• 정보보호학회논문지
• /
• 제32권6호
• /
• pp.1183-1192
• /
• 2022

정보 및 정보를 생산, 처리, 폐기하는 시스템은 정보의 총수명주기에 걸쳐 일정수준의 보안이 유지되어야 한다. 일정수준의 보안을 유지하기 위해 소프트웨어 및 자동차 개발, 미국 연방정부 정보체계 등 시스템 수명주기의 보안관리 프로세스를 적용하고 있으나, 우리나라에는 이와 유사한 보안관리 프로세스가 전무한 실정이다. 본 논문에서는 국방 분야 정보 및 정보 처리시스템의 총수명주기에 걸쳐 일정수준의 보안을 유지하기 위한 한국형 보안위험관리 프레임워크를 제안한다. 국방 분야에 적용할 수 있는 한국형 보안위험관리 프레임워크의 개발 목적과 적용방안을 소개함으로써 향후 국방 보안업무가 나가야 할 방향을 제시하고 보안 패러다임의 전환을 유도하고자 한다

• 인터넷정보학회논문지
• /
• 제22권6호
• /
• pp.83-89
• /
• 2021

RMF(사이버보안 위험관리 프레임워크)는 지금 현재 국방영역을 넘어 미 연방정부 전체에 통용되는 보다 강화된 미 국방 사이버보안 프레임워크이다. 최근 십여년 간 미국이 접한 비정규전에 있어 사이버전이 차지하는 비율, 특히 중국과 북한으로부터 유발된 사이버공격 비중은 점점 더 증대되고 있다. 결국 미국은 범정부 차원의 보다 강화된 사이버보안 정책을 마련하고자 RMF체계를 새롭게 구축중이며, 미 국방부는 연방정부차원을 넘어 동맹국 간에도 미 국방 RMF평가 정책을 확대해 나가고자 한다. 이미 한국군도 F-35A 획득 시 RMF 적용방침을 통보한 미측 요구로 RMF를 적용한 바 있다. 한국군의 RMF적용은 더 이상 피할 수 없는 대세이다. 이제 우리군은 성공적인 한국형 RMF체계 조기 구축을 위해 무엇을 준비해야 하는지 진지하게 고민해야 할 시점이다.

• 정보보호학회논문지
• /
• 제33권5호
• /
• pp.827-846
• /
• 2023

외부와 연결되지 않고 독립적으로 운용되던 무기체계에 최근 네트워크 통신, 센서와 같은 다양한 정보기술이 접목되기 시작하였다. 이는 무기체계 운용자 및 지휘관의 신속하고 정확한 결심과 효과적인 무기체계 운용을 가능하게 한다. 하지만, 무기체계의 사이버 영역 활용이 증가함에 따라 사이버 공격에 의한 피해도 증가할것으로 예상된다. 안전한 무기체계를 개발하기 위해서는 소프트웨어 개발 단계 중 요구사항 도출 단계에서부터 보안적 요소를 고려하는 보안 내재화를 구현하는 것이 필요하다. 미 DoD는 '사이버보안(cybersecurity)' 개념의 도입과 함께 무기체계평가 및 획득 프로세스인 RMF A&A를 시행하고 있으며, 우리나라도 K-RMF 제도 시행을 위한 노력을 지속하고 있다. 하지만, 아직까지 개발 단계에서부터 K-RMF를 적용한 사례는 존재하지 않을뿐더러 미국의 국방 RMF 관련한 자료는 기밀 사항이기에 대부분 공개되지 않는다. 본 연구에서는 RMF와 관련하여 공개된 자료와 체계적인 위협분석 방법을 바탕으로 우리나라의 국방용 RMF인 K-RMF를 예측하여 무기체계의 보안 통제항목을 구축하는 방안에 대해 제안하고, 함정 전투체계에 적용함으로써 그 효용성을 입증한다.

• 정보보호학회논문지
• /
• 제31권4호
• /
• pp.817-839
• /
• 2021

소프트웨어를 안전하게 관리하기 위해 군은 RMF A&A(Risk Management Framework Assessment & Authorization) 표준에 따라 제품을 구매하고 관리한다. 해당 표준은 무기체계를 비롯한 군 IT 제품의 획득 체계에 관한 표준으로 제품에 대한 요구사항, 평가를 통한 구매, 유지보수를 다룬다. 해당 표준에 따르면 제품 개발활동에는 군에서 제시한 임무의 위험도가 반영되어야 한다. 즉, 개발사는 보안 내재화 및 공급망 보안을 통해 제시된 위험도를 완화하였고, RMF A&A의 보안 요구사항을 제대로 준수하였음을 입증하는 자료를 제출해야하고, 군에서는 개발사로부터 제출된 증거자료에 대한 평가를 통해 최종 획득 여부를 결정한다. 기존에 RMF A&A 실증 연구가 수행된 사례가 있다. 하지만, 해당 연구는 RMF A&A의 전체 단계가 아닌 일부분에 대해서만 다루고 있고, 해당 연구의 실증 사례가 대외비인 관계로 상세한 정보가 공개되지 않아 실제 산업 환경에 적용하는데 어려움이 있다. 이에 본 논문에서는 군의 위험도 측정 및 RMF A&A 관련 표준들을 분석하고, 이를 바탕으로 군 RMF A&A의 요구사항을 만족시킬 수 있는 증거자료 작성방안에 대해 제시한다. 또한, 제시한 방안을 실제 드론 시스템에 적용하여 작성된 평가 제출물이 RMF A&A의 요구사항에 부합한지 검증을 수행한다.

• 정보보호학회논문지
• /
• 제32권2호
• /
• pp.279-287
• /
• 2022

최근 사이버 위협이 고도화되고 해킹기술이 발달함에 따라 자동차, 선박 등 다양한 분야에서 사이버보안이 강조되고 있다. 이러한 추세에 따라 여러 산업 분야에서 기자재 및 시스템에 대한 사이버보안을 요구하고 있으며, 이에 관련된 인증 및 제도가 구체화 되고 있다. 본 논문에서는 산업 분야의 사이버보안 형식승인이 RMF와 같이 명시적으로 개발 단계별로 구분하지는 않으나, 시스템 개발 전주기에 사이버보안 요소가 반영되어야 한다는 공통요소가 있다는 전제하에 RMF와 비교하였다. 비교 대상으로 해상 사이버보안 형식승인을 선정하였으며, 이는 공식적인 사이버보안 형식승인의 예로 국내 유일의 국제 선박검사 기관인 한국선급의 형식승인을 예로 비교한 것이지 산업 분야의 사이버보안 형식승인을 대표한다는 의미는 아니다. 비교 결과 해상 사이버보안 형식승인 획득 절차는 RMF와 같이 개발 단계별로 구분하지 않지만, RMF와 같이 개발 전단계에 대해 사이버보안 요소 적용해야 하는 절차상의 공통점과 단계별 결과물에 대한 유사성을 확인하였다. 이에 따라 해상 사이버보안 형식승인 획득과정을 통해 개발된 시스템은 개발 전주기에 사이버보안 요소가 적용되었다고 판단할 수 있는 가능성을 확인하였다.

• 정보보호학회논문지
• /
• 제29권6호
• /
• pp.1463-1475
• /
• 2019

현대의 첨단 무기 체계는 과거와 달리 복잡하고 많은 구성품들이 결합되어 하나의 무기체계를 형성한다. 또한, 하드웨어가 주 구성이었던 과거와 달리 소프트웨어 비중이 매년 증가하고 있어 무기체계의 보안 보증 활동이 과거보다 더 어려워지고 있다. 미국은 1960년대부터 자신들이 개발하는 무기체계의 보안을 보증하기 위해 연구를 진행해왔다. 이 연구 결과는 미국 내부 표준으로 만들어졌고 정기적으로 업데이트 되었으며 현재는 RMF로 적용되고 있다. 국내에서는 미국의 RMF를 기반으로 2010년경부터 연구 활동을 해왔다. 그러나 미국 내 RMF 적용 실 사례는 기밀로 분류해 얻을 수 없고, 국내에서도 공식적인 적용사례는 없다. 본 논문에서는 지금까지 연구된 한국형 RMF 연구를 활용하여 최근 개발된 실제 무기체계에 적용해 본다. 그리하여 RMF를 적용할 수 있는 상세 가이드라인을 제시한다.

• 인터넷정보학회논문지
• /
• 제25권1호
• /
• pp.123-136
• /
• 2024

사이버보안 정책을 선도하는 미 국방부의 사이버보안 제도는 크게 2가지 방식으로 대외 군납업체 보안인증을 위한 CMMC와 내부기관대상 보안평가를 위한 RMF가 있다. 우리 군의 경우, 2026년부터 한국형 RMF(K-RMF)를 적용할 예정이다. 더불어 미 국방부가 발주하는 사업에 참여하는 국내 방산업체들은 2025년 10월전까지 CMMC인증을 사전 취득해야 하는 입장에 있다. 본 논문에서는 CMMC와 RMF 보안감사 준비업무를 동시에 지원할 수 있는 새로운 표준 컴플라이언스 메타모델(R3C) 개발방법론과 R3C메타모델을 기초로 한 컴플라이언스 솔루션 구현 결과물에 대해 소개하고 있다. 본 연구는 2022년 이후 국방부 합동참모본부 주관 한/미 국방 사이버보안 업무지원 자동화 솔루션 개발프로젝트를 수행하면서 얻은 미 국방 사이버보안 제도에 대한 실무 노하우를 토대로 진행되었다. 개발된 컴플라이언스 솔루션기능은 한/미 연합모의훈련 실무에 활용되고 있다. 본 연구를 통해 개발된 컴플라이언스 솔루션은 민간에도 제공할 예정이며, CMMC인증을 취득해야 하는 국내 방산업체에게 매우 유용하리라 예상한다.

• 융합보안논문지
• /
• 제20권4호
• /
• pp.27-34
• /
• 2020

최근 4차 산업혁명 기술은 기술발전을 통해 일상생활을 크게 바꾸고 있을 뿐 아니라 국방정책 수립에 있어서도 주요 키워드가 되어 가고 있다. 특히 ICBMS라 불리는 사물인터넷, 클라우드, 빅데이터, 모바일, 사이버보안 기술은 인공지능과 더불어 국방정보화정책의 핵심선도기술로 선정되었다. 4차 산업혁명 기술의 중요성이 증대되는 가운데 현재 KJCCS, ATCIS, KNCCS, AFCCS 등 합참 및 각 군 기능별로 분리 운용되고 있는 C4I체계를 미래전에 대비하는 하나의 체계로 개발하기 위한 연구가 추진되고 있다. 이는 C4I체계를 각 도메인별로 운용함에 따라 정보교환 등 합동작전을 위한 상호운용성이 저하되는 문제를 해소하기 위함이다. 또한 각종 무기체계들이 초연결 및 초지능화 체계로 개발이 추진되고 있어 이들을 효율적으로 통제하고 안전하게 운용하기 위해 통합C4I체계 구축과 미군의 RMF(Risk Management Framework) 같은 체계의 도입이 필수적이다. 따라서 본 논문에서는 빅데이터/클라우드 기반의 미래 C4I체계의 사이버위협 지능화 탐지 및 사용자 정보 접근권한 관리, 사이버위협의 지능화 관리 및 가시화 방안을 제시한다.