기술 지원
문서
로그인
문의하기
이 블로그 글의 AI 요약으로 바로 가기 
주요 내용
- 2026년 7월 13일부터 국방 분야 입찰 공고에서는 2단계가 계속 중단된 상태인 만큼, 레벨 1 또는 레벨 2 자체 평가만을 요구할 수 있습니다.
- 110개의 레벨 2 요구사항 중 어느 것도 오픈 소스를 언급하고 있지는 않지만, 소프트웨어는 자산에 해당하므로 적용 대상 시스템에 설치된 오픈 소스 패키지도 다른 항목과 마찬가지로 적용 대상이 됩니다.
- 이들에게 적용되는 네 가지 요구 사항은 재고, 사용자 설치 소프트웨어, 취약점 스캔, 그리고 결함 수정입니다.
- 이 중 세 가지는 5점 만점의 필수 요건이므로, 이들 중 어느 하나라도 미달될 경우 행동 계획과 단계별 목표를 통해 이를 유예할 수 없습니다.
사이버보안 성숙도 모델 인증(CMMC) 준수 요건은 오픈소스에 대해 특별히 요구하는 사항이 없습니다. 그러나 CMMC가 통제 대상 비기밀 정보(CUI)를 취급하는 계약업체에 대해 정한 110개 요건은 여전히 귀사의 빌드에 포함된 오픈소스 패키지에도 적용됩니다. 이는 2026년 7월 13일 미 국방부가 CMMC 프로그램의 2단계를 일시 중단한 후에도 마찬가지입니다. 해당 단계가 시행되었다면, 제3자 평가가 해당 계약의 수주 조건이 되었을 것입니다. 이 110개 요건은 여전히 자체 평가의 기초가 됩니다.
CMMC 준수 요건의 적용 범위
CMMC에는 세 가지 등급이 있습니다. 귀하에게 적용되는 등급은 관련 정보와 계약서 또는 입찰 공고에 명시된 요건에 따라 결정됩니다.
| 레벨 | 정보 | 요구 사항 | 누가 평가하나요? |
|---|---|---|---|
| 레벨 1 | 연방 계약 정보(FCI) | 연방 조달 규정(FAR)에 명시된 15가지 기본 요건 | 귀하는 연례 자가 평가를 통해 |
| 레벨 2 | CUI | 미국 국립표준기술연구소(NIST) SP 800-171 개정판 2에 명시된 110개 요구사항 | 귀하 또는 CMMC 제3자 평가 기관(C3PAO)(입찰 공고에 명시된 경우, 현재 일시 중지됨) |
| 레벨 3 | 선정된 프로그램에 대한 CUI | 레벨 2에 더해 NIST SP 800-172에서 선정한 24개 요구사항 | 국방계약관리청(DCMA) |
110개 레벨 2 요구사항은 접근 제어부터 시스템 및 정보 무결성에 이르기까지 14개 범주에 걸쳐 있습니다.
2026년 현재 CMMC 준수 요건의 현황
CMMC를 계약에 반영하는 국방 연방 조달 규정 보충 규정 (DFARS) 이 2025년 11월 10일에 발효되면서 1단계가 시작되었습니다. 1단계에 따라 국방부(DoD)는 해당되는 경우, 계약 체결 조건으로 레벨 1 또는 레벨 2 자체 평가 요건을 포함합니다.
2026년 11월 10일까지 시행될 예정이었던 2단계에서는 C3PAO에 의한 레벨 2 평가를 계약 체결 조건으로 추가할 예정이었습니다. 2026년 7월 13일, 국방부 최고정보책임자(CIO)가 이를 중단시켰습니다. 이제 프로그램 관리자는 레벨 1 또는 레벨 2의 자체 평가만을 요구할 수 있으며, 이미 C3PAO 또는 정부 주도의 평가를 규정하고 있는 계약은 다음 옵션 기간이나 행정적 변경 시점에 수정되어야 합니다.
메모를 통해 중단 조치가 통보된 이후로 프로그램 규정 자체는 개정되지 않았기 때문에, 여전히 원래의 4단계가 명시되어 있습니다. 변경 사항은 국방부 최고정보책임자(CIO)의 CMMC 페이지에 게시됩니다.
현재로서는 110가지 요구사항이 공통의 기반이 되며, 오픈 소스는 이를 통해 도입되고 있습니다.
오픈소스 구성 요소에 관한 규칙의 내용
110 레벨 2 요구사항은 NIST SP 800-171 개정판 2에 명시된 요구사항이며, 프로그램 규칙에 따르면 이 두 버전은 동일하다고 명시되어 있습니다. NIST는 이후 개정판 2를 개정판 3으로 대체했으나, CMMC는 여전히 개정판 2를 사용하고 있으며, 국방부(DoD)의 평가 가이드도 마찬가지입니다. 실질적인 의미는, 귀사의 오픈소스 패키지에 적용되는 요구사항 버전이 개정판 3이 아닌 개정판 2의 내용이라는 점입니다.
110개의 요구사항 각각에는 NIST 및 국방부(DoD) 문서에 두 가지 부가 항목이 포함되어 있습니다. 하나는 평가 목표(해당 요구사항이 충족된 것으로 간주되기 위해 충족되어야 하는 조건들의 체크리스트)이고, 다른 하나는 해설(요구사항의 취지를 설명하지만 그 자체로는 요구사항이 아닌 설명문)입니다.
레벨 2 평가 지침은 자가 평가자에게 제3자 평가자가 적용할 것과 동일한 기준을 사용하도록 요구하며, 인터뷰에서 직원들이 한 말을 시스템의 실제 작동 방식에 대한 증거로 간주하지 말 것을 당부합니다. 이 규칙의 채점 항목에는 증거 기준이 명시되어 있습니다. 즉, 초안, 작업 문서, 승인되지 않은 정책은 증거로 인정되지 않습니다. 오픈 소스의 경우, 이는 아무도 승인하지 않은 자산 목록 초안이나 스캔 정책은 증거로 인정되지 않는다는 것을 의미합니다.
110개의 요구사항 중 어느 것도 오픈 소스를 명시하거나 소프트웨어 BOM(SBOM), 출처, 공급망을 언급하지 않습니다. 소프트웨어는 정의 항목을 통해 포함됩니다. CMMC에서 소프트웨어는 자산으로 간주되므로, 평가 대상 범위에 포함된 시스템의 오픈 소스 패키지는 해당 시스템의 다른 소프트웨어와 동일한 요구사항의 적용을 받습니다. 시스템이 평가 범위에 포함되는 기준은 해당 시스템이 CUI를 어떻게 다루느냐에 달려 있습니다. 즉, CUI를 처리, 저장 또는 전송하는 자산은 모든 레벨 2 요구 사항에 따라 평가됩니다. 또한 방화벽 및 신원 인증 서비스와 같이 해당 시스템을 보호하는 자산도 평가 범위에 포함됩니다. CUI를 전혀 다루지 않는 빌드 서버나 개발자 워크스테이션은 평가 범위에서 제외될 수 있으며, 이는 나중에 ‘사용자 설치 소프트웨어’ 요구 사항과 관련하여 내려지는 범위 판단의 근거가 됩니다. 국방부(DoD)의 범위 지정 가이드에 자세한 내용이 나와 있습니다.
공급망 위험은 두 가지 레벨 3 요구 사항에 명시되어 있지만, 레벨 3은 정부 주도의 별도 평가가 이루어지는 독립된 단계이므로, 두 요구 사항 모두 레벨 2에는 적용되지 않습니다.
의존성 트리에 영향을 미치는 네 가지 관행
시스템에 설치된 항목에 대한 목록을 관리해야 합니다(CM.L2-3.4.1). 범위에 포함된 각 시스템을 구성하는 하드웨어 및 소프트웨어 목록(버전 번호 포함)을 관리하고, 시스템이 변경될 때마다 이를 최신 상태로 유지해야 합니다. 애플리케이션에 포함된 패키지( 다른 패키지를 통해 간접적으로 포함된 패키지 포함)는 버전 번호가 있는 소프트웨어이므로, 여기서 오픈 소스가 중요한 역할을 합니다. 이러한 패키지가 목록에 포함되어 있지 않다면, 그 목록은 불완전한 것입니다.
사용자가 설치하는 소프트웨어를 통제하십시오(CM.L2-3.4.9). 사용자가 설치할 수 있는 소프트웨어에 대한 정책, 이를 시행할 방법, 그리고 어떤 소프트웨어가 설치되었는지 확인할 수 있는 방법이 필요합니다. NIST의 해설문에 따르면, 해당 정책은 “출처가 불분명하거나 의심스러운” 소프트웨어를 금지할 수 있다고 명시하고 있는데, 이는 레벨 2에서 소프트웨어의 출처를 묻는 내용에 가장 가까운 부분입니다. 이 “출처”에 대한 문구는 지침에 불과하므로, 이 문구만으로는 평가에서 불이익을 받을 수는 없습니다. 설치 대상에 대한 정책 수립, 정책 이행, 설치 내역 기록이라는 요구사항 자체는 선택 사항이 아니며, 빌드 환경이 평가 범위에 포함되는 경우 개발자가 해당 환경에 추가하는 패키지도 다른 설치 항목과 마찬가지로 설치로 간주될 수 있습니다.
정기적으로 취약점을 검사하십시오(RA.L2-3.11.2). 사용자가 지정한 주기에 따라 시스템과 애플리케이션을 검사해야 하며, 새로운 취약점이 발표되면 추가 검사를 수행해야 합니다. 애플리케이션에 포함된 오픈소스 패키지도 검사 대상에 포함됩니다.
종합해 보면, 자산 목록, 사용자가 설치한 소프트웨어 및 취약점 스캔 요구사항은 빌드에 포함된 내용, 빌드에 허용되는 항목, 그리고 빌드에 존재하는 알려진 취약점을 포괄합니다. 네 번째 항목인 ‘결함을 적시에 수정하기(SI.L2-3.14.1)’는 취약점이 발견된 후 취해야 할 조치를 다룹니다.
왜 적시에 결함을 수정하려면 사용자가 직접 정의한 수치가 필요한가
SI.L2-3.14.1은 시스템 결함을 적시에 파악, 보고 및 시정하도록 규정하고 있지만, 해당 요구사항이나 NIST의 해설문, 국방부(DoD)의 평가 가이드 어디에도 “적시”가 어느 정도 기간을 의미하는지에 대한 설명은 없습니다. 이 세 가지 모두 기간 설정을 사용자에게 맡기고 있으며, 가이드에 제시된 예시조차 결함의 심각도에 따라 정해진 일수를 기준으로 하고 있습니다. 중요한 것은 기간을 정의했고 이를 준수했음을 입증하는 것입니다.
정기적으로 지키지 못하는 기한은 그 차이에 대한 기록을 남기게 되며, 명확한 기한이 정해져 있지 않으면 평가 체크리스트를 작성할 수 없습니다.
더 까다로운 경우는 업스트림에서 수정 사항이 제공되지 않아 더 이상 아무도 유지보수하지 않는 구성 요소입니다. 이 가이드에서는 적용된 패치, 구성 변경, 우회 조치 또는 완화 조치를 결함을 수정하는 방법으로 간주하므로, 여러 가지 해결 경로가 있습니다. 구성 요소를 교체하거나, 더 새로운 릴리스 시리즈로 전환하거나, 우회 조치를 적용하거나, 사용 중인 버전에 수정 사항을 적용할 수 있으며, 각 방법마다 남기는 흔적이 다릅니다. 교체나 버전 업그레이드는 대체품이나 더 새로운 시리즈가 존재하고, 코드가 해당 변경 사항을 수용할 수 있다는 전제를 바탕으로 합니다. 그렇기 때문에, 특히 구성 요소가 소스 트리 깊숙한 곳에 위치해 있는 경우, 업그레이드가 항상 가능한 선택지는 아닙니다.
POA&M이 보장하는 사항과 보장하지 않는 사항
각 요구사항에 대해 평가는 세 가지 결과(충족, 미충족, 해당 없음) 중 하나로 결정되며, 전체적인 상태도 함께 표시됩니다. ‘최종 상태’는 모든 요구사항이 충족되었음을 의미합니다. ‘조건부 상태’는 몇 가지 미비 사항이 남아 있으나, 이를 해소하겠다고 약속했음을 의미합니다.
이 규칙의 채점 방식은 각 요구 사항에 대해, 해당 사항이 미비할 경우 발생할 수 있는 잠재적 피해 정도에 따라 1점, 3점 또는 5점을 부여합니다. 초기 점수는 110점이며, 충족하지 못한 요구 사항 하나당 점수가 차감됩니다. 오픈소스 패키지에 적용되는 네 가지 요구 사항 중 세 가지(인벤토리, 취약점 스캔, 결함 수정)는 각각 5점씩 배점되며, 사용자가 설치한 소프트웨어는 1점이 배점됩니다.
행동 계획 및 주요 단계(POA&M)를 통해 평가에서 확인된 몇 가지 미비 사항을 다음 단계로 이월할 수 있으나, 프로그램 규정 제170.21조는 이를 엄격히 제한하고 있습니다. POA&M을 허용하는 ‘조건부’ 지위를 획득하려면 110점 만점에 88점 이상을 받아야 합니다.
1점짜리 요구사항만 계획에 포함될 수 있습니다. 단, 암호화 요구사항은 예외로, 일반적으로 5점짜리이지만 사용된 암호화가 연방정보처리표준(FIPS)에 따라 검증되지 않아 3점으로 평가된 경우에는 포함될 수 있습니다. 또한 이 규칙은 점수와 관계없이 6가지 특정 요구사항을 계획에서 제외하도록 규정하고 있습니다. 해당 요구사항은 시스템 보안 계획 요구사항, 외부 연결 및 공개 정보를 다루는 2가지 요구사항, 그리고 물리적 접근 관련 3가지 요구사항입니다.
계획에 공백을 설정한다고 해서 그 결과치가 바뀌지는 않으며, 해당 공백이 해결될 때까지 결과치는 ‘미달’로 유지됩니다.
계획에 포함된 모든 사항은 180일 이내에 종결 및 확인되어야 하며, 그렇지 않을 경우 조건부 지위가 만료됩니다. 이 180일 종결 기한은 레벨 2 자체 평가와 제3자 평가 모두에 적용됩니다.
자산 현황 파악, 취약점 스캔, 결함 시정은 5점짜리 요구 사항이므로, 이 중 어느 것도 개선 계획에 포함될 수 없습니다. 평가 시점에 해당 요건을 충족하지 못하면 ‘조건부’ 등급을 받을 수 없습니다. 사용자가 설치한 소프트웨어는 1점짜리 요구 사항이므로, 전체 점수가 88점 이상인 한 해당 항목의 미비 사항은 개선 계획에 포함될 수 있습니다. 다만, 이 경우에도 여전히 ‘미충족’으로 간주되며 180일 이내에 해결해야 합니다.
참고: CA.L2-3.12.2에 따른 운영 실행 계획은 별도의 문서입니다. 이 규칙에 따르면, 운영 실행 계획은 일시적인 취약점 및 결함 사항과 이를 해결할 방법을 기록한 것으로, 구체적인 일정이 명시되어 있지 않으며, 평가용 POA&M과는 다릅니다. 180일 기한은 POA&M에 적용되는 것입니다.
계약업체 및 중소기업을 위한 CMMC 준수 요건
이 프로그램 규정은 업무 과정에서 FCI 또는 CUI를 처리, 저장 또는 전송하는 국방부(DoD) 계약 및 하도급 수주업체에 적용되며, 동일한 업무를 수행하는 하도급업체로도 하향 적용됩니다. 국방부 프로그램 관리자는 관련 정보와 프로그램의 중요도를 바탕으로 각 조달 건에 대한 CMMC 등급을 결정하므로, 규모가 동일한 두 기업이라도 서로 다른 등급을 받을 수 있습니다. 레벨 2 내에서는 110개의 요구 사항이 모든 업체에 공통으로 적용됩니다.
규모 문제는 국방부 자체의 논리에서도 드러난다. 7월 13일 2단계 시행을 중단한다고 발표한 성명에서, 국방부는 이번 검토가 소규모 및 비전통적 기업의 진입 장벽을 낮추는 데 목적이 있다고 밝혔다. 해당 검토를 통해 변화가 이루어질 때까지는 자체 평가 제도가 유일한 구제책이다.
SecureChain의 적용 분야
TuxCare의 SecureChain은 사용자에게 전달되기 전에 철저한 검증을 거친 오픈소스 패키지를 제공하며, 사용자가 해당 패키지를 사용하는 동안 지속적으로 패치를 지원합니다. 이 서비스는 JavaScript, Python, Java, Go, Rust 및 PHP를 위한 통합 소스 역할을 합니다.
각 패키지는 격리된 환경에서 소스 코드부터 재컴파일되며, 악성코드 및 의심스러운 코드가 있는지 검사됩니다. 검사에서 불합격된 항목은 사용자의 환경에 도달하기 전에 차단됩니다. 활성 구성 요소는 서비스 수준 계약(SLA ) 에 따라 패치됩니다. 업스트림 유지보수가 종료된 후에도 Endless Lifecycle Support(ELS) 를 통해 유지보수가 중단된 구성 요소에 대한 수정 사항이 지속적으로 제공됩니다.
또한, 제공되는 내용에 대한 기록을 생성하며, 여기에는 소프트웨어 아티팩트 공급망 수준(SLSA) 레벨 3의 출처 정보, SBOM, 취약점 악용 가능성 교환(VEX) 데이터 등이 포함됩니다.
제출해야 할 서류
CMMC에는 ‘오픈 소스’라는 단어가 어디에도 등장하지 않습니다. 하지만 시스템 인벤토리, 스캔 결과, 수정 내역 및 시기를 바탕으로 자체 평가를 진행할 때, 애플리케이션에 포함된 모든 오픈 소스 패키지가 이 세 가지 항목에 모두 반영되어야 합니다. 현재 특정 패키지에 대해 이 세 가지를 제시할 수 없다면, 그것이 바로 가장 먼저 해결해야 할 미비 사항입니다.
자주 묻는 질문
CMMC 준수 요건이란 무엇인가요?
사이버보안 성숙도 모델 인증(CMMC) 프로그램은 연방 계약 정보(FCI) 또는 통제된 비기밀 정보(CUI)를 취급하는 방위 산업체에 대한 보안 요건을 규정합니다. 레벨 1은 15개의 기본 요구 사항을 다루며, 레벨 2는 미국 국립표준기술연구소(NIST)의 SP 800-171 개정판 2에 포함된 110개의 요구 사항을 다루고, 레벨 3은 SP 800-172에서 선별된 24개의 요구 사항을 추가합니다.
2026년에 CMMC 준수는 언제부터 의무화되나요?
계약 내용에 따라 다릅니다. 2025년 11월 10일부터 국방부의 신규 입찰 공고에서는 사이버보안 성숙도 모델 인증(CMMC) 프로그램에 따라 계약 체결 조건으로 레벨 1 또는 레벨 2 자체 평가를 요구할 수 있습니다. 2026년 11월 10일부터 제3자 레벨 2 평가를 추가할 예정이었던 2단계는 2026년 7월 13일부터 중단되었습니다.
중소기업을 위한 CMMC 준수 요건은 무엇인가요?
중소기업은 동급의 다른 계약업체와 동일한 요건을 충족해야 합니다. 이 프로그램 규정은 취급하는 정보의 유형에 따라 요건을 정하고 있으며, 레벨 2는 모든 대상에 적용되는 110개 요건으로 구성된 목록 중 하나입니다. 국방부가 2026년 7월 프로그램의 일부를 일시 중단한다고 발표한 바에 따르면, 이번 검토는 중소기업 및 비전통적 기업의 진입 장벽을 낮추는 것을 목표로 한다고 밝혔습니다.
CMMC 레벨 2에서는 오픈소스 출처 기록이 필수인가요?
아닙니다. 사이버보안 성숙도 모델 인증(CMMC) 프로그램에서 110개의 레벨 2 요구사항 중 어느 것도 오픈 소스나 출처를 명시하지 않습니다. 사용자가 설치한 소프트웨어에 대한 설명(CM.L2-3.4.9)에는 금지된 설치 항목에 출처가 불분명하거나 의심스러운 소프트웨어가 포함될 수 있다고 명시되어 있지만, 이는 단순한 설명 문구일 뿐입니다. 공급망 위험은 두 개의 레벨 3 요구사항에서 명시되어 있습니다.
행동 계획과 주요 단계만으로도 결함 시정을 다룰 수 있을까?
그럴 수 없습니다. 실행 계획 및 주요 단계에는 하나의 암호화 예외를 제외하고는 1점짜리 요구사항만 포함될 수 있으며, 결함 수정(SI.L2-3.14.1)은 프로그램 규칙에 따라 5점으로 평가됩니다. 또한 실행 계획은 110점 만점에 최소 88점을 획득해야 하며, 180일 이내에 완료되어야 합니다. 그렇지 않으면 ‘조건부’ 상태가 만료됩니다.
평가 후 CMMC 규정 준수를 어떻게 유지하나요?
사이버보안 성숙도 모델 인증(CMMC) 프로그램에 따르면, 기업의 규정 준수 여부를 증명할 권한을 가진 ‘인증 담당자’는 매년 지속적인 규정 준수를 확인해야 합니다. 레벨 2 지위는 3년 동안 유효하며, 그 후 새로운 평가를 받아야 하고, 레벨 1 자체 평가는 매년 실시됩니다.
