두산, 美 방산 보안 인증 컨설팅 자격 확보…국내 기업 진출 지원

미국 CMMC 공식 등록기관 자격 확보…중앙대와 맞춤형 컨설팅 체계 개발

두산이 미국 방산시장 진출을 준비하는 국내 기업을 대상으로 사이버보안 인증 컨설팅 사업을 확대한다.

두산 디지털이노베이션BU(DDI)는 미국 사이버보안 성숙도 모델 인증(CMMC) 공식 인정기구인 '사이버 AB'로부터 등록 컨설팅 기관(RPO) 자격을 취득했다고 30일 밝혔다. 국내 방산·제조기업을 대상으로 보안 수준 진단부터 인증 평가 준비와 사후 관리까지 지원할 계획이다.

CMMC는 미국 국방부 공급망에 참여하는 기업이 일정 수준 이상 사이버보안 역량을 갖췄는지 확인하는 제도다. 설계도면과 기술자료 등 민감한 정보가 외부로 유출되지 않도록 보호하는 데 목적이 있다.

두산 디지털이노베이션BU는 미국 사이버보안 성숙도 모델 인증(CMMC) 공식 인정기구인 '사이버 AB'로부터 등록 컨설팅 기관 자격을 취득했다고 밝혔다. (사진=챗GPT 활용)

미국은 2025년 11월부터 CMMC를 단계적으로 도입했다. 다만 올해 7월 당초 11월 시행할 예정이던 2단계 요구사항 적용을 중단하고 제도 전반을 재검토하기로 했다. 현재 1단계 자체평가 요건은 유지되고 있으며 기업별 계약 조건에 따라 필요한 보안 요건을 확인해야 한다.

이번에 DDI가 취득한 RPO는 기업이 CMMC 요건을 충족하도록 준비 과정을 돕는 컨설팅 기관 자격이다. 실제 인증 심사를 수행하는 평가기관과는 구분된다. 사이버 AB가 정한 요건을 충족한 기관은 공식 등록기관 명단에 이름을 올린다.

DDI는 CMMC 등록 실무자 자격을 보유한 전문 컨설턴트와 글로벌 IT 인프라 운영 경험을 활용해 기업별 맞춤형 서비스를 제공할 계획이다. 기존 보안 체계를 진단하고 부족한 부분을 파악한 뒤 필요한 시스템 구축과 개선 작업을 지원한다.

인증 평가에 필요한 증빙자료를 준비하고 전문 평가기관과 연계해 제3자 평가에도 대응한다. 컨설팅이 끝난 뒤에는 기업이 자체적으로 보안 수준을 점검하고 관리하도록 지원할 예정이다.

국내 기업 환경에 맞춘 컨설팅 체계도 마련했다. DDI는 중앙대학교 산업보안학과 및 보안대학원과 협력해 CMMC 컨설팅 방법론과 서비스를 공동 개발했다.

해당 방법론은 평가 범위 설정부터 보안 요구사항 진단, 개선 과제 이행, 증빙자료 확보와 모의평가, 실제 평가 대응과 사후 관리까지 5단계로 구성된다. 기업별로 현재 보안 수준과 인증 요건 사이에 어떤 차이가 있는지 분석하고 필요한 조치를 단계적으로 수행하는 방식이다.

DDI는 이번 자격 취득을 계기로 미국 방산 공급망 진출을 추진하는 국내 기업 보안 인증 준비를 지원하고 관련 컨설팅 사업을 확대할 방침이다.

이정환 DDI 전무는 "미국 방산 공급망에 참여하려는 국내 기업에 CMMC는 꾸준히 준비해야 할 보안 기준"이라며 "기업별 업무 환경과 보안 수준을 정확히 진단해 준비 과제를 구체적으로 제시하고 기업이 인증 이후에도 자체적으로 보안 수준을 관리할 수 있는 역량을 갖추도록 지원하겠다"고 말했다.