[해외보안뉴스] FBI CJIS v6.1 보안 정책 개정: 보안 팀이 알아야 할 핵심 사항
· 2026-09-22 02:00
· 조회 21
· 원문 ↗
미국 연방수사국(FBI)의 형사사법정보서비스(CJIS) 보안 정책이 v6.1 버전으로 최신화되었습니다. 이번 개정안은 암호화 규정과 취약점 점검 요구사항을 대폭 강화했으며, 일회성 점검이 아닌 지속적인 보안 평가 및 모니터링 체계로의 전환을 지속적으로 추진하는 것을 골자로 합니다.
이번 CJIS v6.1 개정안은 형사사법정보(CJI)를 처리하거나 해당 시스템에 접근하는 미국 연방, 주, 지방 정부 기관은 물론 이들과 협력하는 민간 IT 및 보안 협력업체 전체에 영향을 미칩니다. 특히 계정 식별 관리, 다중 인증(MFA), 비밀번호 정책 요구사항이 강화됨에 따라 향후 진행될 보안 감사에 대비한 사전 점검이 시급한 상황입니다.
보안 전문 기업 Specops에 따르면, 관련 기관 및 기업은 유출된 비밀번호 사용을 즉각 차단하는 시스템을 도입하고 모든 CJI 접근 접점에 강화된 MFA를 적용해야 합니다. 또한 최신 암호화 표준을 준수하고 실시간 취약점 스캐닝 및 지속적인 제어 모니터링을 통해 컴플라이언스 준수 상태를 상시 유지하는 대응 전략이 필요합니다.
♥ 추천 0
CJIS v6.1 대응을 위해서는 단순 일회성 점검이 아닌 CI/CD 파이프라인 내 SAST/DAST 및 의존성 스캔을 자동화하는 DevSecOps 체계 구축이 필수적입니다. 강화된 암호화 및 식별 요건에 맞춰 FIPS 준수 암호화 모듈 적용과 Zero Trust 기반의 MFA/IAM 아키텍처 재설계가 수반되어야 합니다. 향후 감사를 대비해 보안 정책을 코드화(Policy as Code)하고, 자격 증명 및 세션 관리 로직을 선제적으로 리팩토링해두는 것을 추천합니다.
CJIS v6.1의 MFA 및 암호화 강화로 인해 고전적인 패스워드 공격이나 무작위 취약점 노출을 통한 초기 침투는 한층 어려워졌습니다.
이제 공격자들의 시선은 AiTM(Adversary-in-the-Middle) 피싱을 통한 MFA 우회나, 식별·인증(Identity) 시스템 간의 연동 허점으로 빠르게 이동할 것입니다.
특히 '지속적 취약점 진단' 프로세스 도입 시 스캔 범위에서 누락된 예외 자산이나 미인증 구간이 공격자의 주요 초기 침투(Initial Access) 벡터가 될 가능성이 높습니다.
CJIS v6.1 개정은 강력한 식별·인증 체계 구축과 '지속적 보안 평가'로의 규제 패러다임 변화를 명확히 보여줍니다. 이제 보안 거버넌스는 일회성 감사 대응에 그치지 않고, 상시 데이터 암호화와 실시간 취약점 관리를 포함한 능동적 리스크 관리 체계로 전환되어야 합니다. 우리 조직 역시 선제적으로 계정 관리(IAM) 및 MFA 정책을 재점검하여 글로벌 수준의 규제 준수와 보안 타당성을 확보하겠습니다.