안녕하세요! 복잡한 개념을 알기 쉽게 풀어드리는 여러분의 개념 안내자, 저스틴(Justin)입니다.

우리가 공부할 주제는 미국의 최신 방산 사이버 보안 정책과 암호 규제입니다.

제공해주신 기사는 아주 날카로운 현실을 꼬집고 있습니다. 기사는 이번 상황을 이렇게 요약합니다.

“걷힌 것은 평가표이고, 남은 것은 그 아래의 서명이다.”
— 하이테크정보 (2026), 美 전쟁부가 운영하는 CMMC는 멈췄지만, 암호 시계는 멈추지 않았다

신문 기사나 외신에서 “미국 국방부가 방산 보안 인증(CMMC)을 잠정 유예했다”는 소식을 들으면, 많은 사람들이 “아, 이제 당분간 숨 좀 돌려도 되겠구나!” 하고 생각하기 쉽습니다. 하지만 기사의 핵심은 정반대입니다.

[STAGE 1 — Why It Matters: 왜 이 구분이 중요할까요?]

한 가지 일상적인 비유를 들어보겠습니다.

여러분이 운전면허 학원에 다니고 있다고 상상해 보세요. 학원에서 “이번 달 도로주행 자체 시험은 잠시 일정을 미루겠습니다”라고 공지했습니다. 수험생 입장에서는 당장 시험을 보지 않으니 여유가 생긴 것 같죠.

그런데 그사이 경찰청에서 “다음 달부터 모든 도로의 음주운전 단속 기준과 신호 체계를 전면 교체합니다”라고 발표한다면 어떨까요? 학원 시험이 연기되었다고 해서 경찰청의 도로교통법 개정까지 멈추나요? 당연히 아닙니다. 법을 어기면 도로에 차를 끌고 나갈 수조차 없습니다.

미국 방산 조달 시장이 지금 정확히 이 상황입니다. 시험(외부 평가) 일정이 하나 미뤄졌다고 해서, 전혀 다른 기관들이 추진해 오던 기술 기준과 암호 시계까지 멈춘 것은 아닙니다. 이걸 혼동해서 준비를 멈췄다가는 나중에 부품이나 소프트웨어를 납품조차 못 하는 치명적인 위기를 맞게 됩니다.

[STAGE 2 — Unpacking the Core Concept: 세 개의 날짜, 세 명의 주인]

기사에서는 2026년 가을부터 2027년 초까지 연이어 등장하는 세 가지 마감일을 다룹니다. 이 세 날짜는 책상 위의 달력 한 장에 모여 있을 뿐, 도장을 찍는 주인이 완전히 다릅니다.

CMMC (사이버 보안 성숙도 모델 인증) — 미 국방부(DoW/DoD)
- 역할: 협력업체가 기본적인 보안 수칙(비밀번호 관리, 출입 통제 등)을 잘 지키는지 점검표를 들고 나와 검사하는 제도입니다.
- 현재 상황: 중소기업의 비용 부담을 줄이기 위해 민간 기관이 나와서 하던 ‘외부 3자 평가’를 잠시 멈췄습니다(유예).
- 주의할 점: 시험관이 방문하는 평가가 멈춘 것이지, 보안 기준(NIST SP 800-171)을 지키고 자체 점검 결과에 서명해야 하는 법적 의무 자체가 사라진 것은 아닙니다.
FIPS 140-3 (연방정보처리표준 암호 모듈 검증) — 미 상무부 표준기술연구소(NIST)
- 역할: 소프트웨어나 기기에 탑재된 자물쇠(암호 모듈)가 튼튼하게 만들어졌는지 국가 연구소가 공인해 주는 검증서입니다.
- 현재 상황: 구형 기준인 FIPS 140-2 검증서는 정해진 시한이 지나면 신규 시스템에 채택할 수 없는 과거 이력(Historical) 목록으로 넘어갑니다.
- 핵심: 이 규칙을 정한 곳은 국방부가 아니라 ‘상무부’입니다. 국방부가 자기 시험을 미뤘다고 해서 상무부의 암호 유효기간이 늘어나지 않습니다.
CNSA 2.0 (상업용 국가안보 알고리즘 제품군) — 미 국가안보국(NSA)
- 역할: 다가올 미래에 양자컴퓨터가 등장하면 기존 암호체계가 쉽게 뚫릴 수 있습니다. 이를 막기 위해 양자컴퓨터도 풀 수 없는 차세대 암호(양자내성암호, PQC)를 국가 핵심 통신망에 반드시 넣도록 강제하는 기준입니다.
- 핵심: 이것을 관할하는 주체는 ‘국가안보국(NSA)’입니다. 미국 국가안보시스템에 물품을 새로 납품하려면 2027년부터 이 규격을 맞춰야 합니다.

즉, 국방부가 멈춘 것은 ‘자신들이 만든 검사표’뿐입니다. 상무부의 암호 유효기간 만료 시계와 국가안보국의 차세대 암호 교체 시계는 지금도 초 단위로 흘러가고 있습니다.

[STAGE 3 — Evidence and Application: 비교로 확인하고 실무에 적용하기]

한눈에 정리해 볼까요? 세 기준의 차이를 표로 나누어 보면 왜 착각이 생겼는지가 명확해집니다.

구분	CMMC 2단계 (외부 평가)	FIPS 140-3 전환	CNSA 2.0 도입
주무 기관	미 국방부 (DoD / DoW)	미 상무부 기술연구소 (NIST)	미 국가안보국 (NSA)
규제의 본질	업무 환경 보안 평가 절차	암호 자물쇠의 안전성 시험	양자컴퓨터 대비 차세대 암호 강제
현재 상태	집행 일시 유예 (TF 검토)	예정대로 전환 진행 중	신규 조달 적용 확정 진행
기업의 착각	“모든 규제가 다 풀렸다”	“기존 쓰던 암호 모듈 계속 쓰면 되겠지”	“먼 미래의 일이다”

그렇다면 우리 기업, 특히 미국 국방 조달망에 부품이나 솔루션을 납품하려는 한국 방산·IT 기업은 지금 무엇을 해야 할까요? 기사는 두 가지 질문을 스스로에게 던져야 한다고 조언합니다.

우리의 최종 목적지가 어디인가?
단순 일반 소모품 납품인지, 미국의 국가안보시스템(NSS) 망과 연결되는 시스템인지 확인해야 합니다. 후자라면 CMMC 유예와 무관하게 CNSA 2.0(양자내성암호) 기준을 맞춰야 합니다.
우리가 쓰는 자물쇠(암호 모듈)의 출처는 어디인가?
자체적으로 암호 엔진을 개발해 NIST의 검증(CMVP) 대기열에 서야 하는지, 아니면 이미 검증을 통과한 전문 보안 모듈을 완제품에 부품처럼 탑재할 것인지 전략을 분리해야 합니다. 암호 검증 대기열은 병목 현상이 심해 하루아침에 통과할 수 없기 때문입니다.

[STAGE 4 — Summary and Extension: 핵심 정리와 생각해 볼 문제]

오늘 배운 내용을 한 줄로 요약해 드리겠습니다.

“평가관의 현장 방문(CMMC)은 연기되었지만, 제품에 들어가야 할 암호 기술의 교체 기한(NIST·NSA)은 단 하루도 멈추지 않았다.”

단어가 복잡해 보이지만, ‘누가 정한 규칙인가(주무 부처)’와 ‘무엇을 요구하는가(절차인가 기술인가)’를 분리해서 바라보면 시장의 진짜 흐름이 보입니다.

강의를 마무리하며, 여러분이 스스로 개념을 점검해 볼 수 있는 간단한 질문 두 가지를 남깁니다.

미 국방부가 CMMC 2단계 외부 평가를 유예했음에도 불구하고, 방산 협력업체가 자체 보안 점검을 소홀히 할 수 없는 법적 이유는 무엇일까요?
FIPS 140-2 검증서가 ‘이력(Historical) 목록’으로 옮겨진다는 것은 해당 암호 제품에 정확히 어떤 기술적·조달적 제약을 의미하나요?