CMMC 준수와 CUI 보호를 위한 MDM 스타일 USB 제어의 핵심 역할

규정 업데이트

미국 국방부는 32 CFR을, CMMC compliance를 규율하는 48 CFR 규정으로 대체했으며, 방산(국방) 계약업체를 위한 새로운 집행 프레임워크를 마련했습니다. 이번 변화는 조직이 연방 기준을 충족하기 위해 통제를 검증하고 모든 격차를 메우도록 요구하는, 더 강력하고 더 집행 가능한 준수 체제의 시작을 의미합니다.

이번 전환은 근본적인 변화를 의미합니다. CMMC는 더 이상 ‘바람직한 목표’가 아닙니다. 이제 준수는 계약 자격 요건과 직접 연결된, 측정 가능하고 집행 가능한 의무가 되었습니다.

CMMC 현황: 무엇이 달라졌고 왜 중요한가

CMMC(사이버보안 성숙도 모델 인증)는 새롭지 않지만, 이제 긴급해졌습니다. 수년간의 불확실성 끝에 국방부는 48 CFR을 통해 업데이트를 확정함으로써 CMMC 집행을 현실로 옮겼습니다. 규정이 공표되면서 준수까지의 짧은 카운트다운이 시작되어, 조직에 요구사항에 맞출 수 있는 제한된 시간이 주어졌습니다.

본질적으로 CMMC는 기업이 NIST 800-171에 명시된 기준을 충족하고 있음을 입증하는 것입니다. 즉, 통제되는 비기밀 정보(Controlled Unclassified Information, CUI)와 연방 계약 정보(Federal Contract Information, FCI)를 보호하는 것입니다. 더 높은 민감도를 가진 프로그램을 관리하는 조직의 경우, NIST 800-172는 고도 지속 위협(Advanced Persistent Threats, APTs)으로부터 CUI를 보호하도록 설계된 강화된 보안 요구사항의 추가 계층을 더합니다. 정책을 마련해두는 것만이 전부가 아니라, 실제로 통제를 수행하고 있음을 보여주는 것이 핵심입니다. FCI는 레벨 1(자체 평가)에 해당하는 반면, CUI는 레벨 2와 3에서의 준수가 필요하며, 이는 제3자 또는 정부의 감사로 검증됩니다. 또한 레벨 3 요구사항은 NIST 800-171을 넘어 확장되며, NIST 800-172에 정의된 강화 보호와 더 밀접하게 일치한다는 점을 주목하는 것이 중요합니다.

CMMC 평가 단계

• 1단계: 자체평가(FCI 대상)
• 2단계: 제3자 평가(C3PAO 필요)
• 3단계: 정부 평가(DIBCAC 수행)

필요한 수준은 특정 국방부(DoD) 계약에 따라 달라집니다. 하청업체와 원청업체 모두에게 이제 컴플라이언스는 사업을 운영하는 데 드는 비용의 일부가 되었습니다.

CUI 보호가 생각보다 더 복잡한 이유

Confidential Unclassified Information (CUI)는 정부의 제조 및 국방을 뒷받침하는 공학, 설계 또는 프로젝트 데이터입니다. 일반적인 산업과 달리, 많은 DIB 조직은 인터넷에서 중요 시스템을 격리하기 위해 에어 갭(air-gapped) 환경에서 운영합니다. 즉, 워크스테이션, 제조 도구, 협력사 간에 데이터를 이동하기 위해 여전히 USB 드라이브에 크게 의존한다는 의미입니다.

USB 포트를 단순히 비활성화하는 것만으로는 해결이 되지 않습니다. 이러한 조직은 CUI가 암호화되지 않았거나 승인되지 않은 상태로 제어된 환경 밖으로 절대 나가지 않도록 하면서, 데이터를 안전하게 전송할 수 있어야 합니다.

핵심 정의 및 요구 사항

• CUI (Controlled Unclassified Information): 정부 또는 국방 프로그램을 지원하는 민감한 공학 또는 프로젝트 데이터.
• FCI (Federal Contract Information): 보호가 반드시 필요한 정부 조달 계약에 관한 데이터입니다.
• 암호화 요구사항: USB 드라이브에 있는 모든 CUI는 FIPS 검증 암호화를 사용해야 하며, 일반적으로 AES-256 표준을 사용합니다.
• 감사/점검: CMMC는 신뢰가 아닌 증거 기반입니다. 기업은 평가와 증빙을 통해 규정 준수 여부를 입증해야 합니다.

MDM 재고하기: 모바일 기기처럼 USB를 관리하기

Netwrix의 접근 방식은 이동식 미디어를 모바일 기기에 적용하는 것과 동일한 수준의 엄격함으로 다룹니다. Netwrix Endpoint Protector 는 USB 드라이브용 MDM처럼 동작하여 암호화를 강제하고 데이터 이동을 모니터링하며 중앙 집중식 원격 관리를 제공합니다. 관리자는 USB를 연결하는 즉시 암호화를 자동으로 강제하고, 복호화 키를 장치와 별도로 저장하며, 키 사용 가능 여부를 비활성화해 즉시 액세스를 해지할 수 있습니다. 이러한 분리는 MDM 스타일 제어 를 가능하게 해줍니다. 즉 물리적인 USB가 현장에 그대로 남아 있더라도, 승인 없이 데이터를 복호화하거나 유출(exfiltrated)할 수 없도록 보장합니다. 또한 사용자 또는 장치 신뢰 수준에 따라 세분화된 정책을 적용하고, 원격지에서도 USB 드라이브를 원격으로 지울 수 있습니다.

이 통합된 접근 방식은 특히 전통적인 데이터 전송 방법이 제한된 에어 갭(air-gapped) 환경에서, 규정 준수와 통제를 보장하면서도 조직의 생산성을 유지할 수 있도록 합니다. 암호화를 넘어 완전한 제어, 가시성, 그리고 규정 준수에 대한 증거를 제공합니다.

Netwrix Endpoint Protector는 다음을 제공합니다:

• 파일 추적 및 섀도잉: 어떤 USB 드라이브에 어떤 데이터가 기록되거나 검색되는지에 대한 완전한 가시성.
• 콘텐츠 인지 기반 보호: 특정 CUI 유형 또는 메타데이터를 감지하고 차단하는 정책.
• 미디어 삭제(샌타이징): NIST 800-88 표준에 부합하는 원격 제거 및 덮어쓰기.
• SIEM 도구와의 통합: 환경 전반에서 장치 활동을 중앙에서 모니터링합니다.

이러한 역량을 함께 활용하면 액세스 제어, 암호화 적용, 다중 인증 정합성, 데이터 샌드박싱(제거) 같은 가장 어려운 CMMC 격차를 조직이 메우는 데 도움이 됩니다.

큰 그림: Identity를 통해 데이터를 보호하기

엔드포인트 보호는 퍼즐의 한 조각일 뿐입니다. CMMC에 완전히 부합하려면 조직은 또한 데이터가 어떻게 이동하는지, 누가 해당 데이터에 액세스하는지에 대한 가시성도 필요합니다. 바로 그 지점에서 Netwrix Data Security Posture Management (DSPM) 는 Netwrix Endpoint Protector를 보완하여 위험을 식별하고, 권한을 모니터링하며, 하이브리드 환경 전반에서 데이터 이동을 탐지하도록 돕습니다.

데이터 보안은 identity에서 시작되며, CMMC는 이 원칙을 강화합니다. USB 암호화를 관리하든, least privilege 를 적용하든 목표는 같습니다. 바로, 올바른 데이터가 올바른 손에서 벗어나지 않도록 보호하는 것입니다.