정부는 보안제품의 신뢰성 향상과 객관적 판단기준을 마련하자는 취지에서 정보보호제품 평가제도를 마련, 지난 98년 2월 침입차단시스템(방화벽)에 이어 올 7월부터는 침입탐지시스템(IDS)에 대한 평가인증제도를 시행하고 있다.
정보보호제품 평가인증제는 각 보안제품의 보안기능에 따라 K1에서 K7까지 등급을 책정하는 제도로, K4등급 이상에 한해 국가공공기관에 납품할 수 있도록 규정하고 있다.
현재까지 시큐어소프트의 '수호신', 어울림정보기술의 '시큐어웍스', 켁신의 '화랑' 등 5개 방화벽 제품이 평가인증서를 받았으며, 최근 침입탐지시스템에 대한 평가인증제도가 전격 시행되면서 IDS 업체들도 앞다퉈 인증평가를 신청하고 있다.
이같은 정부의 정보보호평가인증제는 국산 보안제품 활성화에 기여한 것이 사실이다.
K4이상의 등급을 받으려면 핵심소스를 공개해야 한다는 점 때문에 국내인증 신청을 꺼려하는 외산제품에 대해 '방파제' 역할을 해온 것이다.
한국정보보호센터는 지난 99년 침입차단시스템 평가 실시 후, 그간 외산제품들이 독점하고 있던 국내 보안시장에서 국산제품의 시장점유율이 40% 이상으로 확대됐다고 평가하고 있다.
그러나 업계에서는 이제 인증제도가 단순한 바람막이 역할이 아니라 이용자들에게 가이드가 될만한 실질적인 제품평가 기준이 되어야 한다고 지적한다.
이를 위해서는 무엇보다 제품의 성능과 기능에 기반해 정보보호 등급이 매겨져야 한다.
많은 보안업계 관계자들은 "정보보호 등급을 잘 받으려면 실제 제품 성능보다도 인증에 필요한 서류를 얼마나 잘 작성했느냐가 중요하다"고 말하고 있다.
이 때문에 일부 업체들은 제품 성능향상 노력보다는 서류를 꾸미는 작업에만 매달리고 있다는 얘기까지 나오고 있는 실정이다.이처럼 정보보호 인증이 형식적인 평가에 치중하고 있는 것은 실질적인 제품평가에 필요한 전문인력이나 관련 장비 등이 부족하기 때문이다.
그럼에도 불구하고 정부는 평가대상을 침입차단시스템과 침입탐지시스템, 스마트카드 등으로 크게 확대했으며 최근에는 일반 기업이나 기관의 정보보호 수준에 대한 인증체계 마련도 추진중인 것으로 알려지고 있다.
이와 함께 최근에는 'K4등급 이상의 경우 핵심소스를 공개해야 한다'는 조건에 대해서도 회의적인 의견이 나오고 있다.
기업의 기밀유출 우려가 있음은 물론 장기적인 측면에서 해외수출에도 악영향을 초래할 수 있다는 것이다.
정부 관계자는 이에 대해 "국가안보에 치명적일 수 있는 국가공공기관 보안시스템(K4등급 이상)엔 소스공개가 필요하지만, 민수시장용 등급(K3 이하)에는 소스 공개 의무가 없는데도 업체들이 굳이 K4등급 이상의 인증서 획득에만 매달리고 있다"고 말하고 있다.
하지만 많은 업체들이 K3등급 이하 제품이라면 보안 성능이 크게 떨어진다고 인식하고 있는 상황에서 K3이하의 제품으로는 영업을 하는 것은 거의 불가능하기 때문에 어쩔 수 없다고 말하고 있다.
이와 관련, 업계 일각에서는 우리 보안산업의 경쟁력이 높아진 만큼 부작용의 우려가 있는 '바람막이'를 치우고 보다 실질적인 평가의 기준으로 전환해야 한다고 주장하고 있다.
보안제품의 품질에 대한 실질적인 평가를 추진하고 제품소스코드 공개 대상을 등급외 별도 사항으로 만들거나 공개 범위를 축소하는 방안도 적극적으로 검토해야 한다는 지적이다.
정보보호제품 평가인증제는 각 보안제품의 보안기능에 따라 K1에서 K7까지 등급을 책정하는 제도로, K4등급 이상에 한해 국가공공기관에 납품할 수 있도록 규정하고 있다.
현재까지 시큐어소프트의 '수호신', 어울림정보기술의 '시큐어웍스', 켁신의 '화랑' 등 5개 방화벽 제품이 평가인증서를 받았으며, 최근 침입탐지시스템에 대한 평가인증제도가 전격 시행되면서 IDS 업체들도 앞다퉈 인증평가를 신청하고 있다.
이같은 정부의 정보보호평가인증제는 국산 보안제품 활성화에 기여한 것이 사실이다.
K4이상의 등급을 받으려면 핵심소스를 공개해야 한다는 점 때문에 국내인증 신청을 꺼려하는 외산제품에 대해 '방파제' 역할을 해온 것이다.
한국정보보호센터는 지난 99년 침입차단시스템 평가 실시 후, 그간 외산제품들이 독점하고 있던 국내 보안시장에서 국산제품의 시장점유율이 40% 이상으로 확대됐다고 평가하고 있다.
그러나 업계에서는 이제 인증제도가 단순한 바람막이 역할이 아니라 이용자들에게 가이드가 될만한 실질적인 제품평가 기준이 되어야 한다고 지적한다.
이를 위해서는 무엇보다 제품의 성능과 기능에 기반해 정보보호 등급이 매겨져야 한다.
많은 보안업계 관계자들은 "정보보호 등급을 잘 받으려면 실제 제품 성능보다도 인증에 필요한 서류를 얼마나 잘 작성했느냐가 중요하다"고 말하고 있다.
이 때문에 일부 업체들은 제품 성능향상 노력보다는 서류를 꾸미는 작업에만 매달리고 있다는 얘기까지 나오고 있는 실정이다.이처럼 정보보호 인증이 형식적인 평가에 치중하고 있는 것은 실질적인 제품평가에 필요한 전문인력이나 관련 장비 등이 부족하기 때문이다.
그럼에도 불구하고 정부는 평가대상을 침입차단시스템과 침입탐지시스템, 스마트카드 등으로 크게 확대했으며 최근에는 일반 기업이나 기관의 정보보호 수준에 대한 인증체계 마련도 추진중인 것으로 알려지고 있다.
이와 함께 최근에는 'K4등급 이상의 경우 핵심소스를 공개해야 한다'는 조건에 대해서도 회의적인 의견이 나오고 있다.
기업의 기밀유출 우려가 있음은 물론 장기적인 측면에서 해외수출에도 악영향을 초래할 수 있다는 것이다.
정부 관계자는 이에 대해 "국가안보에 치명적일 수 있는 국가공공기관 보안시스템(K4등급 이상)엔 소스공개가 필요하지만, 민수시장용 등급(K3 이하)에는 소스 공개 의무가 없는데도 업체들이 굳이 K4등급 이상의 인증서 획득에만 매달리고 있다"고 말하고 있다.
하지만 많은 업체들이 K3등급 이하 제품이라면 보안 성능이 크게 떨어진다고 인식하고 있는 상황에서 K3이하의 제품으로는 영업을 하는 것은 거의 불가능하기 때문에 어쩔 수 없다고 말하고 있다.
이와 관련, 업계 일각에서는 우리 보안산업의 경쟁력이 높아진 만큼 부작용의 우려가 있는 '바람막이'를 치우고 보다 실질적인 평가의 기준으로 전환해야 한다고 주장하고 있다.
보안제품의 품질에 대한 실질적인 평가를 추진하고 제품소스코드 공개 대상을 등급외 별도 사항으로 만들거나 공개 범위를 축소하는 방안도 적극적으로 검토해야 한다는 지적이다.
