MLPS 3.0 논의 초안 공개: 중소기업 사전 준비 체크리스트

2024년 하반기, MLPS 3.0(중국 등급보호제도, 즉 사이버 보안 등급보호 2.0 국가표준 정식판) 토론 초안이 업계 내에서 소규모로 회람되었습니다. 정식 버전은 아직 확정되지 않았지만, 주관 부처가 내놓은 신호는 이미 충분히 명확합니다. 데이터 보안의 비중이 크게 높아졌고, 클라우드 컴퓨팅과 산업 제어 시스템이 강제 평가 범위에 포함되었으며, MLPS 평가의 세분화 수준이 ‘시스템 단위’에서 ‘업무 기능 단위’로 정교해졌습니다. 베이징 시장 감독 부서는 최근 46개 과학·무역 기업을 표본 점검했는데, 60% 이상이 직전 MLPS 재평가에서 로그 보존 부족이나 경계 보호 미비로 시정 요구를 받았습니다. 이 수치는 제가 작년에 직접 접한 실제 상황보다도 다소 높은 편입니다.

MLPS 3.0 vs 2.0: 다섯 가지 핵심 차이가 처음부터 다시 해야 할지를 결정합니다

MLPS 2.0 체계에서 대부분의 중소기업이 해야 할 핵심 작업은 방화벽, 로그 감사, 모의 해킹 보고서를 갖추는 것이었습니다. 3.0 버전은 논리가 달라졌습니다. 더 이상 ‘있느냐’만 묻지 않고 ‘제대로 관리할 수 있느냐’를 캐묻습니다. 첫 번째 차이는 데이터 생애주기 관리입니다. 2.0은 데이터 백업과 접근 통제를 요구했지만, 3.0은 데이터 분류·등급화 요건을 새로 추가했습니다. 기업은 데이터 자산 목록을 직접 작성하고 민감도를 표기해야 하며, 이 목록은 평가기관에 보여주는 내부 통제 문서가 아니라 감독 플랫폼에 제출해야 하는 공식 자료입니다.

두 번째 차이는 클라우드 컴퓨팅 환경입니다. 자체 전산실을 운영하던 전통 기업은 물리적 경계만 잘 관리하면 됐지만, 이제는 업무 시스템이 퍼블릭 클라우드나 하이브리드 클라우드 구조를 사용하기만 하면 클라우드 플랫폼의 MLPS 자격, 테넌트 데이터 격리 방안, API 보안성까지 모두 기업 자체의 MLPS 평가 범위에 포함해야 합니다. 세 번째 차이는 산업 제어 시스템입니다. MLPS 3.0은 산업 제어 보안을 부록에서 독립 평가 대상으로 승격시켜, SCADA·PLC·DCS 시스템의 네트워크 구조, 통신 프로토콜, 운영 로그를 개별적으로 평가해야 합니다. 네 번째 차이는 공급망 보안입니다. 기업이 사용하는 서드파티 소프트웨어, 오픈소스 구성 요소, 외주 서비스 업체의 보안 역량이 평가 체계에 포함됩니다. 만약 귀사의 ERP 공급업체가 작년에 데이터 유출을 일으켰다면, 귀사의 MLPS 점수는 그대로 깎입니다. 다섯 번째 차이는 비상 대응입니다. 2.0에서 요구한 비상 대응 계획은 3.0에서 전용 훈련 주기, 훈련 기록 추적 역량, 사후 분석 보고서라는 세 가지 차원으로 세분화되었습니다.

새로 추가된 강제 요건: 이 세 가지를 통과하지 못하면 평가는 바로 탈락

MLPS 3.0 토론 초안에는 세 가지 강제 조항이 새로 추가되었으며, 어느 하나라도 충족하지 못하면 등급 결정을 통과할 수 없습니다. 제가 상담한 베이징 순이구의 한 식품 가공 기업을 예로 들면, 이들은 작년에 MLPS 2급을 받았지만 3.0이 시행되면 현재 관리 방식 중 최소 두 가지는 재구축해야 합니다.

첫 번째는 로그 보존 기간을 6개월에서 1년 이상으로 연장하고, 로그 내용에 사용자 행위 분석과 이상 조작 식별이 반드시 포함되어야 한다는 것입니다. 이는 기업이 로그를 저장하는 것에 그치지 않고 로그 분석 역량까지 갖춰야 한다는 뜻이며, 단순한 syslog 서버로는 해결되지 않습니다. 두 번째는 신원 인증 강화입니다. 3.0은 핵심 업무 시스템에 다중 인증을 요구하며, 비밀번호와 SMS 인증번호 조합은 더 이상 인정되지 않고 하드웨어 토큰이나 생체 인식 기반의 강한 인증 방식을 사용해야 합니다. 세 번째는 데이터 국경 간 이전 및 중요 데이터 역외 이전에 대한 보안 평가입니다. 귀사의 업무가 해외 서버로 사용자 정보를 전송하는 경우, 비록 로그 파일이라 하더라도 데이터 역외 이전 보안 평가 신고를 완료해야 합니다. 이 조항은 이전에는 대형 인터넷 플랫폼에만 적용되었지만, 이제는 연매출 5,000만 위안 이상 기업으로 적용 범위가 확대되었습니다.

1. 로그 보존 1년 이상, 행위 분석 및 이상 식별 포함
2. 핵심 업무 시스템 다중 인증 의무화(SMS 인증번호 제외)
3. 중요 데이터 역외 이전 시 보안 평가 신고 완료

위 세 가지는 3.0 버전 토론 초안에서 이견이 가장 적은 조항으로, 정식 시행 후 그대로 시행될 것으로 예상됩니다. 기업이 지금 해야 할 일은 현행 시스템 구조를 최대한 빨리 정리하고, 어떤 업무 모듈이 ‘핵심 업무’에 속하는지, 어떤 데이터가 ‘중요 데이터’ 정의에 해당할 수 있는지 판단하는 것입니다. 이 두 단계를 평가기관이 들어온 뒤로 미루면 시간과 자금 비용이 최소 두 배로 늘어납니다.

준비 기간과 컨설팅 비용: 중소기업이 6개월 안에 규정 준수를 완료하는 방법

MLPS 2.0 시대에는 시작부터 보고서 수령까지 업계 평균 기간이 3~4개월이었습니다. MLPS 3.0의 준비 기간은 5~8개월로 늘어날 것으로 예상되는데, 새로 추가된 데이터 분류·등급화, 공급망 보안, 다중 인증 개조 모두 조달과 구축에 긴 시간이 필요하기 때문입니다. 베이징 소재 기업이라면 지금 바로 격차 분석을 시작하시길 권합니다. 정식 문서가 내려온 뒤에 착수하는 일은 절대 피하십시오. 평가기관 일정은 보통 두세 달을 기다려야 하므로, 미리 시작하면 주도권을 쥘 수 있습니다.

비용 측면에서 MLPS 3급 평가 비용(시정 권고 및 보고서 작성 포함)은 시장가로 8만~15만 위안이며, 구체적인 금액은 시스템 규모와 업무 복잡도에 따라 달라집니다. 산업 제어 시스템이나 클라우드 컴퓨팅 구조가 포함되면 항목별로 2만~5만 위안의 전문 평가 비용이 추가됩니다. 시정 부분의 투입은 탄력성이 큰데, 기본 시정(로그 감사 장비 구매, 관리 제도 정비)에는 약 3만~8만 위안이 필요하고, 심층 시정(다중 인증 개조, 핵심 시스템 재구축)은 15만 위안 이상에 달할 수 있습니다. 적은 금액은 아니지만, 정부 프로젝트 입찰이나 특정 자격 신청이 필요한 기업에게 MLPS 인증서 자체가 진입 장벽이므로, 장기적 이익이 일회성 규정 준수 투자보다 훨씬 큽니다.

특별히 주의를 드릴 만한 상황이 하나 있습니다. 일부 기업은 최저 기준의 규정 준수를 먼저 하고, 정식 문서가 시행된 뒤 2차 시정을 하는 방식을 택합니다. 이런 전략은 2.0 시대에는 겨우 통했지만, 3.0 버전에서는 데이터 분류·등급화와 공급망 보안 두 가지 요건이 업무 시스템 저변부터 구조를 다시 설계해야 하는 리스크가 있으며, 2차 시정 비용은 일회성 규정 준수의 1.5배에서 2배에 달하는 경우가 많습니다. 초기 분석 비용을 아끼려다 시정 단계에서 처음부터 다시 만들고, 총액으로는 오히려 돈을 더 쓴 기업을 여러 곳 봤습니다.

IT 팀 인력이 부족한 중소기업이라면 내부에 전담 조직을 만들어 MLPS를 대응하기보다, MLPS 구축 경험이 있는 IT 운영 서비스 제공사에 전문적인 업무를 맡기는 편이 낫습니다. 숙련된 MLPS 서비스 제공사는 보통 평가기관 대응, 기술 시정, 제도 작성의 세 가지 업무를 동시에 처리할 수 있어, 중소기업은 업무 시스템 정보 제공과 인력 인터뷰에만 협조하면 되므로 일상 운영에 대한 방해를 줄일 수 있습니다. 귀사가 아직 전통적인 방화벽과 배스천 호스트 조합을 사용하고 있다면, 이 구조가 3.0의 트래픽 모니터링과 이상 행위 식별 요건을 충족할 수 있는지 우선 평가하시길 권합니다. 이 부분이 가장 격차가 발생하기 쉬운 지점입니다.