[국방보안 칼럼] 3년에 한 번 오는 평가자, 24시간 두드리는 에이전트

2026년 7월 13일 미 국방부(전쟁부)는 방산 협력업체 사이버보안 인증제도 CMMC의 2단계 이행을 즉시 중단했다. 2019년 첫 발표 이후 7년, 두 차례 전면 재검토와 수년의 규칙 제정 끝에 2025년 11월 가까스로 시행에 들어간 제도가 제3자 인증 의무화를 눈앞에 두고 다시 멈춰 섰다. 이를 두고 국내외에서 ‘규제 중심 보안의 한계’라는 해석이 나오지만, 국방부 발표문을 정확히 읽으면 결론은 다르다.