미 공군 출신 보안 전문가…20년 넘는 정보시스템 보호·연방 기준 평가 경력
핵심 요약
- 인다이렉트IT가 알렉시 존슨을 컴플라이언스 서비스 이사로 선임했다. 존슨은 사내 CMMC 프로그램과 관리형 서비스 고객의 규정 준수를 맡고, 방산업체 대상 자문을 이끈다.
사이버보안 기업 인다이렉트IT(inDirectIT)가 전 사이버보안 성숙도 모델 인증(CMMC) 레벨 2 수석 평가원인 알렉시 존슨(Alexy Johnson)을 컴플라이언스 서비스 이사로 선임했다고 11월 12일 발표했다. 미 공군에서 퇴역한 존슨은 20년 넘게 정보시스템 보호와 연방 사이버보안 기준 준수 평가 업무를 수행했다.
존슨은 사내 CMMC 프로그램을 주도하고 관리형 서비스 고객의 규정 준수를 감독하며, CMMC 자문 사업도 함께 이끈다. 회사는 보안 운영과 평가 양쪽에서 쌓은 그의 경험을 바탕으로 방산업체가 보안 조치를 도입하고 연방 요건 충족 여부를 입증하도록 지원한다.
이번 인사는 방위 공급망 기업의 사이버보안 평가 요건을 정하는 CMMC 프로그램이 바뀌는 가운데 이뤄졌다. 발표 자료에 따르면 미 국방부는 지난 7월 예정됐던 프로그램의 2단계를 중단했지만, 적용 대상 자체 평가 요건과 통제 비기밀정보 보호에 관한 기존 의무는 계속 유효하다.
존슨의 전문 분야에는 계약업체가 보유한 민감한 정부 정보의 보호조치를 정하는 NIST SP 800-171과 더 폭넓은 보안 통제 항목을 제시하는 NIST SP 800-53이 포함된다. 연방기관이 사용하는 클라우드 서비스의 보안 요건을 정하는 연방 위험·인증 관리 프로그램(FedRAMP) 경험도 갖췄다.
알제이 윌리엄스(RJ Williams) 인다이렉트IT 최고경영자(CEO)는 “알렉시는 공군 네트워크 보호부터 조직의 연방 기준 충족 여부 평가까지 사이버보안 규정 준수의 양쪽에서 일해 왔다”며 “우리 고객들은 중요한 연방 임무를 뒷받침하는 민감한 정보를 보호하면서 변화하는 요건에 대응하고 있다. 알렉시의 관점은 이러한 의무를 시스템 보안을 유지하는 일상 업무와 연결하는 데 도움이 된다”고 말했다.
존슨은 “공군 시스템 관리자로 일한 20년 동안 규정 준수는 시스템이 실제로 어떻게 작동하는지를 반영할 때만 유지될 수 있다는 것을 배웠다”며 “CMMC 평가원으로서 보안 통제가 존재한다고 문서화하는 데 그치지 않고 실제로 작동한다는 점을 입증하는 것이 중요하다는 것을 봤다”고 말했다. 이어 “요건이 바뀌더라도 지속되는 규정 준수 프로그램을 구축하는 데 집중하는 팀에 합류해 기쁘다. 이를 통해 우리 고객들이 자신들이 지원하는 연방 임무에 계속 집중할 수 있다”고 덧붙였다.
인다이렉트IT는 방산업체와 연방정부 공급업체를 대상으로 사이버보안, 클라우드 엔지니어링, 관리형 규정 준수 서비스를 제공한다. NIST SP 800-171, CMMC 준비, Microsoft 365 GCC High, Azure Government를 중심으로 보안 IT 환경을 설계·구축·운영한다. 회사는 자체 환경에 대해 CMMC 레벨 2 인증을 취득했으며, 직접 평가받은 경험을 보안·규정 준수 서비스에 활용한다고 설명했다.
