VisualPro
K-RMF 시대, 위험관리 '체계'를 위험분석 '실행'으로
무기체계 사이버보안 K-RMF × MITRE TARA — VisualPro 정량 위협분석 플랫폼
제품: VisualPro TARA | 대상: 방산업체 · 협력업체 · 획득 관계기관 | 발행일: 2026-07-21
K-RMFNIST RMFMITRE TARACTSA · CRRAMCP 연동 예정
01제도는 확정됐고, 남은 것은 실행입니다 (TL;DR)
한국형 국방 보안위험관리체계 K-RMF가 2024년 7월 본격 시행에 들어가, 2024년 7월 1일 이후 소요가 결정되거나 신규 제기되는 무기체계부터 적용되고 있습니다. 2026년 현재, 새로 개발되는 무기체계는 사실상 모두 적용 대상입니다. 문제는 실행입니다. K-RMF는 "무엇을 관리하라"를 정한 프레임워크이지, "위험을 어떻게 식별·평가·완화하라"는 분석 방법까지 제공하지는 않습니다.
그 실행의 공백을 채우는 것이 MITRE TARA(CTSA/CRRA) 기반의 정량 위협분석이며, VisualPro는 위협 카탈로그 관리부터 보안통제 추적성, 인가 근거 문서화까지 K-RMF의 기술적 실행을 단일 플랫폼에서 지원합니다.
프레임워크는 "무엇을"을 정하고, TARA는 "어떻게"를 실행합니다 — TARA 분석을 지원하는 MCP(AI 에이전트 연동) 기능도 곧 추가될 예정입니다.
02왜 지금인가 — K-RMF를 둘러싼 3가지 변화
① 제도의 확정 — 지시에서 법률로, 우선 적용에서 전면 확대로제도 확정
K-RMF는 2020년 국방부 TF가 미국 NIST RMF와 ISO 27001을 기반으로 설계를 시작해, 2024년 4월 '국방 사이버보안 위험관리 지시' 제정, 2025년 1월 국방정보화법 개정으로 법적 근거까지 갖췄습니다. 무기체계에는 2024년 7월 1일 이후 소요결정·신규제기 체계부터 적용되며, 소요 제기 단계에서 시스템 보안분류와 인가권자 지정이 요구됩니다. 전 수명주기 사이버 위험관리가 계약 요구사항으로 내려오기 시작했다는 뜻입니다.
② 수출 경쟁력과 직결 — 미국 RMF 시장은 약 24조 원 규모수출 요건
K-RMF는 미국 RMF와의 정합성을 전제로 설계됐습니다. 미국 국방 RMF 관련 산업은 약 24조 원 규모로 평가되며, K-방산이 미국·동맹국 시장에 진출하려면 상호 인정 가능한 보안위험관리 근거가 필수라는 지적이 업계에서 반복되고 있습니다. K-RMF 대응 역량은 이제 내수 규제 준수가 아니라 수출 자격 요건의 성격을 갖습니다.
③ 생태계의 격차 — 방산업체 80여 곳, 협력업체 250여 곳공급망
적용 대상은 체계개발 주관 업체만이 아닙니다. 방산업체 약 80곳과 협력업체 약 250곳이 공급망 전반에서 보안통제 이행과 입증을 요구받게 되지만, 군 내부와 달리 민간의 교육·도구·경험 축적은 아직 초기 단계입니다. 준비된 기업과 그렇지 않은 기업의 격차가 수주 경쟁력 격차로 이어지는 구간입니다.
03K-RMF 6단계, 각 단계에서 실제로 필요한 분석은 무엇인가요?
K-RMF는 미국 NIST RMF를 우리 군 환경에 맞게 조정한 6단계 절차로 구성됩니다. 6단계 전반에 걸쳐 반복 요구되는 것은 결국 "위협을 식별하고, 정량 평가하고, 통제와 연결하고, 근거를 추적 가능하게 남기는 일"입니다.
| 단계 | 내용 | 실행에 필요한 분석 |
|---|
| 1. 시스템 보안분류 | 체계의 중요도·연결 정보·침해 영향 평가 | 자산 식별, 임무 영향 분석 |
| 2. 보안통제항목 선정 | 분류 결과에 맞는 통제 베이스라인 선정·조정 | 위협분석 기반 통제 조정(Tailoring) 근거 |
| 3. 구현 | 선정된 통제를 설계·개발에 반영 | 통제 ↔ 설계 요소 추적성 |
| 4. 보안평가 | 통제의 구현·운영 적절성 평가 | 잔존 위험 정량 평가 |
| 5. 시스템 인가 | 위험 수용 여부에 대한 승인권자 결정 | 위험 근거 문서(인가 패키지) |
| 6. 모니터링 | 운용 단계의 지속적 위험 관리 | 신규 취약점 반영·재평가 체계 |
프레임워크는 이 일을 시키지만, 어떻게 할지는 각 기관과 업체의 몫으로 남깁니다.
04실행 방법론 — K-RMF의 공백을 채우는 MITRE TARA
MITRE TARA는 미 국방 분야에서 임무 보증(Mission Assurance)을 위해 개발된 정량 위협분석 방법론으로, K-RMF의 분석 공백을 채우는 데 가장 정합성이 높은 선택지입니다. MAE·CAPEC·CWE·CVE 등 사전 구축된 카탈로그와 정량 스코어링으로 분석의 일관성·반복성을 보장합니다.
| TARA 단계 | 산출물 | K-RMF에서의 쓰임 |
|---|
CTSA
(사이버 위협
취약성 분석) | 정량 순위화된 위협 매트릭스 | 1단계 보안분류의 영향 평가 근거, 2단계 통제 선정·조정의 위협 근거 |
CRRA
(사이버 위험
개선 분석) | 비용 대비 효과 기준 최적 대응책 집합 + TTP↔대응책↔임무역량 추적성 | 3단계 구현 대상 통제의 우선순위, 4단계 평가·5단계 인가의 잔존 위험 근거 |
분석자에 따라 결과가 달라지는 정성 평가로는 인가권자를 설득하기 어렵고, 감사와 재평가에도 대응할 수 없습니다. 카탈로그 기반 정량 분석이라는 TARA의 성격 자체가 K-RMF의 문서화·재현성 요구와 맞물립니다.
05VisualPro는 K-RMF 실행을 어떻게 지원하나요?
위협 카탈로그의 데이터베이스화카탈로그
MAE·CAPEC·CWE·CVE 기반 TTP/대응책 카탈로그를 플랫폼 내 라이브러리로 관리하고 자산 아키텍처와 체계적으로 대조합니다. 엑셀 파편화 없이 일관성·반복성이 유지되어, 6단계 모니터링에서의 재평가도 같은 기준으로 수행됩니다.
통제 추적성의 디지털 스레드Traceability
위협(TTP) ↔ 보안통제(대응책) ↔ 보호 대상 임무 역량이 단일 DB에서 1:1로 연동됩니다. 설계 변경이나 신규 취약점 반영 시 전체 분석이 자동 동기화되어, K-RMF 3단계(구현)와 6단계(모니터링)가 요구하는 살아있는 추적성을 유지합니다.
인가 근거 문서 자동화자동화
위협 매트릭스 산출과 정량 스코어링을 자동화하고, 승인권자·감사 대응용 보고서를 국·영문으로 출력합니다. 5단계 인가 패키지의 위험 근거 문서를 분석 DB에서 직접 생성합니다.
MCP 기반 AI 에이전트 연동 (예정)MCP 예정
FMEA·FTA·STPA·HARA에 이어 TARA 분석을 지원하는 MCP(Model Context Protocol) 기능이 곧 추가될 예정입니다. Claude 등 AI 에이전트가 VisualPro와 직접 통신하며 후보 TTP 식별부터 스코어링, 대응책 매핑까지 대화형으로 수행하고, 분석자는 결과 검증에 집중합니다. 분석 인력이 부족한 협력업체일수록 체감 효과가 큰 기능입니다.
06자주 묻는 질문 (FAQ)
Q1K-RMF와 TARA는 무엇이 다른가요? 둘 다 해야 하나요?
역할이 다릅니다. K-RMF는 전 수명주기 보안위험관리의 절차와 책임을 정한 관리 프레임워크("무엇을")이고, TARA는 그 안에서 위협 식별·정량 평가·대응책 도출을 수행하는 분석 방법론("어떻게")입니다. 대립하는 선택지가 아니라, K-RMF 이행의 기술적 근거를 TARA가 만들어 주는 보완 관계입니다.
Q2체계개발 주관사가 아닌 협력업체(중소기업)도 지금 준비해야 하나요?
네. 보안통제 이행 요구는 공급망을 따라 협력업체까지 내려오며, 구성품 단위에서도 위협분석과 통제 이행 근거를 요구받게 됩니다. 오히려 전담 보안 조직이 없는 중소 협력업체일수록 카탈로그와 분석 절차가 내장된 도구로 대응하는 것이 현실적인 전략입니다.
07지금 시작하세요 (Next Step)
K-RMF는 이미 시행 단계에 들어섰고, 위험분석 역량은 하루아침에 만들어지지 않습니다. 자동차 사이버보안(ISO/SAE 21434)과 국방 TARA에서 검증된 VisualPro로, 인가 심사가 닥치기 전에 위협분석 체계를 구축하십시오.
카탈로그로 도출하고, 정량으로 평가하고, 추적성으로 입증한다 — VisualPro와 함께하는 K-RMF 실행.
VisualPro 도입 · K-RMF 위협분석 문의
한국형 국방 보안위험관리체계 K-RMF가 2024년 7월 본격 시행에 들어가, 2024년 7월 1일 이후 소요가 결정되거나 신규 제기되는 무기체계부터 적용되고 있습니다. 2026년 현재, 새로 개발되는 무기체계는 사실상 모두 적용 대상입니다. 문제는 실행입니다. K-RMF는 "무엇을 관리하라"를 정한 프레임워크이지, "위험을 어떻게 식별·평가·완화하라"는 분석 방법까지 제공하지는 않습니다.
그 실행의 공백을 채우는 것이 MITRE TARA(CTSA/CRRA) 기반의 정량 위협분석이며, VisualPro는 위협 카탈로그 관리부터 보안통제 추적성, 인가 근거 문서화까지 K-RMF의 기술적 실행을 단일 플랫폼에서 지원합니다.
K-RMF는 미국 NIST RMF를 우리 군 환경에 맞게 조정한 6단계 절차로 구성됩니다. 6단계 전반에 걸쳐 반복 요구되는 것은 결국 "위협을 식별하고, 정량 평가하고, 통제와 연결하고, 근거를 추적 가능하게 남기는 일"입니다.
프레임워크는 이 일을 시키지만, 어떻게 할지는 각 기관과 업체의 몫으로 남깁니다.
MITRE TARA는 미 국방 분야에서 임무 보증(Mission Assurance)을 위해 개발된 정량 위협분석 방법론으로, K-RMF의 분석 공백을 채우는 데 가장 정합성이 높은 선택지입니다. MAE·CAPEC·CWE·CVE 등 사전 구축된 카탈로그와 정량 스코어링으로 분석의 일관성·반복성을 보장합니다.
(사이버 위협
취약성 분석)
(사이버 위험
개선 분석)
분석자에 따라 결과가 달라지는 정성 평가로는 인가권자를 설득하기 어렵고, 감사와 재평가에도 대응할 수 없습니다. 카탈로그 기반 정량 분석이라는 TARA의 성격 자체가 K-RMF의 문서화·재현성 요구와 맞물립니다.
K-RMF는 이미 시행 단계에 들어섰고, 위험분석 역량은 하루아침에 만들어지지 않습니다. 자동차 사이버보안(ISO/SAE 21434)과 국방 TARA에서 검증된 VisualPro로, 인가 심사가 닥치기 전에 위협분석 체계를 구축하십시오.