‘스마트한 정보보호 규제 개선’ 목표로 5대 분야 개선... 정보보호 산업 발전과 정보보호 인증 활성화 추진
CC인증 통합 정보안내 사이트 개설... 5개 인증기관 신청·대기 현황 등 정보 제공

[보안뉴스 원병철 기자] 과기정통부가 정보보호제품 평가·인증제도, 이른바 CC인증(Common Criteria)과 ISMS 등 정보보호 관련 인증제도 개선에 나섰다. 과기정통부는 ‘스마트한 정보보호 규제 개선’을 목표로 5대 분야를 개선해 정보보호 산업 발전과 정보보호 인증 활성화를 추진한다는 입장이다.


▲CC인증 평가단계[자료=한국정보보안기술원]

5대 분야 중 첫 번째는 △Standardization(표준화)으로 정보보호 인증 항목과 증빙서류를 표준화하고 간소화한다. 두 번째는 △Modification(조정)으로 유사인증의 중복을 제거하고 상호 호환성을 확대한다. 세 번째는 △Application(신청)으로 정보보호 인증을 신청하는 포털의 통합이다. 네 번째는 △Redesign(범위 재설계)으로 ICT 신산업(클라우드와 가상자산)의 사각지대를 해소하며, 마지막 다섯 번째는 △Total Service(종합 지원)로 정보보호 인증의 혜택을 확대한다.

특히 과기정통부는 CC인증 개선을 강조했다. CC인증은 정보보호 제품의 신뢰성 향상과 보안수준 제고를 위해 보안성을 평가하고 인증하기 위한 제도로, 국제표준이지만 국내 상황에 맞춰 일종의 ‘국내용 CC인증’이 별도 있다. 국가·공공기관에 방화벽과 스마트카드 등 23종의 정보보호 제품을 납품하기 위해서는 CC인증을 필수적으로 받아야 한다.

문제는 정보보안 기업이 CC인증을 받을 때 시간도 오래 걸리고, 신청 후 대기 시간도 길다는 것. 과기정통부에 따르면 코로나19로 인한 여파로 올해는 평균 10개월이 걸렸다고 한다. 게다가 보안 취약점이 나와 패치를 할 경우, CC인증 재평가를 받아야 하는 데, 이것도 1년 정도 걸리기 때문에 정보보안 기업의 애로사항이 매우 컸다.

이에 과기정통부는 대기 시간의 단축을 위해 CC인증 평가자 양성을 위한 교육을 지원하고, 대기 수요를 조정(5개 평가기관별로 대기 시간이 다름)할 방침이다. 특히 통합 정보안내 사이트를 개설해 5개 평가기관별 대기시간과 신청현황을 한 곳에서 제공할 계획이다. 아울러 웹서버와 DB 등 사용되는 오픈소스 SW 보안패치는 변경승인을 허용하는 한편, 평가비용(4,000만원→500만원)과 평가기간(1년→3주)을 줄이겠다고 강조했다.

신생기업의 인증준비도 지원한다. 온·오프라인에서 제도에 대한 기본 교육을 확대하고, 인증 컨설팅 서비스를 제공(2021년부터 3개 기업 선정)할 방침이다. 아울러 정보보안 기업이 자발적으로 보안취약점을 점검할 수 있도록 ‘소스코드 자가진단 SW’를 무료로 지원한다.

한편, 과기정통부는 정보보호 관리체계(ISMS) 인증에 대한 개선방안도 발표했다. ISMS 인증제도에서는 과거 수탁사가 고객사가 ISMS 인증을 받을 때마다 계속 함께 인증을 받던 것을 개선해 한 번 ISMS를 받으면 또 다른 고객사가 ISMS를 인증 받더라도 받지 않아도 되도록 했다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>