보안업계, 인증 적용 필요성 인정하지만 유예기간 필요해

[보안뉴스 엄호식 기자] 지난 2018년 1월 국가정보원(이하 국정원)은 각 부처에 “공공기관에 IP 카메라와 NVR 등 영상보안 장비를 도입할 경우, 한국정보통신기술협회(TTA)의 ‘공공기관용 보안인증(이하 TTA 인증)’을 획득한 제품을 사용하라”는 권고를 담은 공문을 보냈다. 이 같은 내용의 공문을 수신한 각 부처는 산하 지방자치단체(지자체)와 공공기관에 국정원 공문을 바탕으로 영상보안장비 보안 기준을 공문을 발송했지만, 권고사항임에도 정작 ‘권고’라는 두 글자가 담기지 않아 일부 지자체와 기관은 이를 권고가 아닌 의무 사항으로 받아들여 혼란을 야기했다.


▲[이미지=utoimage]

그리고 5년여가 흐른 지난 3월 ‘국가·공공기관 사이버보안 정책 일부 변경 시행 통보’라는 제목의 공문이 전달됐다. 여기에는 영상정보처리기기를 도입하고자 하는 경우, 한국정보통신기술협회(TTA)의 공공기관용 보안 성능품질 인증 등 일정한 보안성능이 확인된 제품을 도입해야 한다고 명시해 국내 영상보안시장은 또 한 번 혼란에 빠졌다.

공공기관용 보안성능 품질 인증 획득 권고에서 필수로 변경

▲공공기관 및 지자체에 발송된 공문[자료=본지 입수]
본지 취재에 따르면 국가정보원은 지난 3월 초 ‘국가·공공기관 사이버보안 정책 일부 변경 시행 통보’에 앞서 최근 미국과 영국 등 주요국들이 국가 안보 차원에서 안전성이 검증되지 않은 CCTV 사용을 제한하는 등 보안을 강화하는 추세라며 ‘국가 사이버안보 정책 개선 및 보안 강화를 위해 CCTV 도입·운영 실태 파악’을 요청하니 3월 14일까지 회신을 달라는 협조 공문을 발송했다.

여기에는 각급 기관별로 국가정보보안 기본지침 제89조(영상정보처리기기 보안)에 따라 CCTV 운영관리(독립망 운영, 원격 접속 차단 등)에 대한 긴급 보안점검을 자체 실시하고 보안 취약 요인을 사전에 적출·개선하라고 명시했다. 그리고 국가정보보안 기본지침 제23조(영상정보처리기기 도입)에 의거 한국정보통신기술협회(TTA)의 공공기관용 보안인증을 받아 안전성이 확인된 CCTV 도입을 권고한다는 내용을 담았다.

그리고 ‘국가·공공기관 사이버보안 정책 일부 변경 시행 통보’라는 제목의 공문을 통해 3월 20일부터 “각급기관의 장은 국가정보보안 기본지침 제89조제1항에 따른 영상정보처리기기를 도입하고자 하는 경우 한국정보통신기술협회(TTA)의 공공기관용 보안 성능품질 인증 등 일정한 보안 성능이 확인된 제품을 우선적으로 도입할 수 있음”이라는 기존의 ‘국가정보보안 기본지침 제23조제1항’을 “한국정보통신기술협회(TTA)의 공공기관용 보안성능 품질 인증 등 일정한 보안성능이 확인된 제품을 도입해야 한다”라고 변경한다고 밝혔다. 이러한 내용과 관련해 국가정보보안 기본지침(2023.1.31. 시행) 제23조(영상정보처리기기 도입) 적용을 중지하며 차기 지침 개정 시 상기 내용으로 개정할 예정이오니 각급기관은 위 보안정책을 적용해 3월 17일부터 시행해달라는 내용이 담겼다.

TTA 인증, 2023년 2월까지 시험인증, 기업 219개의 730개 모델 인증획득
TTA 인증은 TTA의 ‘CCTV 성능 시험·인증’ 서비스의 한 부분으로 원래 지능형 영상 장비 및 솔루션 관련 국내 제조 개발사를 대상으로 기술개발 시험환경을 구축하고 인증제도를 마련하는 한편, 산업계 사업화 촉진을 지원하기 위해 만들어졌다. 연구시설과 장비 등 테스트베드를 구축하고 시험규격을 개발해 국내 영상보안 업계의 제품 성능과 상호운용성 등 기술경쟁력을 제고하고, 산학연관 네트워크를 통해 정보 교류, 교육, 시장기술동향 수집, 해외진출 지원 등 산업계를 종합적으로 지원함으로써 국내 중소 영상보안 업체를 육성하고 저가의 외산 제품으로 인한 내수시장 혼탁을 방지하는 것이 주 내용이다.

TTA 자료에 따르면 공공기관용 보안 성능품질 시험인증이 시작된 2018년부터 2023년 2월까지 인증을 획득한 기업은 219개이며 총 730개 모델(IP 카메라 655개, NVR 75개)이 인증을 획득했다.

5년여의 기간 동안 늘어난 인증획득 제품, 제도 시행에 힘 실어
2018년과 달라진 상황은 여기에 있다. 당시 뜨거운 논란이 있었던 2018년 4월을 기준으로 TTA 인증을 획득한 풀-HD급 IP 카메라로 인증받은 업체는 15개였으며 제품은 45개 모델(파생모델 포함)이었고, NVR은 7개 업체 26개 모델이 인증을 획득했다. 하지만 올해 2월까지 219개 업체의 730개 제품이 인증을 획득했고 이러한 인증제품의 증가와 더불어 미국과 영국 등 주요국들이 국가 안보차원에서 안전성이 검증되지 않은 CCTV 사용을 제한하는 등 보안을 강화하는 추세의 변화가 이번 제도 시행에 힘을 실었다.


▲공공기관용 보안 성능품질 시험인증 획득 현황[자료=한국정보통신기술협회(TTA)]

해외 상황을 살펴보면 2019년 미국이 국방수권법을 통해 정부 기관의 중국산 CCTV 조달을 금지한 데 이어 2022년 11월에는 영국도 국가 안보 우려를 이유로 정부 내 주요 보안시설에서 중국산 CCTV 사용을 금지했다. 호주도 올해 2월 호주 연방정부 산하 건물 250여 곳에 설치된 약 1,000대의 중국산 CCTV 시스템의 철거를 진행하고 있다는 소식이 전해졌다.

이러한 상황에 더해 지난 3월 인터넷에 영상이 유출된 서울 강남의 한 성형외과 내부 IP 카메라가 보안에 취약한 ‘중국산’ 제품으로 확인됐다는 다수의 보도가 이어지며 보안 강화에 대한 이슈가 부각됐고, 국정원은 2018년 이후 5년여간 인증을 획득할 기회를 제공했기에 업체가 대응할 충분한 시간을 제공했다는 것이 제도 시행에 무리가 없다는 의견을 제시한 것으로 알려졌다.

보안업계, 인증 필수 적용에 대한 유예기간 필요하다
이러한 상황에서 보안업계 관계자들은 보안 인증 적용은 어쩔 수 없지만, 유예기간도 없이 급작스럽게 적용한 것에 당황스러워했다. 당황스럽기는 지자체와 공공기관 관계자들도 마찬가지였다. 제품을 구입하거나 시스템 구축을 위해 설계를 진행하던 지자체 및 공공기관 관계자들은 도입 제품이 TTA 인증을 획득했는지 확인하고 필요한 제품을 다시 찾아야 한다. 또, 공공기관이나 지자체가 주로 구입하는 나라장터에 등록된 제품 모두가 TTA 인증을 획득한 것은 아니기에 일일이 정보를 찾거나 업체에 문의해야 하는 상황이다.

그렇다면 보안업계와 수요자들은 ‘국가·공공기관 CCTV 도입에 있어 TTA 공공기관용 보안성능 품질인증 필수 적용’에 대해 어떤 생각을 하고 있을까? 보안뉴스는 온라인 회원을 대상으로 이에 대한 의견조사를 진행했다. 4월 12일부터 18일까지 진행된 설문에는 총 1,143명이 참여했다. 설문 응답자의 근무 회사 형태는 일반기업이 59.6%로 가장 많았으며, 중앙부처·지자체·공공기관·공기업이 22%, 보안기업이 18.1%였다.

국가정보원에서 “국가·공공기관에는 ‘TTA 인증’ 등 일정한 보안성능이 확인된 제품을 도입해야 한다”고 밝힌 사실을 알고 있는가에 대한 물음에 75.3%가 ‘알고 있다’고 답했으며, 23.9%는 ‘전혀 알지 못했다’고 답했다.

국가·공공기관 제품 도입에 대해 TTA 인증을 획득한 제품만 가능하게 한 것에 대해 어떻게 생각하느냐는 물음에 대해서는 41.7%가 ‘필요한 조치이기는 하지만 실행되기 전 공청회나 유예기간 등이 필요했다고 생각한다’고 답했으며, 32.8%는 ‘공공기관에 도입되는 것이기에 꼭 필요한 조치라고 생각한다’고 답했다. 이어 21.5%는 ‘한정된 기업만 누리는 혜택이 될 수 있을 것 같다’고 답했다.

근무하는 회사에서 TTA의 공공기관용 보안성능품질 인증을 획득한 제품이 있는가에 대한 물음에는 25.5%가 ‘인증을 획득한 제품이 있다’고 답했으며, 16.3%는 ‘인증획득을 위해 절차를 진행하고 있다’고 밝혔다. 이어 44.1%는 ‘인증을 획득한 제품이 없다’고 답했으며 8.7%는 ‘인증획득에 관심 없다’라고 답했다.


▲설문 결과[자료=보안뉴스]

인증을 획득했거나 절차를 진행하고 있다면 인증 획득에 든 기간 혹은 소요 예상 기간은 얼마나 되는가에 대한 물음에는 ‘1년 이상’이 27.6%로 가장 많았으며 18.4%는 ‘6개월 미만’, 17.8%는 ‘1년 미만’이라고 답했다. 이어 13.1%는 ‘3개월 미만’, 7.3%는 ‘9개월 미만’이라고 응답했다.

TTA 인증 획득에 가장 큰 애로사항으로는 34.1%가 ‘인증 비용’이라고 답했으며, 27%가 ‘인증 획득 소요 시간’을, 22.8%가 ‘인증 절차’를 꼽았다. TTA 인증 획득을 위한 비용은 얼마가 적당하다고 생각하는가에 대한 물음에는 15%가 ‘100만원 이하’를 꼽았으며, 8.7%가 ‘50만원 이하’를 꼽았다. 이어 8.4%는 ‘300만원 이하’, 6.8%는 ‘500만원 이하’, 6.1%는 ‘200만원 이하’를 꼽았다. 또, △KC 인증 수준의 비용이 적당하다고 생각한다 △수요성과 제품 사양에 따라 차등 돼야 한다 △제품단가의 5% 이내 △같은 솔루션의 제품이라면 하나만 받아도 되도록 변경됐으면 한다 △원천모델 인증 시 OEM사도 동일하게 적용돼야 한다 △인증 비용에 대해 정부지원이 이루어졌으면 좋겠다 등의 답변을 전했다.


▲설문 결과[자료=보안뉴스]

TTA 인증 획득에 드는 가장 적정한 기간은 어느 정도일까에 대해서는 ‘1개월 이내’라는 응답이 31.2%로 가장 많았으며, ‘3개월 이내’가 28.1%로 뒤를 이었다. 이어 ‘6개월 이내’가 9.2%, ‘2개월 이내’가 8.4%, ‘1년 미만’ 3.7% 등의 순이었다. 이외에도 △인증 기간도 중요하지만 인증 기관이 확대되어야 한다 △기간도 중요하지만, 유효성과 정확성이 더 중요하다 등의 응답도 있었다.

이번 조치에 대해 유예기간이 주어진다면 얼마의 기간이 적당하다고 생각하는가에 대한 물음에는 ‘1년 이상’이 36.5%로 가장 높았다. 이어 ‘1년 미만’ 30.4%, ‘6개월 이내’ 13.9%, ‘3개월 이내’ 8.4% 등의 순이었다.


▲설문 결과[자료=보안뉴스]

유관기관 및 TTA, 제도 시행 유예와 안정적인 운영 위해 노력
영상보안 분야를 대표하는 유관기관인 ‘한국영상정보연구조합’과 ‘한국감시기기공업협동조합’은 이번 제도 시행에 대해 문제점을 취합하고 관련 부처 및 시험인증 기관인 TTA에 의견과 진정·건의서 등을 제출하고 간담회를 마련하는 등 개선과 협력을 위해 노력하고 있다.

이번 제도 시행에 대해 취합된 문제점으로는 크게 △인증 비용에 대한 부담 △인증 획득을 위한 소요 시간에 대한 부담 △한정된 인증 기관 그리고 △유예기간 없는 적용 등을 꼽을 수 있다.

특히, 현재 TTA 인증을 위해서는 모델당 600~700만원 이상의 비용이 들어가며, 단순히 인증 비용뿐만 아니라 인증을 받기 위해 제품을 제공해야 해 제품의 가격까지 생각하면 업체가 실제로 부담해야 하는 비용은 더 늘어난다. 또, 업계 관계자들에 따르면 인증 획득에 최소 6개월에서 1년 이상의 시간이 소요되며, TTA 한 곳에서만 인증이 진행되고 있고, 제도 시행으로 인해 신청 기업이 증가해 인증 획득에 대한 시간적인 부담은 더 커질 수도 있다는 우려를 전했다. 더불어 이러한 상황에서 유예기간 없이 제도를 시행하겠다는 것은 이미 인증을 획득한 기업에 특혜가 될 수 있다는 의견도 제시되고 있는 것으로 알려졌다.

한편, 시험인증 기관인 TTA 역시 이러한 상황을 해결할 다양한 방법을 논의하고 있으며 빠르면 5월부터 시험인증과 관련해 개선된 내용을 적용하기 위해 노력하고 있다고 밝혔다.
[엄호식 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>