함께 "좋은 책"을 만들어 갑니다.

사이버보안 성숙도 모델을 일회성 인증이 아닌 '조직의 체질을 바꾸는 기본기'라 강조하는 이민재 저자. 한국 방산기업의 현실에 맞는 실전 지침을 통해 복잡한 규제를 안도감과 실행력으로 바꿔 주는 저자의 이야기를 살펴보세요.

CMMC 인증이라는 생소하고 무거운 과제 앞에서 어디서부터 시작해야 할지 고민하는 방산기업 실무자와 경영진을 위한 가이드, 《CMMC 레벨 1 실무 가이드》. 숭실대학교 소프트웨어공학 박사이자 CMMC 전문가인 이민재 저자가 전하는 현장 중심의 보안 전략을 인터뷰를 통해 만나보시겠습니다.

안녕하세요. 저자님. 독자들에게 자기 소개 부탁드리겠습니다.

안녕하세요, 이민재라고 합니다. 미국 로체스터공과대학교에서 응용수학을 전공하고, 뉴욕대학교에서 정보시스템감리학으로 석사 학위를, 숭실대학교에서 CMMI 연구로 소프트웨어공학 박사 학위를 받았습니다. 그동안 국내 80여 개 기업에 CMMI 프로세스 개선 컨설팅과 인증심사를 수행해 왔고, 최근 몇 년간은 그 경험을 바탕으로 국가 사이버안보 역량 강화를 위한 사이버보안 성숙도 모델 연구에 매진하고 있습니다. 현재는 The Cyber AB 공인 CMMC 전문가(CCP/RPA)로 활동하면서, 국내 여러 기관과 기업을 대상으로 CMMC 자문과 컨설팅을 수행하고 있습니다. 한 가지 더 말씀드리자면, ‘재미난청춘세상’이라는 사회적 경제 조직을 함께 운영하고 있습니다. “미생이 상생하여 완생이 되는 세상”이라는 가치 아래, 더 나은 세상을 위해 작은 일들을 하나씩 해 나가고 있습니다. 기술과 사회, 그 두 길을 함께 걷는 사람으로 기억해 주시면 좋겠습니다.

이 책을 처음 기획하고 쓰게 된 특별한 계기가 있으신가요?

현장에서 반복해 듣는 세 가지 질문이 있었습니다. “우리는 꼭 해야 하나요?”, “레벨 1은 어느 정도까지 준비해야 하나요?”, “이 정도 보안이면 충분하지 않나요?” 이 세 질문은 매우 현실적이지만, 동시에 CMMC를 시험이나 인증으로만 바라볼 때 나오는 질문이기도 합니다. 그 답을 한 번에 모아 드리고 싶었습니다. 그리고 한 가지 더, 제도의 본질을 바로 짚어 드리고 싶었습니다. 많은 한국 방산기업이 DFARS 252.204-7012 조항을 통해 이미 NIST SP 800-171에 익숙해졌지만, 자체심사라는 방식은 기업마다 해석과 수준이 달라 공급망 전반의 보안이 기대만큼 개선되지 못했습니다. CMMC는 바로 그 지점에서 출발한 제도입니다. ‘스스로 잘하고 있다고 믿는 보안’에서 ‘잘하고 있음을 객관적으로 검증하는 보안’으로의 전환이지요. 이 전환이 왜 필요한지부터 차근차근 풀어내고 싶었습니다. 또 하나의 이유는 한국 방산기업의 현실을 반영한 CMMC 자료가 매우 부족했기 때문입니다. 해외 자료는 많지만, 국내 기업의 조직 구조, IT 환경, 인력 현실에 그대로 대입하기에는 무리가 있습니다. 기존에 펴낸 《CMMC 이해: 사이버 역량 강화를 위한 접근 방법》이 제도 전반을 조망하는 책이었다면, 이번 책은 “그래서 우리 회사가 당장 무엇을, 어떻게 해야 하는가?”에 답하기 위해 썼습니다.

집필 당시 어떤 독자들에게 이 글이 필요하다는 생각을 하셨나요?

세 분의 얼굴을 떠올리며 썼습니다. 첫 번째는 방산기업과 협력사의 실무 담당자입니다. 정보보안 담당자, IT 관리자, 품질·보안·경영기획 부서에서 다른 본업을 하면서 CMMC까지 떠맡게 된 분들이지요. 이분들에게는 요구사항을 단순히 외우게 하는 책이 아니라, “무엇을 준비해야 하는지”와 함께 “어디까지 하면 충분한지”에 대한 기준을 드리고 싶었습니다. 두 번째는 기업의 의사결정자와 관리자입니다. 대표이사, 임원, 팀장급에게 CMMC는 기술 규제가 아니라 경영 리스크이자 전략 과제입니다. 책의 전반부에서 제도적 배경과 계약 적용 방식을, 후반부에서 레벨 1 이후를 대비한 방향성을 담은 것은 이분들이 CMMC를 단기 과제가 아닌 중장기 보안 전략의 일부로 받아들이는 데 도움이 되기를 바랐기 때문입니다. 세 번째는 CMMC를 이제 막 접한 독자입니다. CMMC, DFARS, FAR, FCI, CUI 같은 용어가 낯설더라도 책을 순서대로 읽어 나가면 무리 없이 이해할 수 있도록 구성했습니다. 제도 설명 → 요구사항 해설 → 구현 방법 → 사례 → 심사 준비라는 흐름 자체가 가장 자연스러운 학습 경로라고 보았기 때문입니다.

원고 중 가장 고심해서 쓰신 부분이 있으실까요?

책 전체를 관통하는 설명 원칙이 하나 있습니다. “왜 이런 요구가 생겼는지”, “어디까지가 충분한지”, “현장에서는 어떻게 적용해야 하는지” 이 세 질문을 모든 장에서 잊지 않으려 했습니다. 단순히 규제와 요구사항을 나열하는 책이 아니라, 그 뒤에 깔린 맥락을 같이 전해 드리고 싶었기 때문입니다. 그중에서도 가장 공들인 부분은 8장의 “정책, 절차, 증거의 관계”입니다. CMMC를 처음 준비하는 분들이 가장 많이 헷갈리고, 또 가장 많이 실패하는 지점이기 때문입니다. 정책만 있고 절차가 없는 경우, 절차는 있는데 운영 증거가 따라오지 못하는 경우 — 이 셋이 왜 함께 가야 하는지를 현장 사례 중심으로 풀어내려 애썼습니다. 11장의 “흔히 하는 오해”와 “심사 실패 사례”도 같은 맥락에서 정성을 들였습니다. 한 문장만 꼽으라면, 에필로그의 제목이기도 한 “기본을 지키는 조직은 흔들리지 않는다”입니다. 이 책 전체가 결국 그 한 문장으로 수렴됩니다. 인증서를 받는 것이 목적이 아니라, 어떤 규제 요건 앞에서도 흔들리지 않는 기본기를 갖춘 조직이 되는 것 — 그 자리가 제가 독자들과 함께 가닿고 싶은 곳입니다.

저자님께서는 오래전부터 사이버보안 성숙도 모델의 중요성을 강조해 오셨는데, 이전에는 크게 주목받지 못했다고 하셨습니다. 그럼에도 이 분야를 계속 연구하게 만든 문제의식은 무엇이었나요?

2015년 10월 아시아·태평양 시스템 엔지니어링 콘퍼런스(APCOSE)에서 사이버보안 성숙도 모델 설계 방안을 발표했을 때, 솔직히 큰 반향은 없었습니다. 당시만 해도 사이버보안은 “필요는 한데 급하지는 않은 것” 정도로 받아들여졌습니다. 이후 콘퍼런스와 세미나, 2017년 '군사논단' 기고를 통해 계속 목소리를 냈지만 좀처럼 자리를 잡지 못했지요. 그래도 멈출 수 없었던 이유는, 사이버 공간이 이미 제5의 전장이 되어 있었기 때문입니다. 그리고 방위산업에서는 사이버보안이 단순한 IT 부서의 문제가 아니라 곧 수출 자격이자 계약 유지 조건, 나아가 기업의 생존 요건이 되어 가고 있음을 현장에서 매일 확인할 수 있었습니다. 누군가 이 변화를 우리말로 풀어 알려야 한다고 느꼈습니다. 또 하나는 CMMI를 오래 연구한 사람으로서 가진 직관이었습니다. 성숙도 모델은 일회성 인증이 아니라 조직의 체질을 바꾸는 도구입니다. 자체심사만으로는 한계가 있다는 사실이 결국 드러날 수밖에 없고, 그렇다면 다음 단계는 객관적 검증으로 넘어가는 길밖에 없다고 보았습니다. 시간이 걸리더라도 누군가는 그 기초를 놓아야 한다고 생각했고, 지금 CMMC가 글로벌 표준으로 자리 잡는 모습을 보면서 그 길이 틀리지 않았다는 작은 위안을 얻습니다.

보안 규제가 강화될수록 기업들은 ‘비용’으로 받아들이기도 쉬울 것 같습니다. 저자님께서는 보안을 기업의 성장 전략이나 신뢰 자산으로 연결하기 위해 어떠한 관점이 필요하다고 보시나요?

“보안은 비용이다”라는 말은 절반만 맞습니다. 비용이 드는 것은 분명하지만, 그것을 비용으로만 본다는 것은 보안이 만들어 내는 가치를 보지 않겠다는 뜻이기도 합니다. 관점의 전환이 먼저 필요합니다. 저는 경영진을 만날 때 늘 같은 말씀을 드립니다. CMMC는 기술 규정이 아니라 경영 리스크이자 전략 과제라고 말입니다. 보안을 IT 부서의 일로 두면 비용이 되지만, 경영의 일로 끌어올리면 곧 신뢰 자산이 됩니다. 지금 글로벌 공급망에서 가장 비싼 화폐는 ‘신뢰’이고, 같은 가격·같은 품질이라면 거래 상대는 더 신뢰할 수 있는 파트너를 택합니다. CMMC가 미국 방산 시장에서 단순한 규제가 아니라 ‘입장권’으로 작동하는 이유가 거기에 있습니다. 그리고 한 가지 더 말씀드리고 싶은 것이 있습니다. 인증을 목표가 아니라 결과로 두는 일입니다. 기본기를 갖춘 조직은 인증을 따로 준비하지 않아도 인증을 받게 됩니다. 그 차이가 곧 비용으로 끝나는 보안과 자산이 되는 보안을 가릅니다.

이 책을 한 문장으로 정의하거나, 책의 분위기를 가장 잘 나타내는 단어가 있다면 무엇일까요?

한 단어로 꼽자면 ‘기본(基本)’입니다. 다른 단어로 바꾸자면 ‘기초 체력’이라고도 말씀드릴 수 있습니다. CMMC 레벨 1은 가장 낮은 레벨이지만 결코 가벼운 단계가 아닙니다. 오히려 보안 체계의 출발점이자 레벨 2로 나아가기 위한 기초 체력입니다. 그래서 책을 한 문장으로 정의해 달라고 하시면 이렇게 답하겠습니다 — “CMMC 레벨 1은 인증이 아니라 기초 체력이다.” 분위기 역시 차분하고 담담합니다. 큰 소리로 외치기보다, 옆에 앉아 차 한 잔 마시며 같이 들여다보는 책이라고 말씀드리고 싶습니다.

이 책을 읽은 독자들이 책장을 덮으며 어떤 감정이나 생각을 품게 되기를 기대하시나요?

가장 바라는 것은 안도감입니다. “막연하게 두려워했는데, 알고 보니 못 할 일이 아니었구나” 하는 마음 말입니다. CMMC라는 단어가 더 이상 무겁게 들리지 않게 되는 것 — 그것이 첫 번째 바람입니다. 그다음으로 바라는 것은 시선의 변화입니다. CMMC를 ‘부담스러운 규제’가 아니라 ‘지속 가능한 보안 체계를 만드는 첫 단계’로 바라보게 되는 일입니다. 그렇게 시선이 바뀌면, 책장을 덮은 뒤 “내일 출근하면 우리 회사 비밀번호 관리부터 한 번 점검해 봐야겠다” 같은 작은 행동이 자연스럽게 따라옵니다. 거창한 변화가 아니라, 그렇게 시작되는 작은 점검들이 결국 흔들리지 않는 조직을 만든다고 믿습니다.

이번 책 이후에 새로 준비 중인 집필 주제나 앞으로의 활동 계획이 궁금합니다.

이 책은 CMMC의 끝이 아니라 시작을 다룹니다. 그래서 다음 책의 윤곽도 자연스럽게 잡혀 있습니다. 《CMMC 레벨 2 실무 가이드》를 준비하고 있습니다. 레벨 1이 연방계약정보(FCI)를 다룬다면, 레벨 2는 통제필요정보(CUI)를 다루는 단계라, 110개의 보안 요구사항을 어떻게 현장에서 구현할 것인지가 핵심이 됩니다. 레벨 1보다 훨씬 무거운 과제이지만, 그렇기 때문에 더 친절한 안내서가 필요하다고 생각합니다. 집필 외에는 국내 방산기업과 협력사를 대상으로 한 교육과 세미나를 꾸준히 이어 가려 합니다. 한국 방산기업이 글로벌 방산 공급망 속에서 신뢰받는 파트너로 자리 잡을 때까지, 제가 할 수 있는 작은 디딤돌 역할을 계속하고 싶습니다. 그리고 한 가지, ‘재미난청춘세상’ 활동도 더 단단히 키워 가고 싶습니다. 기술과 사회, 둘 중 어느 한쪽도 놓지 않는 것 — 그것이 저의 다음 10년의 숙제이기도 합니다.

이 책을 만날 독자분들께 꼭 전하고 싶은 한마디를 부탁드립니다.

이 책은 저자 한 사람의 노력만으로 완성된 책이 아닙니다. 바쁜 업무 속에서도 CMMC라는 낯선 요구사항을 진지하게 받아들이고 현장의 어려움을 솔직하게 나눠 주신 국내 방산기업 실무자분들, 그리고 단기적인 통과 여부보다 중장기적인 방향을 함께 고민해 주신 경영진 여러분들의 질문 하나하나가 이 책의 방향을 잡아 주었습니다. 책을 펼치는 독자께도 같은 마음을 전합니다. 그리고 한 가지만 기억해 주십시오. 인증은 한 번의 시험이지만, 보안은 평생의 습관입니다. 시험을 위해 책을 펴지 마시고, 습관을 위해 책을 펴 주십시오. 그러면 시험은 자연히 통과됩니다. 규제는 계속 변하고 환경도 달라지겠지만, 운영 중심의 관점과 기본에 대한 강조만큼은 오래도록 유효하리라 믿습니다.

마지막으로, 저자님에게 '글을 쓴다는 것'은 삶에서 어떤 의미를 지니는지 들려주세요.

저에게 글쓰기는 두 가지 의미를 함께 가집니다. 하나는 ‘정리(整理)’입니다. 머릿속에 흩어져 있는 경험과 지식을 글로 옮기는 과정에서, 비로소 저 자신이 무엇을 알고 무엇을 모르는지가 또렷해집니다. 컨설팅 현장에서 마주친 수많은 사례가 한 문장씩 정리될 때, 저는 다시 한번 그 현장을 다른 눈으로 봅니다. 또 하나는 ‘나눔’입니다. 제가 운영하는 ‘재미난청춘세상’의 이름처럼, 결국 미생(未生)들이 상생(相生)하여 완생(完生)에 이르는 길은 가진 것을 나누는 데 있다고 믿습니다. 글은 그 나눔의 가장 정직한 방식입니다. 강의는 그 자리에 함께한 분들과 끝나지만, 책은 제가 만나지 못한 사람에게도 가닿을 수 있으니까요. 그래서 저에게 글쓰기는, 어쩌면 한 번 더 살아 보는 일과 같습니다.

인증은 단 한 번의 시험이지만 보안은 평생의 습관이라고 말하는 이민재 저자. 저자가 공유한 현장 노하우와 기본기에 대한 강조가, 글로벌 공급망에서 신뢰받는 파트너로 성장하고자 하는 모든 방산기업과 실무자들에게 든든한 디딤돌이 되기를 응원합니다.