
• 4) Limitations of existing literatures 40
• 3. Analytical Framework
• 1) Discussions in existing cyber resilience framework 42
• 2) Limitations of existing cyber resilience 46
• 3) Establishing the analytical framework of this thesis 48
• 4. Research Methodology
• 1) Document research 54
• 2) Qualitative thematic analysis 56
• Ch 3. Analysis of the US NC3 Foundational Governance System
• 1. Analysis of the Foundational Governance System
• 1) Legal and institutional systems 58
• 2) Administrative system 76
• 3) Finance and budget systems 91
• 4) Monitoring and evaluation system 102
• 2. Underlying Problems of the Foundational Governance System
• 1) Legal and institutional system: ambiguous authority and
• overlapping mandates 112
• 2) Administrative system: fragmented coordination 123
• 3) Finance and budget system: rigid processes and resource inflexibility 130
• 4) Monitoring and evaluation system: retrospective evaluation
• and limited feedback 141
• 3. Summary and Discussion 147
• Ch 4. Analysis of the US NC3 Operational Cyber Resilience
• 1. Analysis of the Operational Cyber Resilience
• 1) Cyber resilience stage 1: Identify 152
• 2) Cyber resilience stage 2: Protect 153
• 3) Cyber resilience stage 3: Detect 157
• 4) Cyber resilience stage 4: Respond 159
• 5) Cyber resilience stage 3: Recover 161
• 2. Underlying Problems of Operational Cyber Resilience
• 1) Stage 1- Identify: limited asset and risk visibility 165
• 2) Stage 2- Protect: constraints on preventive controls 166
• 3) Stage 3- Detect: monitoring and detection gaps 169
• 4) Stage 4- Respond: decision and coordination failures 171
• 5) Stage 5- Recover: barriers to restoration and learning 173
• 3. Summary and Discussion 175
• Ch 5. Policy Responses and Implications
• 1. Bridging NC3 Governance System with Cyber Resilience Stages 179
• 2. Compounding Constraints and Interlocking Problems 195
• 3. Policy Responses to Reinforce US NC3 Governance and Cyber Resilience 201
• 4. Implications for Governing Cyber Risk in the Digital Age 232
• 5. Implications for Nuclear Politics Surrounding the Korean Peninsula 238
• Ch 6. Conclusion
• 1. Summary and Key Findings 264
• 2. Limitations and Future Research Avenues 268
• Bibliography
• Appendices 1, 2
• Abstract in Korean