:quality(85))
“아니, 또 다른 약어라니…”
규제와 관련해서는 수많은 약어가 존재하며, 이를 일일이 기억하는 것도 쉽지 않습니다. RoHS, REACH, DFARS, TSCA 등 매년 새로운 규제가 도입되면서 목록은 계속 늘어나고 있습니다.
이번에는 DFARS를 살펴보려 합니다. 함께 알아보겠습니다.
DFARS란 무엇인가
DFARS란 Defense Federal Acquisition Regulation Supplement(미국 국방부 연방 조달규정 보충서)의 약어입니다.
이 용어는 무엇을 의미할까요? 미국 국방부(DoD)가 연방 조달규정(FAR)에 추가한 별도의 규정 집합입니다. FAR은 1980년대에 도입된 미국 정부의 조달 및 구매에 대한 일반적인 규칙이며, DFARS는 이 FAR에 추가로 국방 관련 조달의 요구사항을 명시하며 만들어졌습니다. 즉, DFARS는 미국 정부가 군사·국방 목적의 물품 및 서비스를 어떻게 구매하는지 규제하는 기준입니다.
DFARS의 목적
Acquisition.gov에 따르면, DFARS의 주요 목적은 임무 수행 능력과 운영 지원 향상에 도움이 되면서 사용자 요구를 충족하는 고품질의 공급품 및 서비스를 공정하고 합리적인 가격에 조달하는 것입니다. 또한 DFARS는 미국이 국가 안보 전략을 실현하고 미군을 지원하는 데 필요한 기술, 프로그램, 제품 지원에 투자하기 위해 존재한다고 명시돼 있습니다.
1980년대로 거슬러 올라가 보면 이러한 규정의 시작과 목적을 알 수 있습니다. 1981년 4월 1일, FAR이 연방 조달 규정(FSR)을 대체하여 정부 조달의 포괄적인 규정 체계를 확립하는 것을 목표로 도입됐습니다. FAR은 조달 계획, 계약 유형, 환경 안전 기준, 지적 재산권 등 광범위한 항목을 포함했습니다. 그러나 국방부는 곧 국방 관련 조달이 민감한 기술과 국가 안보 등 별도의 복잡성을 수반함을 인식했고, 이에 DFARS가 탄생하게 되었습니다.
오늘날 DFARS는 사이버 보안 등 최신 과제와 끊임없이 변화하는 국가 안보·조달 환경에 대응하기 위해 지속적으로 업데이트되고 있습니다. 주요 목적은 다음과 같습니다:
- 국가 안보
- 공정하고 경쟁력 있는 조달
- 국가 정책과의 정합성
- 품질 보증 및 책임 강화
:quality(85))
DFARS의 적용 대상
DFARS는 미국 국방부와 직접 계약한 기업부터 하청업체 및 지원 서비스에 이르기까지 폭넓은 이해관계자에게 영향을 미칩니다. 방위 계약업체는 DFARS 규정의 가장 직접적인 영향을 받는 그룹으로, 군수 장비 제조사, IT 서비스 제공업체 등도 이에 포함될 수 있습니다. 하청업체와 공급업체 역시 상위 계약자가 특정 DFARS 조항을 강제하는 경우 공급망에 따라 영향을 받을 수 있습니다. 그 밖에도 계약 기업 내 법률·규제 준수팀, 프로그램 관리자, 감사담당자 등이 포함됩니다.
이해관계자 외에도 DFARS는 다음과 같은 핵심 산업 분야에 직접적인 영향을 미칩니다:
- 항공우주·방위 산업
- IT·사이버 보안
- 제조·엔지니어링
- 건설·인프라
- 물류·공급망 관리
- 컨설팅
DFARS의 적용 품목·서비스·자재
군수 장비
군수 장비 제조 과정에서 사용되는 모든 품목과 자재는 DFARS 규정을 적용받습니다. 여기에는 군용 차량, 무기, 항공기, 의료 용품, 통신 장비 등 다양한 품목이 포함됩니다. 이들 제품을 제조하는 데 필요한 다양한 자재 역시 모두 DFARS의 규정과 기준을 따라야 합니다.
예를 들어, DFARS 252.225-7009는 특정 금속 취득을 규정하여 이들 금속이 국가 안보 요구를 충족하도록 책임 있게 조달되도록 하고 있습니다. 티타늄, 탄탈럼, 텅스텐 등 특수 금속이 이에 포함됩니다. 또 다른 예시로, DFARS 252.225-7030은 방위산업 관련 제조에 사용되는 필수 강재 제품의 공급망 무결성과 보안을 유지하기 위한 미국 정부의 노력을 반영하며, 탄소강·합금강·장갑강 플레이트 및 특정 외국산 강재 품목의 금지 등을 포함합니다.
기술·사이버 보안
군수 장비를 논할 때는 앞서 언급한 무기나 차량이 먼저 떠오르기 마련이지만, 기술·소프트웨어·사이버 보안 역시 국가 안보에 꼭 필요한 도구이며 DFARS의 규제를 받습니다. 이 규정은 사이버 위협에 대응하기 위해 사이버 보안과 지적 재산권을 다룹니다. 즉, 물리적 자재 및 제조 부품 뿐 아니라 디지털 영역까지 포괄합니다.
예를 들어, 군에 컴퓨터 프로그램이나 사이버 보안 서비스를 제공하는 업체는 DFARS가 지정한 특정 보안 기준, 즉 민감 정보 보호 기준을 따라야 합니다. DoD에 통신 서비스를 제공하는 통신사에도 동일한 규정이 적용됩니다.
Controlled Unclassified Information(CUI, 통제 비밀 미지정 정보)
사이버 보안과 밀접하게 연관된 CUI(Controlled Unclassified Information)는 보호가 필요한 비분류 정보로, 국가 안보, 개인정보, 기타 중요한 분야와 관련된 민감 정보가 이에 해당합니다.
DFARS에는 DFARS 252.204-7012 등 CUI 보호 관련 여러 조항이 포함되어 있으며, 이 조항에 따라 방위 관련 정보를 다루는 계약업체는 CUI를 반드시 보호해야 합니다. 추가로, 업체는 CUI 보호를 위해 미국 국립표준기술연구소(NIST) 특별간행물 800-171에 명시된 특정 보안 조치를 반드시 이행해야 합니다.
DFARS 규제 준수 유지
주계약자든, 하청업체든, 공급망의 어느 위치에 있든 DFARS 규제 준수는 국가 안보와 귀사의 비즈니스 성공 모두에 필수적입니다. 규정을 준수하지 않으면 계약 해지, 정부의 재정적 제재, 법적 문제, 그리고 기업 평판 손상 등 심각한 결과로 이어질 수 있습니다.
귀사가 DFARS에 적합하게 규제 준수를 달성하려면, 자체 평가 실시, 컨설팅 업체 활용, 또는 Z2Data와 같은 공급망 리스크 플랫폼 활용 등 여러 방법이 있습니다. Z2Data는 바로 저희입니다! 업종에 상관없이 Z2Data의 유연하고 통합적인 협업 플랫폼이 귀사의 규제 준수 목표 달성뿐만 아니라 공급망·리스크 관리·공급업체 인사이트 등 다양한 부문에서 효과적으로 지원해 드립니다.
플랫폼 및 컨설턴트를 활용하지 않고 자체 평가를 진행할 계획이라면, 꼭 NIST 특별간행물 800-171A: “Controlled Unclassified Information의 보안 요구사항 평가”를 참고해야 합니다. 비용 부담이 적을 수 있지만, 올바른 리소스 없이 이 과정을 진행하면 전면적인 규제 준수를 달성하는 데만 6개월에서 11개월이 걸릴 수 있으며 복잡하고 시간이 많이 소요될 수 있습니다. 또한 규제 준수 유지 계획과 지속적 모니터링에도 만전을 기해야 합니다.
Z2Data 인사이트 더 알아보기
공급망, 규제 준수, 조달 등 관련 리소스 및 정보를 찾고 계신가요? Z2Data Insights 블로그에서 규제, 단종, 반도체 소식 등 다양한 주제로 제공되는 다른 콘텐츠들도 확인해 보시기 바랍니다.
