[단독] 방사청, 18년 묵은 ‘망분리’ 빗장 푼다…K-방산 클라우드 대전환

▲K-방산 특화 클라우드. 그래픽=박규빈 기자

무기체계의 첨단화와 방위산업 공급망의 디지털 전환(DX)이 가속화되는 가운데 방위사업청이 국내 방산업계를 옥죄어 온 획일적인 '물리적 망분리' 규제를 개선하고 상용 클라우드 도입을 위한 전면적인 가이드라인 수립에 착수했다. 글로벌 국방 공급망의 보안 요구가 급증하는 상황에서 K-방산의 경쟁력을 뒷받침할 새로운 디지털 인프라 구축의 신호탄이 될 전망이다.

◇ 낡은 규제 벗고 방산 데이터 유통 기준 세운다

27일 본지 취재 결과, 방위사업청 기술보호과는 최근 클라우드 서비스 도입 대비 방산 기술 보호 대책 수립 연구를 통해 사업자 선정에 나섰다. 방사청은 이번 연구에 4009만 원을 투입하고 계약일로부터 3개월 반 만에 결과를 도출할 계획이다.

그간 국내 방산업계는 방위산업기술 보호법과 관련 보안 지침에 따라 내부 업무망과 외부 인터넷망을 물리적·논리적으로 차단하는 망분리 정책을 적용받아 왔다. 미인가 외부 기기의 반입 원천 차단과 망간 자료 교환 시 엄격한 통제, 상용 클라우드 사용 전면 금지 등 폐쇄적인 규제망은 내부 자료 유출을 막는 데는 일정 부분 기여했다.

그러나 인공 지능(AI)·빅데이터·디지털 트윈 등 첨단 정보 통신 기술(ICT)이 융합되는 현대전 환경에서는 한계를 드러냈다. 한화에어로스페이스·한국항공우주산업(KAI)·LIG D&A 등 대형 체계 종합 업체와 수백 개의 2·3차 중소 협력업체 간의 신속한 설계 도면 공유·소프트웨어 공동 개발·공급망 데이터 연동을 가로막는 심각한 '구조적 병목'으로 작용해왔기 때문이다.

이와 관련해 방산업계 관계자는 “보안 등급의 높낮이에 따라 관리를 철저히 한다면 효율성을 찾는 것이 업무에 큰 도움이 될 것"이라며 “효율성 추구 외에도 기술 유출의 여파를 고려한 철저한 보안 관리 역시 병행돼야 한다"고 강조했다.

이에 방사청은 이번 연구를 통해 △국내·외 클라우드 보안 정책·방산 분야 적용 사례 심층 분석 △국방 과학 기술△방위 산업 기술 자료 분류 체계 마련 △방산 분야 클라우드 서비스 보안 기준(CSAP(Cloud Security Assurance Program) 연계)△가이드라인 수립 △관련 규정·제도 개선 사항 도출 등을 종합 수행할 방침이다.

◇ 美 CMMC 2.0 발효 압박…글로벌 스탠더드 충족 '발등의 불'

방사청이 이번 연구를 서두르는 가장 결정적인 배경은 글로벌 국방 보안 규제의 급격한 강화다. 세계 최대 방산 시장인 미국은 자국 국방부(DoD) 공급망에 참여하는 모든 기업에 통제 비비밀정보(CUI) 보호를 강제하는 '사이버 보안 성숙도 모델 인증(CMMC) 2.0' 최종 규칙을 2024년 10월 연방관보에 고시하고 같은 해 12월 발효했다.

미국은 공급망 내 단 한 곳의 영세한 협력 업체라도 해킹될 경우 체계 전체의 보안이 무너지는 상황을 막기 위해 하위 공급망 전체에 걸쳐 110개에 달하는 보안 통제 항목(NIST SP 800-171)을 100% 충족하고 공인된 제3자 평가 기관(C3PAO)의 인증을 통과하도록 의무화했다.

이 같은 조치에 대해 방산업계 관계자는 “기준을 충족해야만 미국 진출이 가능하기 때문에 벅찰 수는 있지만 협력사들의 보안 수준을 높이기 위해 컨설팅 등 지원을 아끼지 않고 있다"고 했다.

또한 미 국방부는 상용 클라우드 이용 시 '표준 보안 평가·인증 제도(FedRAMP Moderate)' 수준의 엄격한 동등성을 요구하고 있다. 사이버 침해 사고 발생 시 72시간 이내에 국방부에 즉각 보고하고 포렌식을 위한 악성코드 샘플을 제출해야 하는 등 강력한 사후 대응 책임을 클라우드 사업자와 방산업체가 연대하여 지도록 강제한다. K-방산이 미국 수출 시장을 뚫거나 글로벌 방산 기업과 원활히 협력하기 위해서는 이와 동등한 수준의 데이터 통제 역량을 입증해야 한다.

데이터 보안의 중요성과 관련, 방산업계 관계자는 “데이터가 지나치게 공유돼 핵심 내용이 유출된다면 경쟁사들이 지위를 위협할 수 있다"며 “핵심 기술 데이터가 유출되지 않도록 철저히 주의해야 한다"고 부연다.

◇ 국정원 N²SF 개편 맞물려…해법은 '방산 특화 인클레이브'

국내 공공 보안 패러다임 역시 거대한 전환점을 맞고 있다. 국가정보원은 18년간 유지해 온 일률적인 망분리 정책을 폐기하고, 데이터의 중요도에 따라 보안 통제를 차등 적용하는 '국가 네트워크 보안 프레임워크(N²SF)'로의 전환을 공식화했다.

N²SF는 공공 망 데이터를 기밀(C)·민감(S)·공개(O)의 3개 등급으로 세분화한다. 방사청은 수많은 방산 데이터와 개발 성과물을 N²SF 체계에 어떻게 정밀하게 매핑할지 기준을 세우게 된다. 무기체계의 핵심 소스 코드나 스텔스 도면 같은 국가 안보 직결 데이터는 C등급으로 분류해 기존처럼 인터넷망과 철저히 분리된 국가 전용 클라우드나 온프레미스(On-Premise) 환경에 둔다.

반면 미국 CUI에 상응하는 도면·부품 제원·시험 평가 데이터 등 방산 업무 데이터의 대다수는 S등급으로 분류될 전망이다. 방사청은 S등급 데이터에 대해 다중 요소 인증(MFA)·직무 기반 접근 통제(RBAC)·콘텐츠 무해화(CDR) 기술 등을 적용하는 조건하에 기존 공공 클라우드 보안 인증(CSAP) 중등급 이상의 상용 클라우드 환경에서 유연하게 유통될 수 있도록 제재를 대폭 완화하는 방안을 검토한다.

이를 구현할 실효성 있는 기술적 대안으로는 '방산 특화 인클레이브' 아키텍처가 떠오르고 있다. 수많은 직원이 사용하는 방산업체 전체의 사내 IT망을 최고 보안 상태로 일괄 개조하는 것은 비용과 운용상 불가능에 가깝다. 따라서 기업의 일반 상용 업무망과 논리적·물리적으로 격리된 클라우드 가상 데스크톱 인프라(VDI) 구역을 별도 구축하는 방식이다. 이는 '제로 트러스트' 원칙에 기반하는 것으로 보안 검증 대상을 이 특수 구역으로만 축소시킴으로써 기업들의 심사 비용과 부담을 획기적으로 낮출 수 있다.

◇ 중소기업 '수십억 보안 비용 폭탄' 막는다…상생 지원책·제도 보완 모색

클라우드 전환·고도화된 보안 통제 요구가 방산 생태계의 허리를 담당하는 영세 중소 제조기업들에게 재무적 위협으로 다가올 수 있다는 점은 방사청이 풀어야 할 과제다. 미 국방부의 규제 영향 분석에 따르면 소규모 방산업체가 CMMC 레벨 2 외부 인증을 받는 데 소요되는 직접 평가 비용은 약 1억3000만 원(10만 달러)에 달하고 고도화된 지능형 위협(APT) 방어를 위한 레벨 3 시스템 구축에는 수십억 원의 엔지니어링 비용이 들어갈 수 있다.

방사청은 무리한 보안 규제가 국내 방위산업 기초 생태계의 붕괴로 이어지지 않도록 국방 선진국의 유연한 정책을 적극 벤치마킹할 계획이다. 사업의 사이버 위험 수준(CRP, Cyber Risk Profile)에 비례하는 맞춤형 통제를 요구하고 입찰 시 이행 계획서(CIP) 제출을 통해 완충 지대를 제공하는 영국의 사례와 철저한 데이터 주권 원칙하에 독립적인 클라우드 사업자 검증(IRAP)을 수행하는 호주의 선진 제도가 존재하는 만큼 이에 대한 검토 가능성도 제기된다.

이를 바탕으로 방사청이 중소 방산업체들이 방산 특화 클라우드 인클레이브 서비스를 서비스형 소프트웨어(SaaS) 형태로 저렴하게 구독할 수 있도록 돕는 '클라우드 보안 바우처' 제도 신설에 나서야 한다는 분석도 존재한다. 나아가 중소기업에 무료 사이버 위생 진단을 제공하는 미국의 '프로젝트 스펙트럼'을 참고하고 보안 솔루션 도입·인증 심사에 소요된 막대한 비용을 방산 계약의 간접비 등 합리적 원가로 정당하게 보전해 주는 제도적 장치 마련에 노력을 기울여야 한다는 목소리도 나온다.

박규빈 기자 kevinpark@ekn.kr