|
미공군의 극비 F-47 전투기 설계도를 해커로부터 안전하게 보호하기 위해 주계약사인 보잉은 사이버보안 성숙도 모델 인증(CMMC)과 제로 트러스트 등 미국방부의 사이버보안 조치를 받아야 한다고 케이티 애링턴이 밝혔다.
크리스틴 데이비스 신임 CIO 지명자가 인준을 기다리는 동안 미국방부 CIO 대리직무를 수행중인 애링턴은 이러한 보안 원칙을 준수하는 것이 매우 중요하다고 강조했다.
 |
 미공군 차세공중지배전투기(NGAD)로 선택된 보잉F-47의 랜더링(사진:U.S.Air Force))
 | | |
특히 중국이 록히드 마틴에서 제작한 5세대 F-35와 F-22, 그리고 보잉 전투기의 데이터를 유출했다는 주장에서 얻은 교훈이 생생하게 기억에 남는 만큼 더욱 그렇다. 중국은 이후 자체적으로 5세대 전투기인 J-20을 개발했는데, 이 전투기는 미국산 동체와 의심스러운 유사점을 가지고 있었다.
"F-35에 무슨 일이 있었는지 아는 사람 있나요?" 애링턴은 볼티모어에서 "F-35의 원래 설계와 정확히 동일한 후보 조항을 가진 F-35가 배치된지 약 6개월 후, 바로 J-20이 나왔다. 중국은 스스로 성공하지 못했다. 여러분의 세금을 착취했고, 여러분의 연구 개발(R&D)을 착취했다. 전장에서 여러분의 장병들이 흘린 피를 착취했다. 이제 더 이상 중국이 그런 짓을 하도록 내버려 둘 의향이 있냐고 반문했다.
해커들을 막기 위해 애링턴은 보잉이 F-47 하청업체들이 통제되지 않은 기밀 정보를 처리하는 계약업체에 대한 새로운 기준을 설정하는 프로그램인 CMMC를 활용하고, 사용자가 접근 권한이 있는 데이터 및 네트워크 세그먼트에만 지속적으로 접근하는지 확인하는 보안 패러다임인 제로 트러스트(Zero Trust)를 구현하도록 해야 한다고 말했다.
CMMC의 최신 버전은 지난 12월에 출시되었으며, 현재까지 어떤 회사도 제3자 인증이나 레벨 3 인증을 받지 못했다고 애링턴은 말했습니다. 하지만 그녀는 보잉이 작년에 공동 감시 프로그램(JSP)에 참여하여 110개의 국가 정보기술표준(NIST) 제어 항목을 100% 준수하는 것으로 확인되었다고 말했다.
애링턴은 CMMC와 제로 트러스트, 우리가 이야기할 수 있는 것은 사이버 보안이다.""NIST의 110개 제어 항목을 구현하는 회사에 이 작업을 의뢰했으며, CUI를 받는 모든 회사가 NIST 표준을 구현하도록 하는 것은 보잉의 공급망 관리 책임이다. 이는 보잉과 정부 모두의 비용 절감을 위한 CMMC 인증 절차에 도움이 될 것이며, 보잉이 직접 이러한 절차를 밟을 필요가 없게 될 것이다."라고 밝혔다.
"CMMC 인증은 F-47과 같은 국가 안보에 필수적인 데이터를 보호하는 데 필요한 사이버 보안 태세를 갖추고 있다는 것을 입증하는 증거가 될 것입니다."라고 밝혔다.
보잉은 이전에 F-47 프로젝트의 사이버 보안 계획에 대해 애링턴의 발언에 대한 논평 요청에 즉시 응답하지 않았다.
국방부 최고정보책임자(CIO)실의 방위산업 기반 사이버 보안 책임자인 스테이시 보스트재닉(Stacy Bostjanick)은 소규모 기업은 레벨 3 CMMC 인증을 받기 위해 제3자 감사를 어디에서 받는지 신중해야 한다고 말했다.
"자격증을 취득하려는 사람이라면 누구나 다양한 클라우드 서비스 제공업체와 MSP(관리형 서비스 제공업체)에 문의하는 것을 강력히 권장합니다. 꼼꼼히 따져봐야 한다. 무엇을 구매하려는지 정확히 알고, Cyber AB(인증 기관)가 기업들이 해당 기능을 쉽게 찾을 수 있도록 관련 시장을 확보하고 있다는 점을 이해해야 합니다."라고 그녀는 말했다.
더 나아가, "숙제를 철저히 해야 한다. 안타깝게도 일부 사기꾼, 악덕 인사들이 '10만 달러만 주시면 이틀 안에 CMMC 인증을 취득해 드리겠습니다'라고 말하는 것을 알게 되었다. 하지만 그들은 제대로 된 정보를 제공하지 않는다. 구매자는 신중해야 합니다."라고 경고했다.
|
문의