DFARS 252.204-7012 사이버 보안 요건 안내

DFARS 252.204-7012 사이버 보안 요건과 민감한 국방 정보 보호에서의 역할이 궁금하신가요? Z2Data가 설명해드립니다.

Michael Mariani

6분 소요
DFARS 252.204-7012 사이버 보안 요건 안내

DFARS(Defense Federal Acquisition Regulation Supplement, 국방 연방조달규정 보충)는 미국 국방부의 조달 및 획득 활동을 관리하는 규칙과 규정의 집합입니다. 또한 민간 계약업체가 국방부와 비즈니스를 수행할 때 준수해야 할 프레임워크로도 기능합니다. DFARS는 모든 15개 주요 행정기관의 조달을 감독하는 연방 조달규정(FAR, Federal Acquisition Regulation)의 확장판으로, 미 연방 규정집(Title 48) 2장에 포함되어 있습니다. 

국방부가 수행하는 업무의 특성상 국가 안보와 직결되는 데이터, 정보, 기타 자료들이 국방부와 민간 계약업체 간에 오갈 때, 해당 정보들은 대체로 매우 민감하며 높은 수준의 보호가 요구됩니다. 미 국방부(DoD)는 이러한 범주의 정보를 포괄적으로 ‘covered defense information(CDI, 보호 대상 국방 정보)’라고 지칭하며, 다음과 같이 정의합니다: “기밀로 분류되지 않았지만 법률, 규정, 정부 전체 정책에 따라 보호 또는 배포 통제가 필요한 통제 기술 정보 또는 기타 정보.” 

지난 10여 년 동안 미 국방 산업 기반(DIB, Defense Industrial Base)에 속한 방위 관련 민간 계약업체 및 기타 조직들은 DIB 침투 및 해당 정보 절취를 겨냥한 사이버 공격과 보안 위협이 크게 증가하는 문제에 직면해 왔습니다. 

이러한 새로운 위험과 점점 증가하는 악의적 행위자에 대응하여, 국방부는 자사 조달 규정 내에 새로운 조항을 추가했습니다. 새로운 섹션인 DFARS 252.204-7012는 모든 방위 계약업체에게 포괄적인 보안 통제체계 도입을 의무화하여 CDI 보호를 강화하는 데 목적이 있습니다. 새 DFARS 조항의 주요 목표는 모든 방위 계약업체 간 사이버 보안 기준을 표준화하고, DIB 내 취약점을 노리는 범죄 행위자를 적극적으로 차단하는 것입니다.  

이 새로운 섹션인 DFARS 252.204-7012는 모든 방위 계약업체에게 포괄적인 보안 통제체계 도입을 의무화하여 CDI 보호를 강화하는 데 목적이 있습니다.

DFARS 252.204-7012와 NIST 보안 프로토콜 

DFARS 252.204-7012(공식 명칭: 보호 대상 국방 정보 및 사이버 사고 보고의 보호)는 2017년 12월 31일에 발효되었습니다. 이 조항(서브섹션)은 모든 방위 계약업체가 준수해야 하는 새로운 사이버 보안 조치를 도입했습니다. 252.204-7012는 모든 보호 대상 국방 정보를 데이터 유출, 사이버 공격 및 기타 중대한 위협으로부터 강화된 보안 프로토콜을 통해 보호하는 것을 목표로 합니다. 

DFARS 252.204-7012에 따라 도입된 조치 중 가장 핵심적인 것은 모든 계약업체가 상무부 산하 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 보안 통제 지침을 준수해야 한다는 점입니다. 이 지침은 NIST Special Publication 800-171(또는 NIST SP 800-171)으로 알려져 있으며, 해당 문서에는 110개의 보안 통제가 14개 ‘패밀리’로 묶여 있습니다.

  • Access Control(접근 제어, AC)
  • Awareness and Training(인식 및 교육)
  • Audit and Accountability(감사 및 책임성)
  • Configuration Management(구성 관리)
  • Identification and Authentication(식별 및 인증)
  • Incident Response(사고 대응)
  • Maintenance(유지보수)
  • Media Protection(미디어 보호)
  • Personnel Security(인력 보안)
  • Physical Protection(물리적 보호)
  • Risk Assessment(리스크 평가)
  • Security Assessment(보안 평가)
  • System and Communications Protection(시스템 및 통신 보호)
  • System and Information Integrity(시스템 및 정보 무결성)

DFARS 252.204-7012에 따라, 모든 방위 계약업체는 NIST SP 800-171의 100개 이상의 보안 통제를 실제로 구현해야 하며, 국방부를 위한 업무 수행 시 이를 철저히 준수해야 합니다. 미 연방 정부는 CUI(Controlled Unclassified Information, 통제 미분류 정보) 레지스트리를 관리하여, CDI 및 CUI를 안전하게 처리하고자 하는 이들에게 통합 자료를 제공합니다. SP 800-171 원본에 따르면, 이 저장소는 “승인된 CUI 카테고리 및 서브카테고리를 정의하고, 각각에 대한 일반 설명, 통제의 근거, 그리고 표시·보호·이송·배포·재사용·폐기 절차를 포함한 CUI 사용 절차”를 제공합니다.

이제 모든 방위 계약업체는 NIST SP 800-171을 준수해야 하며, 국방부를 위한 업무 수행 시 해당 100개 이상의 보안 통제를 구현해야 합니다.

DFARS 252.204-7012 조항의 추가 요구사항

DFARS 252.204-7012의 가장 핵심적 조건이 NIST 사이버보안 기준의 준수라면, 본 조항에는 이외에도 중요한 추가 의무가 있습니다. 

  • 첫 번째 추가 요구 사항은 사이버보안 사고의 검토 및 보고 절차와 관련이 있습니다. 국방부와 협력하는 민간 기업이 CDI 또는 해당 정보를 저장·보호하는 온라인 시스템에 영향을 미치는 사이버 사고를 발견할 경우, 반드시 지정된 국방부 채널을 통해 신속하게 이를 보고해야 합니다. 
  • 계약업체는 사고에 대한 포괄적 검토 및 평가 책임도 있습니다. 여기에는 침해된 데이터, 하드웨어, 계정, 정보 시스템을 식별하는 작업이 포함됩니다. 
  • 악성 소프트웨어 발견 시 계약업체는 해당 소프트웨어를 격리 후 국방부 산하 사이버 범죄 센터(DC3)에 제출해야 합니다. 
  • 마지막으로, 계약업체는 국방부가 사고 조사를 수행하는 과정에서 요청 시 데이터, 시스템, 장비에 대한 접근을 포함한 지속적인 협조 의무가 있습니다. 

DFARS 252.204-7012는 모든 계약업체 및 하도급업체에게 동일한 보안 통제를 적용하고, 동일한 사고 보고 의무를 준수하도록 명시하고 있습니다. 이에 따라, 본 조항의 세 번째 축은 원청 계약업체가 252.204-7012 조항을 관련 계약에 포함시켜 모든 하도급업체까지 사이버보안 요구사항이 하달되도록 의무화합니다. 

최신 DFARS 조항

국방부는 2020년 가을 DFARS 임시 규칙(Interim Rule)을 발행, 같은 해 11월 30일부로 시행하였습니다. 이 임시 규칙으로 DFARS 252 부문에 세 개의 새로운 조항이 추가되었습니다: 252.204-7019, -7020, -7021. 이 서브섹션들은 252.204-7012에서 도입된 의무를 기반 위에, 국방부와 협력하는 계약업체에 대한 새로운 책임과 평가 메커니즘을 추가합니다. 

2019년, 미 국방 계약관리청(Defense Contract Management Agency)은 NIST SP 800-171 프로토콜 준수 수준(252.204-7012의 요건) 평가 표준화 방안을 모색하라는 임무를 부여받았습니다. 결과로 도입된 것이 NIST SP 800-171 DoD Assessment Methodology로, 계약업체가 NIST 보안 통제 준수 현황을 자체 평가할 수 있도록 체계적인 지침을 제공합니다. 임시 규칙의 첫 부분인 252.204-7019는 이 DoD Assessment Methodology 도구를 DFARS에 정식 도입, 모든 방위 계약업체에게 자체 평가 및 점수 산정을 의무화하고 있습니다. 또한 해당 점수는 Supplier Performance Risk System(SPRS, 공급업체 성과 리스크 시스템)에 보고해야 합니다. 

임시 규칙의 첫 번째 조항인 252.204-7019는 모든 방위 계약업체에게 자체 평가 및 점수 산정을 의무화하며, 이 점수를 Supplier Performance Risk System(SPRS)에 보고하도록 함으로써 DoD Assessment Methodology 도구를 DFARS에 정식으로 도입합니다. 

서브섹션 252.204-7020은 NIST 프로토콜 준수에 대한 추가적인 책임을 계약업체에 부여합니다. 이 조항에 따라, 만약 국방부가 자체 독립 평과를 위해 필요하다고 판단할 경우 계약업체의 시설, 시스템, 인력에 대한 접근 권한을 가지게 됩니다. 또한 252.204-7020은 모든 원청 계약업체가 하도급업체에게도 NIST SP 800-171 규제 준수 평가(DoD Assessment Methodology 사용)를 완료하도록 요구하고, 관련 계약에 조항을 하달할 것을 명시합니다. 

마지막으로 252.204-7021 조항은 Cybersecurity Maturity Model Certification(CMMC, 사이버보안 성숙도 모델 인증)이라는 새로운 인증 프레임워크를 도입합니다. CMMC 관련 규정은 현재 국방부에서 최종 확정 중으로, 7021 조항은 향후 핵심 사이버보안 표준이 될 새로운 요구 사항의 기반 역할을 하게 됩니다. 미 국방부는 궁극적으로 2024년 말 또는 2025년 초부터 모든 방위 계약업체에게 CMMC 인증 취득을 요구할 예정이며, DFARS 7021 조항이 이 요건의 전달 매개체가 됩니다.

DFARS 252.204-7012 규제 준수의 중요성 

사이버 공격 및 데이터 유출은 미국 정부, 국방부, 그리고 전체 DIB에 점점 더 커지는 위협으로 자리 잡았습니다. DFARS 252.204-7012는 이러한 공격의 규모와 빈도가 급증함에 따라 2017년에 도입된 강력한 대응책으로, 현재 거의 모든 방위 계약업체에게 준수가 의무화되어 있습니다. 본 조항은 포괄적인 보안 통제 도입, 사이버 사고 및 악성 소프트웨어 침해에 대한 표준화된 검토·보고 절차, 하도급업체 대상 CDI 보호 조치 하달 등 다각도의 보안 프로세스를 요구합니다. 

DFARS 252.204-7012는 이러한 공격의 규모와 빈도가 급증함에 따라 2017년에 도입된 강력하고 엄격한 대응책으로, 현재 거의 모든 방위 계약업체에게 준수가 의무화되어 있습니다.

DFARS 252.204-7012를 무시하거나 부적절하게 준수할 경우 상당한 비용과 리스크가 수반됩니다. NIST 보안 통제를 이행하지 않은 경우, 방위 계약업체는 사이버 범죄자, 해커, 기타 악의적 행위자에게 민감 정보 탈취의 대상이 되며, 이에 따른 막대한 복구 비용 부담에 직면할 수 있습니다. 무엇보다도 국방부는 DFARS 252.204-7012와 연관된 NIST 보안 프로토콜을 충실히 지키지 않는 계약업체에 대한 체계적 제재 방안을 이미 수립해 두었습니다. 

DFARS 252.204-7012를 무시하거나 부적절하게 대응할 경우 상당한 비용과 리스크가 발생합니다. NIST 보안 통제를 이행하지 않는 방위 계약업체는 사이버 범죄자, 해커, 및 기타 위협으로부터 민감 정보 유출의 위험에 노출되며, 결과적으로 막대한 회복 비용을 부담해야 할 수 있습니다.

2022년 국방부 차관실 메모에 따르면 NIST SP 800-171을 충분히 이행하지 않을 경우 계약 위반으로 간주됩니다. 메모에 따르면 "이러한 계약 위반 시 구제책은 진척금 지급 보류, 남은 계약 옵션 포기, 계약 일부 또는 전부 해지" 등이 될 수 있습니다. 즉, 이 핵심 보안 규정을 소홀히 할 경우 기존 계약의 안전성은 물론, 향후 국방부 및 연방 정부와 신규 조달 기회 확보까지도 크게 위협받게 됩니다.