[국방 AX 컨퍼런스] “K-RMF에 제로트러스트 입혀야···보안통제 선정부터 'ZT 오버레이' 적용”

한국형 사이버보안 위험관리체계(K-RMF)에 제로트러스트(ZT)를 실질적으로 적용하기 위해서는 보안통제항목을 선정하는 단계부터 '제로트러스트 오버레이'를 적용해야 한다는 제언이 나왔다.

강지원 세종대 교수는 'K-RMF 보안통제를 위한 Zero Trust 오버레이 적용 방안'을 주제로 미국 국방부(DoD)의 RMF·제로트러스트 연계 사례를 분석하고 한국군 환경에 맞는 적용 방안을 제시했다.

미 국방부는 2024년 6월 제로트러스트 오버레이 가이드라인을 발표하고 RMF와 제로트러스트 절차를 연계해 제도화하고 있다. 반면 한국군은 K-RMF를 도입했지만 제로트러스트를 RMF 절차에 체계적으로 연계하는 개념과 적용절차는 아직 정립 단계라는 게 강 교수의 진단이다.

강 교수는 K-RMF의 보안통제항목 선정 단계에서 제로트러스트 오버레이를 적용하는 방안을 제시했다. 다만 한국군 K-RMF의 보안통제 패밀리와 항목이 미 DoD 체계와 일부 차이가 있는 만큼 그대로 적용하기보다는 국내 환경에 맞춰 연관성을 다시 정립해야 한다고 강조했다.

특히 기존 제로트러스트 필라에 한국 국방부 ZTA 연구 결과를 반영한 '시스템 필라'를 추가하는 방안을 제안했다. 사용자·기기·네트워크·데이터 등 필라별 관련 보안통제항목을 사전에 '꾸러미' 형태로 만들어 보안통제 선정 과정에서 손쉽게 적용할 수 있도록 하는 방식이다.

강 교수는 우선 필라 단위로 제로트러스트 오버레이를 적용하고 이후 역량과 활동 단위까지 점진적으로 확대하는 접근이 현실적이라고 설명했다. 이를 통해 K-RMF 위험관리 절차와 제로트러스트 기술 구현을 하나의 체계 안에서 연결할 수 있을 것으로 전망했다.

이경민 기자 kmlee@etnews.com