K-RMF 보안 점검을 위한 美 RMF 보안 자동화 도구 분석

국문 초록 (Abstract)

최근 주요 정보기관을 대상으로 하는 보안 사고의 수가 급증하면서 정보를 송·수신하는 시스템의 보안을 지속해서 관리하는 방안이 중요해지고 있다. 미국 NIST(National Institute of Standards and Technology)에서는 IT 기술이 포함된 시스템을 대상으로 시스템 수명주기 전반에 걸쳐 보안을 내재화할 수 있는 NIST RMF(Risk Management Framework) 제도를 개발하였으며, 미국 국방부(DoD, Department of Defense)에서는 이를 IT 기술이 탑재된 군사시스템에 도입할 수 있도록 관련 규정을 개발하였다. 한국에서도 군 환경에 적합한 보안 기능을 도입하기 위하여 한국형 위험관리 프레임워크(K-RMF) 제도를 개발하고 이를 국방 무기체계 내 적용 방안을 연구 중이다. 하지만 K-RMF 제도의 원활한 정착을 위해서는 K-RMF 보안통제항목별로 보안 기능을 구현 및 평가, 모니터링할 수 있어야 하며, 이를 위한 DoD RMF 보안 자동화 평가 도구에 관한 연구가 필수적이다. 본 논문에서는 DoD RMF 제도의 구현 및 평가, 모니터링 단계에서 활용 가능한 보안 자동화 평가 도구의 종류 및 기능을 살펴보았다. 보안 자동화 도구가 갖는 특징을 확인하고 K-RMF 제도에 활용하는 방안을 고려해보았으며, 분석 결과는 향후 K-RMF에 적용 가능한 한국형 보안 자동화 도구 개발 및 적용 시 활용할 수 있을 것이다.

다국어 초록 (Multilingual Abstract)

As the number of security incidents targeting major intelligence agencies increases rapidly, managing system security methods is becoming increasingly important. In response, the National Institute of Standards and Technology (NIST) in the U.S. has developed the Risk Management Framework (RMF), which manages security throughout the life of systems incorporating IT technology. The U.S. Department of Defense (DoD) has adapted this framework to apply to military systems equipped with IT technologies. Similarly, South Korea has developed its Korean Risk Management Framework (K-RMF) tailored for military environments and is currently working on implementing this framework within the defense weapons system. On the other hand, the implementation, assess, and monitoring results of K-RMF security controls for effective application of K-RMF are important, so the list of security automation tools should be reviewed first. This study examined the types and functions of security automation tools under the DoD RMF Implementation, Assess, and Monitoring steps. The characteristics of the security automation tool were identified, and a plan to use it in K-RMF was considered. The analysis results can be used to develop Korean security automation tools applicable to K-RMF.

목차 (Table of Contents)

• 요약
• Abstract
• 1. 서론
• 2. 위험관리 프레임워크(RMF)
• 3. DoD RMF 보안 자동화 도구
• 4. K-RMF 보안 점검 방향
• 5. 결론
• References