Analysis of U.S. RMF Security Automation Tools for K-RMF Security Assessments

최근 주요 정보기관을 대상으로 하는 보안 사고의 수가 급증하면서 정보를 송·수신하는 시스템의 보안을 지속해서 관리하는 방안이 중요해지고 있다. 미국 NIST(National Institute of Standards and Technology)에서는 IT 기술이 포함된 시스템을 대상으로 시스템 수명주기 전반에 걸쳐 보안을 내재화할 수 있는 NIST RMF(Risk Management Framework) 제도를 개발하였으며, 미국 국방부(DoD, Department of Defense)에서는 이를 IT 기술이 탑재된 군사시스템에 도입할 수 있도록 관련 규정을 개발하였다. 한국에서도 군 환경에 적합한 보안 기능을 도입하기 위하여 한국형 위험관리 프레임워크(K-RMF) 제도를 개발하고 이를 국방 무기체계 내 적용 방안을 연구 중이다. 하지만 K-RMF 제도의 원활한 정착을 위해서는 K-RMF 보안통제항목별로 보안 기능을 구현 및 평가, 모니터링할 수 있어야 하며, 이를 위한 DoD RMF 보안 자동화 평가 도구에 관한 연구가 필수적이다. 본 논문에서는 DoD RMF 제도의 구현 및 평가, 모니터링 단계에서 활용 가능한 보안 자동화 평가 도구의 종류 및 기능을 살펴보았다. 보안 자동화 도구가 갖는 특징을 확인하고 K-RMF 제도에 활용하는 방안을 고려해보았으며, 분석 결과는 향후 K-RMF에 적용 가능한 한국형 보안 자동화 도구 개발 및 적용 시 활용할 수 있을 것이다.