이번 글에서는, KASA 「한국형 시스템 엔지니어링 프로세스 및 요구조건」 핸드북 제4장, ‘수명주기 단계별 시스템 엔지니어링 문서의 기대 성숙도’ 를 중심으로 분석했습니다.

이 장은 각 개발 단계에서 작성되는 문서가 어느 수준까지 완성되어야 하는지를 제시하며,
이를 보안 관점에서 해석하면 ‘보안 요구의 성숙 시점’을 정의한 구조로 볼 수 있습니다.

또한, 국가정보원의 「우주시스템 사이버보안 가이드라인」(2025.9) 도 함께 참고하여, 핸드북의 문서 성숙도와 실제 보안 통제 간의 연계를 살펴보았습니다.

1. 문서 성숙도의 의미?

핸드북 제4장은 각 단계별 문서의 성숙도 수준(Maturity Level) 을 정의하고 있습니다.
이는 각 문서의 완성도를 통해 “다음 단계 진입 준비 여부” 를 판단하기 위한 기준으로, 보안 관련 문서 역시 동일한 원칙이 적용됩니다.

즉,

보안 요구사항은 별도로 추가되는 것이 아니라
수명주기 전 단계에서 점진적으로 성숙하는 문서의 일부로 포함되어야 합니다.

2. 보안 관점에서의 시사점

  • 보안 요구사항은 초기 단계부터 문서화되어야 하며, 개발 이후 보완이 아닌 진화형 구조로 관리되어야 함.
  • 각 문서 간 보안 요구 추적성(Security Traceability) 을 유지해야 함.
  • “요구 → 설계 → 개발·시험 → 운영 → 폐기” 전 과정에서 보안 문서의 연속성(Security Continuity) 확보가 필요함.

3. KSEP 기반 보안 문서 성숙도 구조

핸드북은 문서를 KSEP(한국형 시스템 엔지니어링 프로세스) 체계로 관리합니다.
이를 보안 시각에서 ‘보안 요구사항의 성숙도 모델(Security Maturity Model)’ 로 재해석하면 다음과 같습니다.

수명주기 관련 KSEP 문서 보안 해석
요구분석 KSEP-1 이해관계자 요구조건 문서 임무 목표와 함께 보안 목표 및 위협요소 식별. 이후 모든 요구의 기준.
설계(구체화) KSEP-2 시스템 요구조건 문서
KSEP-4 시스템 접속 관리 문서
KSEP-6 시스템 설계 문서		 암호화·인증·무결성 등 보안 요구를 구체화하고, 통신·접속 구조에 보안 통제 반영.
개발·시험 KSEP-7 시험 및 검증 문서 보안 기능 시험, 취약점 점검, 결함 추적 절차 포함. 결과는 구성관리 체계에 반영.
운영·유지보수 KSEP-9 운영 지원 문서 운영자 권한 분리, 접근통제, 로그·포렌식 절차 포함. 주기적 보안 점검 수행.
임무 종료(폐기) KSEP-11 임무 종료 문서 데이터 폐기, 키 회수, 시스템 종료 전 보안 검증 및 폐기 절차 수행.
📌 핸드북 제4장 인용: “KSEP 문서의 성숙도는 수명주기 단계 진입 기준으로 활용될 수 있다.”

🔹 4. 핵심 요약

핸드북 제4장은 문서 중심으로 시스템의 성숙도를 정의하지만, 보안 관점에서는 이를 ‘보안 요구의 진화 모델’ 로 확장할 수 있습니다.

보안 요구는

  • 요구분석 단계에서 정의되고,
  • 설계 단계에서 구체화되며,
  • 개발·시험 단계에서 검증되고,
  • 운영 단계에서 유지되며,
  • 임무 종료 시 완전하게 폐기됩니다.

결국, 보안은 시스템 생명주기의 일부가 아니라 전 과정을 관통하는 체계적 흐름입니다.

📘 *다음 글(2-B)* 에서는 위 구조를 바탕으로 각 단계별로 보안 요구가 실제 어떻게 구현·검증되는지를 구체적으로 살펴보고, 국가정보원 「우주시스템 사이버보안 가이드라인」의 통제 항목과 비교 분석하겠습니다.