IoT기기의 보안 강화를 위한 인증제도 검토
정보보호 제품·제도 관리체계 실효성 및 제도 개선

[보안뉴스 박은주 기자] 2023년 국정감사가 오는 10월 10일부터 27일까지 진행된다. 올해 과학기술정보통신부의 국정감사에서는 △사물인터넷(IoT) 보안인증 강화 △정보보호제품 신속확인제 활성화 △정보보호 공시제도 실효성 제고 △정보보호 관리체계 인증제도 개선 등이 논의된다. 이에 <보안뉴스>는 미리보는 2023년 국정감사 기획에서 과학기술정보통신부의 보안정책 관련 주요 이슈를 살펴본다.


[이미지=gettyimagesbank]

사물인터넷(IoT) 보안인증 강화
사물인터넷(IoT) 기기의 보안 강화를 위해 정보통신망법에 따라 정보통신망연결기기(이하 연결기기) 등에 관한 정보보호인증(임의 인증) 제도를 시행하고 있다. 연결기기 등의 정보보호인증(이하 IoT 보안인증)은 IoT 기기와 IoT앱을 대상으로 한다.


▲인증분야별 IoT 보안인증 건수[자료=KISA]

연결기기 등은 총 8가지 분야(가전, 교통, 금융, 스마트도시, 의료, 제조·생산, 주택, 통신 분야)가 있고, 총 7개의 인증영역으로 구분된다. IoT 보안인증은 보안요구사항 수준에 따라 라이트, 베이직, 스탠다드 3가지의 인증유형으로 구분된다.

인증신청인은 정보통신망연결기기등이 취급하는 정보의 중요도, 노출·변조에 대한 민감도, 서비스 적시성 등을 종합적으로 고려해 적합한 인증유형을 선택하도록 권고되며, 해당 인증유형에 포함되지 않은 인증기준을 추가적으로 만족하는 경우 신청된 인증유형에 ‘+’가 표시된다.

2018년부터 2023년 5월까지의 IoT 보안인증 총건수는 245건, 라이트 등급은 153건, 라이트+ 등급은 6건, 베이직 등급은 69건, 베이직+ 등급은 17건, 스탠다드 등급은 0건으로 조사됐다. 다양한 분야에서 이용이 증가하고 있는 IoT 기기는 보안취약점을 보유하고 있는 경우가 많으며, 이러한 취약점으로 인해 보안사고가 빈번하게 발생하고 있다. IoT 보안인증을 강화할 필요가 있으나, 현재 IoT 보안인증은 임의 인증으로 규정돼 있어 인증실적이 저조할 뿐만 아니라 IoT 보안인증 유형·분야별 인증 편차도 크다는 문제가 있다.

국민의 재산과 안전에 피해를 줄 수 있는 위해도가 높은 분야의 중대 IoT 기기에 대한 인증 의무화가 필요한 상황이다. 다만, 인증 의무화가 규제로 작용해 영세한 제조업체 등의 부담이 증가할 우려가 있어 의무화 대상 선정기준 마련을 위한 면밀한 검토가 필요할 것으로 보이며, 의무화 대상을 법률에 명확히 규정해야 한다.

또, IoT 보안인증 유형·분야별 인증 편차가 커 그 원인을 분석해 인증제도 개선에 반영할 필요가 있다. 스탠다드 유형과 금융 분야 인증 실적이 전무하고, 가전, 교통, 제조·생산 분야 인증 실적도 저조한 상황이므로 유형·분야별 인증을 검토해 대응방안을 모색해야 한다는 의견이다.


[이미지=gettyimagesbank]

정보보호제품 신속확인제 활성화
공공분야에 정보보호제품을 도입할 때는 평가 기준이 있는 20여종만 도입할 수 있어 기준이 없는 신기술 및 융·복합 제품은 기준 개발 및 평가에 시간이 오래 걸려, 급변하는 사이버위협 대응에 어려움이 따랐다.

이에 정부는 2022년 8월 18일 ‘제5회 국정현안점검조정회의’에서 ‘정보보호 규제개선 추진상황 및 계획’ 중 정보보호제품 보안인증 제도 개선을 위한 신속확인제 도입을 발표했다. 평가기준이 없어 인증을 획득하기 어려웠던 신기술 및 융·복합제품을 국가·공공기관이 도입할 수 있도록 제품의 보안성과 기능 적합성 등을 점검하는 제도인 정보보호제품 신속확인제 도입을 추진한 것이다.

2022년 10월 ‘정보보호 시스템 평가·인증 등에 관한 고시’를 개정·시행했으며, 2023년 4월 신속확인심의위원회는 제도 시행 이후 처음 상정된 제품에 대해 보안성과 기능을 심의해 ‘적합’으로 판정했다. 신청인은 보안점검(취약점 점검, 소프트웨어 보안약점 진단) 및 기능시험을 통해 사전준비를 거치고, 신속확인심의위원회에서 신속확인 심의를 해 심의 결과가 ‘적합’인 경우 확인서가 발급된다. 신속확인서를 발급받은 정보보호제품은 ‘나’, ‘다’ 그룹에 편성된 기관(공공분야)에 보안적합성 검증 없이 도입할 수 있었다.

2023년 11월부터 2023년 6월 2일까지 2개 기업이 신속확인 신청했고, 신청한 2개 기업에 확인서가 발급됐다. 하지만, 고도화되는 신규 보안 위협에 대응할 신기술 제품 등장을 촉진해 보안성을 강화하는 중요성을 감안할 때 시행 초기 단계인 현재 안정적으로 안착하고 활성화될 수 있도록 더욱 다방면의 적극적인 지원책이 마련·제공돼야 한다는 의견이다.

제도에 대한 적극적인 홍보를 통해 우수한 대상제품을 발굴하고, 수요처를 대상으로 신속확인제품을 적극적으로 안내하며, 다양한 후속지원 등을 제공해야 한다는 것이다. 현재 조달청 나라장터 종합쇼핑몰에 수의계약 대상으로 등록을 하려면 소프트웨어 품질인증(GS인증) 또는 정보보호제품 평가·인증(CC인증) 중 하나를 획득해야 한다. 이에 신속확인제 확인서를 받은 제품도 수의계약을 허용할 필요가 있다는 의견이다.

더불어 그 밖에 관련 컨설팅, 해외 진출, 판로 개척 및 홍보 등을 지원하기 위한 방안을 모색하고 시행할 필요가 있다. 정부는 2023년 4월부터 중소기업을 대상으로 보안점검·기능시험 수수료 지원 사업을 실시하고 있으며, 약 7개 기업에 지원을 실시한다는 계획을 밝혔다. 향후 제도가 활성화될 경우 지원신청이 많아질 수 있으므로 보다 많은 제품을 대상으로 지원을 할 수 있도록 충분한 예산을 확보가 마련돼야 한다.


[이미지=gettyimagesbank]

정보보호 공시제도 실효성 제고
정보보호 공시제도는 기업의 정보보호 관련 투자·인력 및 인증 유무 등의 현황을 공개하는 제도이다. 기업의 정보보호 투자를 확대하고, 이용자 보호를 강화하기 위해 2015년 도입된 제도로 2022년부터 공시 의무화가 시행됐다.

의무공시제 도입 첫해인 2022년 658개 사가 정보보호 공시에 참여했으며, 2023년 공시의무 대상기업은 상장회사 매출액 증가 등으로 인해 전년 대비 55개 사가 추가된 652개 사였다. 그런데, 의무공시제도 시행 후 공시 참여 기업이 증가했으나, 2022년도의 경우 공시내용의 정확성 및 신뢰도 측면에서는 미흡한 부분이 있었다.

소요 예산 미확보 등의 문제로 사후검증 대상기업 346개 사 중 표본으로 선정된 39개 사에 대해서만 사후검증이 진행됐고, 사후검증을 한 39개 사 모두 공시내용 정정이 필요한 것으로 확인됐다. 한편, 매출 규모나 이용자 수 등과 관계없이 기업의 정보보호 중요성이 커진다는 점을 고려할 때 의무공시 대상을 확대해야 한다는 문제도 제기됐다.

공시제도의 실효성을 제고하기 위해서는 사후검증에 필요한 예산 및 인력을 충분히 확보하여 사후검증 대상을 확대하고, 철저한 검증이 이루어질 수 있도록 하는 등 사후검증을 강화할 필요가 있다. 2023년도 정보보호 공시 사후검증 예산은 4억 5천만 원(30개 사×1,500만원)이 반영됐는데, 과기정통부는 검증 기간을 단축하고 검증대상을 확대해 70여 개 사에 대해 사후검증을 할 것이라 설명하고 있다.

그런데 2022년 사후검증 대상기업이 346개 사였고, 사후검증을 한 39개 사 모두가 공시내용 정정이 필요했던 점을 고려해 볼 때, 2023년 사후검증 시행 예정 규모(70여 개 사)가 충분하다고 보기 어렵다. 아울러, 검증 기간 단축으로 자칫 검증이 부실하게 이루어지지 않도록 검증에 만전을 다해야 한다는 의견이다.

정보보호 공시제도는 과학기술정보통신부가 주관하지만, 실무는 KISA가 담당하고 있는데, 현재 KISA 전담인력 3명이 각각 점검팀장을 맡아 회계사 및 감리사 등 전문인력으로 구성된 공시점검단을 운영하며, 점검단 전체 인원은 19명 정도로 부족한 상황이다. 일부 사업 분야 및 일정 규모 이상의 기업에 한정하고 있는 정보보호 공시 의무화 대상 범위를 확대해 나갈 필요가 있다는 주장이 제기된다.

2022년에 자율적으로 공시한 기업은 64개 사에 불과한 상황이다. 의무공시 대상이 아닌 기업에 대해서도 제도에 대한 적극적인 홍보·교육과 다양한 지원을 확대함으로써 많은 기업이 공시에 참여할 수 있도록 유도할 필요가 있다.


[이미지=gettyimagesbank]

정보보호 관리체계 인증제도 개선
정부는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제47조에 따라 정보통신망의 안정성·신뢰성 확보를 위해 관리적·기술적·물리적 보호조치를 포함한 종합적 관리체계(ISMS : Information Security Management System)를 수립·운영하는 자에 대해 인증을 실시하고 있다.

전기통신사업자, 집적정보통신시설 사업자, 매출액 또는 이용자 수가 일정한 요건에 해당하는 자는 ‘ISMS 인증’을 의무적으로 받아야 하며, 인증을 받지 않은 자에게는 3,000만원 이하의 과태료가 부과된다. 또한, 정부는 정보보호 관리체계와 개인정보 보호법 제32조의2에 따른 개인정보보호 관리체계(PIMS : Personal Information Management System)를 통합해 정보보호 및 개인정보보호 관리체계(ISMS-P : Personal Information & Information Security Management System) 인증제도를 운영하고 있다.

해당 제도에는 정보보호 중심의 ‘ISMS 인증’과 개인정보의 흐름과 정보보호 영역을 모두 인증하는 ‘ISMS-P 인증’ 두 가지 유형이 있다. 80개 보안항목으로 ISMS 인증을 실시하되, 추가로 22개 개인정보 항목까지 인증을 받는 경우 ISMS-P 인증을 부여하며, ISMS 의무대상자는 ISMS 또는 ISMS-P 인증을 취득한 경우 인증 의무를 이행한 것으로 판단한다. 2023년 5월 기준으로 총 739건의 ISMS 인증이 유지되고 있다.

하지만 LG유플러스와 카카오 등이 해킹·재난 등 사고에 제대로 대응하지 못하면서 ISMS 역할론에 의문이 제기되고 있다. ISMS 인증을 받은 후에도 정보기술 사고가 발생하고 있는데, 카카오의 경우 2013년부터 매년 ISMS 인증을 갱신하고 있을 뿐만 아니라 2019년 ISMS-P 인증을 획득했음에도 불구하고 2022년 10월 SK C&C 판교데이터센터 화재로 카카오톡을 비롯한 다수 카카오 서비스가 먹통이 됐었다.

사이버공격이 증가하고 있고, ISMS 인증 실효성 논란이 제기되고 있기에 ISMS 인증제도를 개선해야 한다는 목소리도 높아지고 있다. ISMS 인증 강화를 위해 기업 규모 등에 따라 인증 기준을 차등 적용하게 하는 ISMS 인증등급 차등화 방안이 고려돼야 한다는 것이다. 더불어 영세·중소기업을 위한 ISMS 간편인증 제도 도입도 필요하다는 의견이다. 이와 관련해 ISMS 간편인증 제도를 도입하는 내용의 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안’이 발의되기도 했다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>