Assessor Experiences in CMMC Level 2 Certification Assessments: An Interpretative Phenomenological Analysis of Role Expectations

기술적 요약: CMMC 레벨 2 인증 평가에서의 평가자 경험

문제 제기
사이버보안 성숙도 모델 인증 (CMMC) 프로그램은 국방부 (DoD) 계약업체에 대한 제 3 자 평가가 공정성을 보장하기 위해 엄격한'비상담 (non-consultative)'모델 하에서 수행되어야 한다고 규정하고 있습니다. 이 체계 하에서 CMMC 제 3 자 평가 기관 (C3PAO) 과 그 평가자들은 인증을 희망하는 조직 (OSCs) 에게 시정 조치 지침이나 상담적 지원을 제공하는 것이 금지되어 있습니다. 정책이 이러한 제약을 정의하고 있지만, 평가자들이 실제로 이러한 역할 기대를 어떻게 경험하고 해석하며 대처하는지에 대한 이해에는 상당한 격차가 존재합니다. 기존 문헌은 조직의 구현, 준수 결과, 그리고 체계 설계에 초점을 맞추고 있으나, 이러한 규칙을 현실화하는 평가자들의 실제 경험을 분석하지는 못했습니다. 본 연구는 다음과 같은 연구 질문에 답하고자 합니다: CMMC 평가자들은 레벨 2 인증 평가 과정에서 역할 기대를 어떻게 경험하고 해석하는가?

연구 방법론
본 연구는 CMMC 인증 평가자 (CCAs) 의 실제 경험을 조사하기 위해 **해석적 현상학적 분석 (IPA)**을 활용한 탐색적 질적 연구 설계를 채택했습니다.

• 참여자: NIST SP 800-171 평가 및 CMMC 레벨 2 평가에 광범위한 경험을 가진 두 명의 수석 평가자 (각각"티모시"와"존"으로 명명됨) 가 참여했습니다. 두 사람 모두 비상담 모델 하에서 최소 5 건 이상의 평가를 수행한 경력이 있습니다.
• 데이터 수집: Zoom 을 통해 반구조화된 인터뷰를 실시했으며, 각 인터뷰는 약 60 분간 진행되었습니다. 인터뷰는 역할 기대, 운영상의 제약, 그리고 비상담 요구사항의 해석에 중점을 두었습니다.
• 분석: 전사본은 다단계 IPA 접근법을 사용하여 분석되었습니다. 여기에는 반복 독해, 초기 기록, 그리고 각 참여자에 대한 개인 경험적 주제 (PETs) 개발이 포함되었습니다. 이후, 수렴 및 발산 패턴을 식별하기 위해 사례 간 비교를 수행하여 **집단 경험적 주제 (GETs)**를 도출했습니다.
• 이론적 체계: 분석은 제한된 제도적 환경 내에서 평가자들이 어떻게 상충되는 기대 (예: 공정성 필요성 대 OSC 의 실질적 필요) 를 조화시키는지 해석하기 위해 역할 갈등 이론과 조직 역할 이론에 의해 안내되었습니다.
• 엄격성: 본 연구는 감사 추적 (audit trail) 을 유지하고, 익명화를 활용하며, 해석적 주장을 참여자의 진술과 구분하기 위해 분석적 반성 (analytic reflexivity) 을 보장했습니다.

주요 결과
분석은 평가자들이 그들의 전문적 현실을 어떻게 구성하는지 설명하는 세 가지 주요 집단 경험적 주제 (GETs) 를 도출했습니다:

1. 전문적 신뢰성과 평가자 정체성 (GET C.1):
   평가자들은 기술적 역량, 축적된 경험, 그리고 전문 행동 강령 (CoPC) 준수에서 비롯된 전문적 신뢰성을 기반으로 자신의 정체성을 확립합니다.

   • 수렴: 두 참여자 모두 신뢰성을 CMMC 생태계의 기대와 일치하는 수행을 통해 입증되는 것으로 봅니다.
   • 발산: 한 참여자는 채용 및 조직적 신뢰와 같은 외부적 검증을 강조한 반면, 다른 참여자는 독립성과 경계 명확성과 같은 윤리적 검증을 강조했습니다.

2. 평가 업무로서의 기술적, 진화적, 그리고 고도로 구조화된 실천 (GET C.2):
   평가는 정적인 준수 활동이 아니라 지속적인 방법론적 정밀도를 요구하는 절차적이고 증거 기반의 과정으로 인식됩니다.

   • 수렴: 두 사람 모두 계획 수립, 문서 검토, 조정된 일정 관리, 그리고 엄격한 증거 관리에 중점을 둡니다.
   • 발산: 한 참여자는 생태계가 성숙함에 따라 최적화와 효율성 잠재력에 초점을 맞춘 반면, 다른 참여자는 구조적 엄격성과 프로세스에 대한 엄격한 준수를 주요 가치로 강조했습니다.

3. 실무에서의 비상담 모델 경계 탐색 (GET C.3):
   평가자들은 상담을 금지하는 공식 규정과 지침을 구하는 OSC 들의 실제 상황 사이에서 끊임없이 긴장을 경험합니다.

   • 수렴: 두 사람 모두 OSC 들이 명확화 요청이나 범위 정의 요청을 통해 경계를 자주 밀어붙인다고 인정합니다. 평가와 상담 사이의 경계를 유지하는 것은 프로그램의 무결성 핵심입니다.
   • 발산: 한 참여자는 준비되지 않은 OSC 들로 인한 체계적 모순과 운영상 부담을 강조하며, 경계가 넘어서면'지불하고 참여 (pay-to-play)'역학이 발생할 위험을 지적했습니다. 다른 참여자는 독립성을 유지하기 위한 전략으로서 자신감과 엄격한 소통을 강조하며, 이를 구조적 모순이 아닌 윤리적 필요성으로 규정했습니다.

기여 및 중요성
본 논문은 사이버보안 준수 연구 분야에 다음과 같은 세 가지 구체적인 기여를 주장합니다:

1. 실증적 통찰: 비상담 모델 내에서 CMMC 평가자들이 역할 기대와 경계 제약을 어떻게 해석하는지에 대한 최초의 실증적 조사를 제공함으로써, 이전 연구가 조직 결과에만 집중했던 공백을 메웠습니다.
2. 이론적 적용: 역할 갈등 이론과 조직 역할 이론이 사이버보안 준수 역할에 적용 가능함을 입증했습니다. 연구 결과에 따르면 평가자들은 정책을 기계적으로 따르는 것이 아니라, 기술적 역량에 의존하여 역할 기대를 안정화하고 구조화된 워크플로우를 사용하여 복잡성을 관리하는 적응적 행동을 통해 역할의 모호성과 갈등을 능동적으로 협상합니다.
3. 방법론적 검증: 본 연구는 구조화되고 정책 주도적인 맥락에서 실무자 경험을 조사하기 위해 IPA 를 사용하는 것을 지지하며, 형식적 제약 하에서 역할 해석의 뉘앙스를 효과적으로 포착할 수 있는 이데오그래픽 (idiographic) 분석을 보여줍니다.

실무적 함의 ( provisional)
저자들은 연구 결과에 기반하여 이해관계자 (DoD, C3PAO, OSC) 에게 임시적인 함의를 제시하며, 이는 비상담 모델을 약화시키는 것이 아니라 그 실행을 정교화하는 것을 필요로 한다고 명시합니다:

• 경계 기대 명확화: 평가자가 참여 과정에서 오해를 관리해야 하는 압력을 줄이기 위해 OSC 들에게 평가자가 할 수 있는 것과 할 수 없는 것을 설명하는 더 명확한 사전 평가 자료를 개발합니다.
• 워크플로우 표준화: 절차적 모호성과 평가 실행의 변이를 줄이기 위해 표준화된 일정 템플릿, 증거 제출 지침, 그리고 체크리스트를 구현합니다.
• 교육 강화: 평가자들이 상담하는 것처럼 보이지 않으면서 필요한 증거를 수집할 수 있도록 중립적 소통, 범위 검증 대화, 그리고 경계 유지 언어에 초점을 맞춘 평가자 교육을 강화합니다.

한계점
본 연구는 명시적으로 다음과 같은 한계를 인정합니다:

• 표본 크기: 참여자가 두 명뿐이므로, 연구 결과는 더 넓은 평가자 집단으로 일반화할 수 없습니다.
• 경험 수준: 참여자는 매우 경험이 풍부한 수석 평가자들이었으며, 그들의 관점은 경험이 적은 평가자들의 관점과 다를 수 있습니다.
• 맥락 특수성: 연구 결과는 CMMC 비상담 모델에 특화되어 있으며, 참여 규칙이 다른 다른 사이버보안 준수 체계 (예: ISO 27001, SOC 2) 에 직접 적용될 수는 없습니다.

결론
본 논문은 CMMC 레벨 2 평가에서의 평가자 경험이 역할의 모호성, 업무량의 복잡성, 그리고 상충되는 기대들의 상호작용에 의해 형성된다고 결론짓습니다. 평가자들은 프로그램 요구사항과의 정렬을 유지하기 위해 전문적 정체성, 구조화된 실천, 그리고 경계 관리 전략에 의존합니다. 본 연구는 CMMC 프로그램 설계가 검증 메커니즘을 담당하는 사람들에게 미치는 영향을 기초적인 통찰로 제공하며, 비상담 모델이 평가 결과의 신뢰성과 일관성에 영향을 미칠 수 있는 운영적 긴장을 조성하는 영역을 강조합니다.