CMMC 2.0 기반 DQMS 연계분석을 통한 방위산업체 통합 보안관리체계 구축 연구 = A Study on the Establishment of an Integrated Security Management System for Defense Industries through CMMC 2.0-based DQMS Correlation

국문 초록 (Abstract)

국내 방위산업체의 사이버보안 역량 강화를 위해 미국 국방부의 CMMC 2.0 (Cybersecurity Maturity Model Certification)과 국내 국방품질경영시스템(DQMS) 간의 구조적 연계 가능성을 분석하고, 이를 기반으로 통합 보안관리체계를 제안하였다. 디지털 전환과 글로벌 공급망 확대에 따라 기존 품질 중심 관리체계만으로는 사이버 위협 대응에 한계가 나타나고 있어, CMMC 2.0 Level 2의 14개 도메인 및 110개 통제항목을 DQMS 10개 조항에 매핑하여 정량·정성적 분석을 수행하였다. 그 결과, 품질경영체제(4.4항), 품질목표 달성기획(6.2항), 역량/적격성(7.2항), 문서화된 정보(7.5항), 내부심사(9.2항) 등 5개 조항이 75% 이상 높은 정합도를 보이며 보안 요소 통합의 핵심 영역으로 도출되었다. 이를 바탕으로 단계적 통합전략을 수립 하고, CMMC 2.0 Level 2 진단 체크시트를 활용한 자가 레벨평가(Self-Assessment) 시뮬레이션을 실시한 결과, 감점 기반 평가 구조에서 초기 –203점 대비 –124점으로 개선되었으며, 구성관리(CM), 보안평가(CA), 인식·교육훈련(AT), 미디어 보호(MP) 영역에서 두드러진 성과가 확인되었다. 제안된 모델은 CMMC 2.0 요구사항을 DQMS 문서체계와 운영절차에 실질적으로 통합한 최초의 실증적 접근이라는 의의를 지니 며, 방위산업체가 품질과 보안을 동시에 확보하는 융합형 관리체계로 전환할 수 있음을 보여준다. 또한 향후 DQMS 체계 내 보안 항목의 제도화 및 국제 인증 대응력 강화를 위한 기반 모델로 활용될 수 있을 것으로 기대된다.

다국어 초록 (Multilingual Abstract)

This study analyzes the structural linkage between the Cybersecurity Maturity Model Certification (CMMC) 2.0 of the U.S. Department of Defense and Korea’s Defense Quality Management System (DQMS) to strengthen cybersecurity capabilities in the domestic defense industry, and proposes an integrated security management framework. With the rapid digital transformation and expansion of global supply chains, a quality-oriented management system alone has become insufficient to effectively respond to emerging cyber threats. Accordingly, the Level 2 requirements of CMMC 2.0, consisting of 14 domains and 110 security controls, were systematically mapped to the 10 clauses of DQMS and examined through quantitative and qualitative analysis. The results identified five key clauses—Quality Management System (Clause 4.4), Planning to Achieve Quality Objectives (Clause 6.2), Competence (Clause 7.2), Documented Information (Clause 7.5), and Internal Audit (Clause 9.2) —demonstrating over 75% alignment and serving as core areas for embedding cybersecurity elements within the quality management process. Based on these findings, a phased integration strategy was developed, and a self-assessment simulation using the CMMC 2.0 Level 2 diagnostic checklist was conducted. The results showed improvement from –203 to –124 under the penalty-based scoring structure, with notable enhancement observed in Configuration Management (CM), Security Assessment (CA), Awareness & Training (AT), and Media Protection (MP). The proposed model presents the first empirical approach to systematically integrating CMMC 2.0 cybersecurity requirements into the DQMS documentation and operational framework, demonstrating the feasibility of transitioning defense contractors toward a converged management system that ensures both quality and security. Furthermore, the framework is expected to serve as a foundational model for institutionalizing cybersecurity within DQMS and enhancing international certification readiness across the defense industry.

목차 (Table of Contents)

• 표 목차 ⅳ
• 그림 목차 ⅴ
• 국문 초록 ⅵ
• 영문 초록 ⅶ
• Ⅰ. 서론 1
• 1. 연구 배경 및 필요성 1
• 2. 연구 목적 2
• Ⅱ. 이론적 논의 4
• 1. 방산업체의 보안 위협 사례 4
• 1) 방산업체 사이버 공격의 특징 4
• 2) 방산업체 보안 위협 경향 5
• 2. 선행연구 검토 7
• 1) 방산분야 사이버보안 연구동향 7
• 2) CMMC 관련 선행연구 7
• 3) DQMS 관련 선행연구 9
• 3. IATF 16949 & ISO/SAE 21434 구조적 연계성 10
• 1) IATF 16949:2016 11
• 2) ISO/SAE 21434 12
• 4. CMMC 2.0과 DQMS 개요 13
• 1) CMMC 2.0 개요 13
• 2) DQMS 개요 15
• Ⅲ. 연구 수행 방법 18
• Ⅳ. 방위산업에 적합한 보안 프레임워크 설계 21
• 1. 비교 분석 22
• 2. 정량적 매핑 23
• 3. 정성적 평가 26
• 4. 프레임워크 설계 및 실행전략 수립 27
• Ⅴ. 제안된 보안 프레임워크의 검증 29
• 1. 검증의 개요 29
• 2. 시뮬레이션 설계 및 가정 30
• 3. 평가 기준 및 측정방법 32
• 4. 시뮬레이션 결과분석 33
• 1) 인식 및 교육훈련(AT) 34
• 2) 감사 및 책임추적(AU) 34
• 3) 구성관리(CM) 35
• 4) 사고대응(IR) 35
• 5) 유지보수(MA) 35
• 6) 미디어 보호(MP) 35
• 7) 인원보안(PS) 36
• 8) 보안평가(CA) 36
• Ⅵ. 결론 및 제언 37
• 1. 품질-보안 융합관리체계로의 전환 38
• 2. 관리적 통제의 실효성과 기술적 통제의 보완 필요성 38
• 3. 종합 결론 39
• 참고문헌 40