[공학저널 김하늬 기자] 최근 국방 분야를 중심으로 ‘위험관리 프레임워크(RMF)’가 사이버보안 수준 향상을 위한 핵심 방법론으로 부각되고 있다.
RMF(Risk Management Framework)는 국방 분야에 도입되는 각종 체계를 기획 단계부터 도입-폐기까지 전 단계 보안위험을 관리하는 제도로, 각 체계의 안정적 운용으로 군의 작전 성공과 장병의 생명을 지키는 것을 목표로 개발됐다. 美국립표준기술연구소(NIST)에서 최초로 개발한 연방 정부 지침으로, 위험식별·평가·완화·모니터링 등 위험관리에 대한 표준 및 절차를 규정하고 있다.
기존 군에 도입되는 각종 체계의 보안 안전성을 담보하기 위한 체계 개발 시 보안대책은 체크리스트 방식의 검토와 보안측정이 시행돼 왔다. 이와 관련해 미국은 지난 2019년부터 체크리스트 방식(Q&A)의 보안제도의 한계를 인식하고, 위험평가 및 인가방식(A&A)인 NIST RMF를 전면 적용하기 시작했다.
이에 한국 국방부 또한 RMF 적용의 필요성을 느껴 ‘한국형 보안제도 TF’를 구성하고, 우리 군 환경에 부합한 한국형 RMF(K-RMF)를 개발하기 시작해 2026년 전면 적용을 목표로 제도 완비에 박차를 가하고 있다.
이와 관련해 한국정보보호학회 ‘위험관리(RMF) 연구회’ 또한 RMF 전면 적용·확대와 기술개발, 표준 연구, 전문인력 양성 등 산·학·연·군의 병행 연구 및 논의를 위한 기회의 장을 마련하고 있다.
위험관리연구회 위원장을 맡고 있는 아주대학교 사이버보안학과 곽진 교수(사진)는 “AI 기술 등 첨단기술의 적용으로 발생하고 있는 새로운 보안 공격을 예방하기 위해서 RMF는 필수적인 요소로 손꼽히고 있다”며 “군의 보안제도를 바꾸는데 그치지 않고, 다양한 산업 분야에도 RMF를 전파해 보안제도의 진일보를 모색할 수 있는 한국형 사이버보안 체계 구축이 필요하다”고 말했다.
이를 위해 연구회는 현재 새로운 보안제도 적용의 기틀 마련에 힘쓰고 있다. 기존 보안제도와의 연계 연구와 산·학·연·군과 토론 및 워크숍을 개최하고 있으며, 보안제도 수행을 위한 인력 확보에도 나서고 있다.
뿐만 아니라 제도 고도화를 위한 연구를 추진하기 위해 제도 적용 간 필요사항 연구사업을 수행 중이며, 미국의 RMF 분석을 통해 국내에서 제도화할 수 있는 방향으로의 연구 수행 및 RMF 단계별 제도 세분화 작업을 수행하고 있다.
곽 교수는 “K-RMF를 통해 국내 사정에 맞는 위험관리 체계가 잘 구축된다면, 국내 보안 기업들은 새로운 기회가 생길 것으로 전망된다”며 “국내 보안시장에 알맞은 체계 구축을 통해 국내기업들이 글로벌기업들과 경쟁했을 때 충분한 경쟁력을 가져갈 수 있도록 체계 구축과 더불어 관련 기술연구도 꾸준히 수행해 나가야 할 것”이라고 설명했다.
최근 연구회는 이러한 새로운 보안제도에 대한 공감대를 형성하기 위해 RMF 분야와 보안평가 분야 국내외 최신 동향과 정보를 공유할 수 있는 자리를 마련했다.
위험관리 연구회와 보안평가연구회(위원장 손경호, 강원대 AI융합학과 교수)가 공동 개최한 ‘2023 KIISC 위험관리 및 보안평가 워크숍’은 국방 분야뿐만 아니라 공공·민간분야 전반에 걸쳐 사이버보안 체계의 안전성과 신뢰성 확보를 위해 가장 중요한 RMF 체계와 보안·안전성 평가기술의 설계와 구축, 운용과 활용에 대한 최신 동향과 전문적인 지식의 공유를 통해 안전한 사이버보안 환경 조성을 주제로 개최됐다.
특히 위험관리 분야뿐만 아니라 보안·안전성 평가의 핵심 전문가들과 실제 평가·인증 담당자 약 450여 명이 온·오프라인으로 참석한 가운데 해당 분야의 최신 동향 및 기술에 대해 전문적이고 심도 있게 다루는 세션들로 구성돼 전문가와의 교류를 통한 새로운 인사이트 발굴에도 기여했다는 평가를 받고 있다.
곽 교수는 “위험관리 연구회는 향후에도 꾸준히 다양한 관계자들과의 교류의 장을 마련해 나갈 예정”이라며 “현재 참여하고 있는 K-RMF 관련 연구를 체계적으로 수행해나가면서 이러한 체계를 활용할 미래 전문인력 양성에도 힘쓸 계획”이라고 전했다.
