방위산업 협력업체 보안 통제모델 연구 = A Study of Defense Contractor Security Control Model

국문 초록 (Abstract)

본 연구는 방위산업 협력업체의 정보 자산 보호와 보안 관리 체계 강화를 목표로, 방위산업 협력업체 보안 통제모델을 새롭게 도출하여 보안 통제 요소들의 내용 타당도를 심층적으로 분석하였다. 방위산업 협력업체는 국가의 핵심 기술과 기밀 정보를 다루고 있어 철저한 보안 통제가 요구되며, 특히 방위산업 기술의 유출 및 손실 방지를 위한 보안 인증 체계가 필수적이다. 본 연구에서는 미국 국방부가 제안한 CMMC (Cybersecurity Maturity Model Certification) 모델을 국내 방위산업 환경에 적합하게 조정하고, 이를 토대로 협력업체가 준수해야 할 구체적인 보안 기준을 제시하였다.
이를 위해 전문가를 대상으로 델파이 조사를 진행하여 방위산업 협력업체 보안 통제 요소들의 중요도를 평가하였으며, 데이터 분석 결과 방위산업 협력업체 보안 통제 모델의 통제 요소들은 방위산업 보안 관리 체계 전반에 걸쳐 고르게 높은 내용 타당도를 나타냈다. 구체적으로, '정책 수립 및 범위 설정', '조직 구성 및 책임 지정', '정보 자산 관리', '물리 보안', '직무 기준 및 역할', '교육 및 인식 제고', '보안 조치', '사고 대응 체계 구축', '보안 감사', '인증 및 권한 관리', '시스템 보안 관리' 등의 다양한 항목이 핵심 보안 요소로서 높은 중요도를 보였다. 이러한 요소들은 방위산업 협력업체의 보안 수준을 종합적으로 강화할 수 있는 중요한 기초로 작용하며, 각 요소가 특정 영역에 집중되지 않고 보안 관리의 다양한 측면에서 고르게 분포하고 있다는 점에서 방위산업 보안 통제 모델의 균형 있는 구성의 중요성을 강조한다.
이러한 결과는 방위산업 협력업체 보안 통제모델이 방위산업의 다양한 보안 요구사항을 전방위적으로 충족할 수 있는 기틀을 마련했음을 시사한다. 그리고 이를 통해 협력업체가 국가적 보안 요건을 준수하고 기술 보호를 효과적으로 실현할 수 있는 근거를 제공한다.
본 연구는 도출된 방위산업 협력업체 보안 통제모델을 방위산업 협력업체에 맞춤화된 보안 통제모델로 제안함으로써, 국내 방위산업의 보안 관리 체계를 강화하고 CMMC 국제 표준을 충족하는 한국형 보안통제 모델 체계를 구축하는 데 기여하고자 한다. 향후, 본 연구를 토대로 방위산업 보안 통제모델의 실효성을 검증하고, 실무에 적용할 수 있는 보안 통제 방안을 구체화하는 후속 연구가 필요하다.

다국어 초록 (Multilingual Abstract)

This study aims to protect the information assets of defense contractors and strengthen their security management system by deriving a new security control model and analyzing the content validity of security control elements in depth. As defense contractors deal with national core technologies and confidential information, strict security controls are required, and in particular, a security certification system is essential to prevent leakage and loss of defense industry technologies. In this study, we adapted the CMMC model proposed by the U.S. Department of Defense to the domestic defense industry environment and proposed specific security standards for suppliers to comply with.
To this end, a Delphi survey was conducted among experts to assess the importance of key security control elements of the security control model, and the data analysis showed that the security control elements of the security control model have high content validity across the entire defense industry security management system. Specifically, a number of key security elements, including “policy formulation and scoping,” “organizational structure and assignment of responsibilities,” “information asset management,” “physical security,” “job standards and roles,” “training and awareness,” “security measures,” “incident response,” “security auditing,” “authentication and privilege management,” and “system security management,” were found to be of high importance. These elements provide an important basis for comprehensively strengthening the security level of defense contractors, and the fact that they are evenly distributed across various aspects of security management, rather than concentrated in a specific area, underscores the importance of a balanced defense security control model.
These results suggest that the security control model has laid the foundation for meeting the various security requirements of the defense industry in an all-round way, which provides a basis for suppliers to comply with national security requirements and effectively realize technology protection.
By proposing the derived security control model as a security control model tailored to defense industry suppliers, this study aims to contribute to strengthening the security management system of the domestic defense industry and building a system that meets the CMMC international standard. In the future, follow-up studies are needed to verify the effectiveness of the defense industry security model based on this study and to specify security control measures that can be applied in practice.

목차 (Table of Contents)

• 그림 목차 ⅳ
• 표 목차 ⅴ
• 국문초록 ⅶ
• 제 1 장 서 론 1
• 제 1 절 연구배경 및 목적 1
• 1. 연구배경 1
• 2. 연구목적 3
• 제 2 절 연구의 범위 및 방법 5
• 제 3 절 논문구성 7
• 제 2 장 이론적 배경 9
• 제 1 절 방위산업과 방위산업 보안 9
• 1. 방위산업 9
• 2. 방위산업 보안 10
• 가. 방위산업 보안의 특성 11
• 나. 방위산업 침해 유형과 사례 12
• 1) 인력에 의한 기술 유출 사례 12
• 2) 정보시스템 해킹에 의한 기술 유출 13
• 3) 정보통신시스템 사용 부주의 및 보안성 검토 미흡에 의한 기술 유출 14
• 다. 방위산업 침해에 대한 대응 15
• 제 2 절 방위산업 보안 통제모델 선행연구 16
• 1. CMMC(Cybersecurity Maturity Model Certification) 16
• 가. CMMC Level. 1 프랙티스 19
• 나. CMMC Level. 2 프랙티스 20
• 2. 통합실태조사 27
• 제 3 장 연구방법 및 설계 31
• 제 1 절 델파이 기법 31
• 제 2 절 연구 설계 35
• 1. 사전설문지 구성 36
• 가. 전문가 패널 구성 및 선정 기준 36
• 나. 사전 설문지 구성 단계 37
• 2. 델파이 패널 구성 및 조사 38
• 3. 델파이 조사 결과 분석 40
• 제 4 장 방위산업 협력업체 보안 통제모델 41
• 제 1 절 방위산업 협력업체 보안 통제모델 델파이 조사 결과 41
• 1. 제1차 델파이 조사 결과 41
• 2. 제2차 델파이 조사 결과 60
• 가. 상위계층 요소에 대한 2차 델파이 결과 분석 61
• 나. 중위계층 요소에 대한 2차 델파이 결과 분석 61
• 다.‘정책 및 절차’내 하위계층 요소에 대한 2차 델파이 결과 분석 63
• 라.‘기술 관리 및 식별’내 하위계층 요소에 대한 2차 델파이 결과 분석 64
• 마.‘인력 관리 및 교육’내 하위계층 요소에 대한 2차 델파이 결과 분석 65
• 바.‘보안조치 및 심의회운영’내 하위계층 요소에 대한 2차 델파이 결과 분석 66
• 사.‘사고 대응 및 감사’내 하위계층 요소에 대한 2차 델파이 결과 분석 67
• 아.‘정보통신 보안’내 하위계층 요소에 대한 2차 델파이 결과 분석 68
• 3. 제3차 델파이 조사 결과 70
• 가.‘정책 및 절차’내 하위계층 요소에 대한 3차 델파이 결과 분석 71
• 나.‘기술 관리 및 식별’내 하위계층 요소에 대한 3차 델파이 결과 분석 72
• 다.‘인력 관리 및 교육’내 하위계층 요소에 대한 3차 델파이 결과 분석 73
• 라.‘보안조치 및 심의회운영’내 하위계층 요소에 대한 차 델파이 결과 분석 74
• 마.‘사고 대응 및 감사’내 하위계층 요소에 대한 3차 델파이 결과 분석 75
• 바.‘정보통신 보안’내 하위계층 요소에 대한 3차 델파이 결과 분석 76
• 제 2 절 방위산업 협력업체 보안 통제모델 도출 77
• 1. 상위계층 요소에 관한 범위와 세부 설명 80
• 2. 중위계층 요소의 범위 및 세부 설명 80
• 3.‘정책 및 절차’의 하위계층 요소 81
• 4.‘기술 관리 및 식별’의 하위계층 요소 82
• 5.‘인력 관리 및 교육’의 하위계층 요소 83
• 6.‘보안 조치 및 심의회 운영’의 하위계층 요소 85
• 7.‘사고 대응 및 감사’의 하위계층 요소 85
• 8.‘정보통신 보안’의 하위계층 요소 86
• 제 3 절 CMMC 2.0 프랙티스 와 방위산업 협력업체 보안 통제모델 평가항목 비교 88
• 제 5 장 결론 94
• 제 1 절 요약 94
• 제 2 절 논의 및 연구 시사점 95
• 1. 논의 95
• 가. 보안 통제모델의 영역 96
• 나. 보안 통제모델의 핵심요소 96
• 다. 방위산업 협력업체 보안 통제모델과 통합실태조사의 비교 98
• 라. 한국형 CMMC Level. 1.5 제안 98
• 2. 연구 시사점 99
• 제 3 절 한계점 및 향후 연구 100
• 참 고 문 헌 101
• 부 록 108
• Abstract 162