공공기관 국산화율 23% 불과 외산 고리 끊어야
`보안적합성 인증` 의무화로 장비업계 새 희망가
`보안적합성 인증` 의무화로 장비업계 새 희망가
■ 보안 강국이 IT강국이다
같은 국가에서는 물론 전 세계가 단일 네트워크인 인터넷망을 통해 연결되는 초연결시대를 맞고 있다. 특히 정부부처 및 국가 주요 기간시설이 모두 네트워크로 연결되면서 통신장비를 통한 국가기밀 도ㆍ감청, 시스템 무력화 등 정보보안 위협이 날로 증대되고 있다.
최근 스노든이 공개한 미국 국가안보원(NSA) 등을 통한 일련의 도ㆍ감청 사례들을 보면, 네트워크를 통한 국가 정보전이 우려가 아니라 이제는 실제 현실로 드러났음을 확인할 수 있다. 전투화력을 동원한 무력전이 아니라 서로의 국가기밀을 빼앗기 위한 네트워크 전쟁, 보안 취약점을 비집고 들어가는 사이버 안보전이 발발할 가능성도 배제할 수 시대가 된 것이다.
특히 최근에는 전 세계적으로 중국 통신장비에 대한 정보보안 위협이 큰 이슈로 부각되면서, 이를 둘러싼 정치권의 공방도 뜨거워지고 있다. 실제 그동안 미국, 호주, 인도 등이 강력한 정보보안 정책을 앞세워 중국 통신장비 구입을 철저히 막아왔지만, 우리나라는 이렇다할 대책이 없어 `정보보안 취약국'이라는 오명을 벗지 못했다. 특히 국산화가 이뤄지지 않아, 대부분의 네트워크 장비를 외산에 의존하고 있는 주요 네트워크 제품의 경우, 보안 취약성이 매우 높은 장비임에도 불구하고 지금까지 보안검사가 전무해 그 실태는 더욱 심각한 실정이다.
전문가들은 스위치나 라우터가 모든 네트워크 길목에 필수적으로 들어가는 관문역할을 하기 때문에, 백도어 설치나 해킹이 현실화될 경우 치명적인 안보위협을 초래할 수 있다고 경고한다.
네트워크 보안을 둘러싼 국ㆍ내외의 목소리가 높아지자, 올해 들어 정부도 구체적인 대책 마련에 나섰다. 국가정보원이 오는 10월부터 공공기관에 공급되는 네트워크 장비에 대해 `보안적합성' 인증을 의무화하기로 결정한 것이다. 전 세계적으로 중국산 통신장비에 대한 정보보안 이슈가 불거진 데다, 지난해에 LG유플러스가 화웨이의 기지국 납품을 결정하자, 더 이상 네트워크 정보보안 이슈를 방치해둘 수 없다는 판단에 따른 것으로 보인다.
보안적합성 검사로 국산 네트워크 업체들의 선전도 자연스레 이어질 것으로 예상되고 있다. 한국네트워크산업협회에 따르면 지난해 144개 공공기관의 네트워크 장비 국산화율은 23.1%에 불과하고, 특히 주무부처인 미래창조과학부와 산하기관의 국산화율은 8.4%로 매우 열악한 수준이다. 외산 장비를 사용해온 경험이 공공기관이나 공무원들 사이에서 관행처럼 자리잡히다 보니, 국산 장비업체들로서는 이 고리를 끊는 것이 매우 어려웠던 게 사실이다.
그러나 최근 국정원이 보안적합성 검사 세부사항에 소스코드 공개를 요구하지 않을 것이라고 알려지면서, 공공기관의 외산장비 구축 억제 효과가 얼마나 나타날지 그 실효성에 의문이 제기되기도 했다. 당초 보안적합성 검사는 소스코드 공개 항목이 필수적으로 들어가, 이를 꺼리는 외산 업체들에게는 진입장벽이 될 것이라는 예상이 많았다. 그러나 국정원이 소스코드 공개 원칙 기조에서 한발 물러난 것으로 확인되면서, 오히려 장비업체들에게 인증 절차만 더 얹는 옥상옥 제도로 전락하는 게 아니냐는 논란이 일고 있다.
현재 국산 4곳과 외산 7곳 등 총 11개 네트워크 장비업체가 국정원 산하 국가보안연구소에 검증을 신청하고 보안적합성 인증 제도에 대비한 사전 검증작업을 추진하고 있다. 이들 업체들은 오는 4월말까지 선택 장비와 해당 설명서, 펌웨어 등을 국가보안연구소에 제출하고 자체검증을 진행한다. 그러나 소스코드 제출은 따로 요구되지 않았다.
장비업계 관계자는 "(국가보안연구소측에서) 외산업체에 소스코드 공개 대신 진입장벽을 가할 수 있을 만한 방법을 제안하라고 요구하기도 했다"면서 "소스코드를 공개하지 않고 보안적합성 인증을 받을 수 있도록 규정한다면, 오히려 공공기관 진출을 위한 절차만 늘어날 뿐 별 실효성을 얻지 못할 가능성이 크다"고 밝혔다.
결과적으로 국내 업체들은 보안적합성 심사를 거치는 데 드는 시간과 비용, 인력을 부담해야 하지만 국산 장비 활성화에 대해서는 의문을 제기하고 있고, 외산 업체들은 공공시장에 대한 외산 장비 원천 무효화가 아니냐며 반발하는 모양새다.
이제는 국정원, 국가보안연구소, IT보안인증사무국 등 정부기관과 국ㆍ외산 업체 등 업계가 의견을 조율하고 여러기관의 자문을 통해 국가 차원의 제대로 된 네트워크 보안 문턱을 만드는 일이 과제로 대두되고 있다.
박소영기자 cat@
같은 국가에서는 물론 전 세계가 단일 네트워크인 인터넷망을 통해 연결되는 초연결시대를 맞고 있다. 특히 정부부처 및 국가 주요 기간시설이 모두 네트워크로 연결되면서 통신장비를 통한 국가기밀 도ㆍ감청, 시스템 무력화 등 정보보안 위협이 날로 증대되고 있다.
최근 스노든이 공개한 미국 국가안보원(NSA) 등을 통한 일련의 도ㆍ감청 사례들을 보면, 네트워크를 통한 국가 정보전이 우려가 아니라 이제는 실제 현실로 드러났음을 확인할 수 있다. 전투화력을 동원한 무력전이 아니라 서로의 국가기밀을 빼앗기 위한 네트워크 전쟁, 보안 취약점을 비집고 들어가는 사이버 안보전이 발발할 가능성도 배제할 수 시대가 된 것이다.
특히 최근에는 전 세계적으로 중국 통신장비에 대한 정보보안 위협이 큰 이슈로 부각되면서, 이를 둘러싼 정치권의 공방도 뜨거워지고 있다. 실제 그동안 미국, 호주, 인도 등이 강력한 정보보안 정책을 앞세워 중국 통신장비 구입을 철저히 막아왔지만, 우리나라는 이렇다할 대책이 없어 `정보보안 취약국'이라는 오명을 벗지 못했다. 특히 국산화가 이뤄지지 않아, 대부분의 네트워크 장비를 외산에 의존하고 있는 주요 네트워크 제품의 경우, 보안 취약성이 매우 높은 장비임에도 불구하고 지금까지 보안검사가 전무해 그 실태는 더욱 심각한 실정이다.
전문가들은 스위치나 라우터가 모든 네트워크 길목에 필수적으로 들어가는 관문역할을 하기 때문에, 백도어 설치나 해킹이 현실화될 경우 치명적인 안보위협을 초래할 수 있다고 경고한다.
네트워크 보안을 둘러싼 국ㆍ내외의 목소리가 높아지자, 올해 들어 정부도 구체적인 대책 마련에 나섰다. 국가정보원이 오는 10월부터 공공기관에 공급되는 네트워크 장비에 대해 `보안적합성' 인증을 의무화하기로 결정한 것이다. 전 세계적으로 중국산 통신장비에 대한 정보보안 이슈가 불거진 데다, 지난해에 LG유플러스가 화웨이의 기지국 납품을 결정하자, 더 이상 네트워크 정보보안 이슈를 방치해둘 수 없다는 판단에 따른 것으로 보인다.
보안적합성 검사로 국산 네트워크 업체들의 선전도 자연스레 이어질 것으로 예상되고 있다. 한국네트워크산업협회에 따르면 지난해 144개 공공기관의 네트워크 장비 국산화율은 23.1%에 불과하고, 특히 주무부처인 미래창조과학부와 산하기관의 국산화율은 8.4%로 매우 열악한 수준이다. 외산 장비를 사용해온 경험이 공공기관이나 공무원들 사이에서 관행처럼 자리잡히다 보니, 국산 장비업체들로서는 이 고리를 끊는 것이 매우 어려웠던 게 사실이다.
그러나 최근 국정원이 보안적합성 검사 세부사항에 소스코드 공개를 요구하지 않을 것이라고 알려지면서, 공공기관의 외산장비 구축 억제 효과가 얼마나 나타날지 그 실효성에 의문이 제기되기도 했다. 당초 보안적합성 검사는 소스코드 공개 항목이 필수적으로 들어가, 이를 꺼리는 외산 업체들에게는 진입장벽이 될 것이라는 예상이 많았다. 그러나 국정원이 소스코드 공개 원칙 기조에서 한발 물러난 것으로 확인되면서, 오히려 장비업체들에게 인증 절차만 더 얹는 옥상옥 제도로 전락하는 게 아니냐는 논란이 일고 있다.
현재 국산 4곳과 외산 7곳 등 총 11개 네트워크 장비업체가 국정원 산하 국가보안연구소에 검증을 신청하고 보안적합성 인증 제도에 대비한 사전 검증작업을 추진하고 있다. 이들 업체들은 오는 4월말까지 선택 장비와 해당 설명서, 펌웨어 등을 국가보안연구소에 제출하고 자체검증을 진행한다. 그러나 소스코드 제출은 따로 요구되지 않았다.
장비업계 관계자는 "(국가보안연구소측에서) 외산업체에 소스코드 공개 대신 진입장벽을 가할 수 있을 만한 방법을 제안하라고 요구하기도 했다"면서 "소스코드를 공개하지 않고 보안적합성 인증을 받을 수 있도록 규정한다면, 오히려 공공기관 진출을 위한 절차만 늘어날 뿐 별 실효성을 얻지 못할 가능성이 크다"고 밝혔다.
결과적으로 국내 업체들은 보안적합성 심사를 거치는 데 드는 시간과 비용, 인력을 부담해야 하지만 국산 장비 활성화에 대해서는 의문을 제기하고 있고, 외산 업체들은 공공시장에 대한 외산 장비 원천 무효화가 아니냐며 반발하는 모양새다.
이제는 국정원, 국가보안연구소, IT보안인증사무국 등 정부기관과 국ㆍ외산 업체 등 업계가 의견을 조율하고 여러기관의 자문을 통해 국가 차원의 제대로 된 네트워크 보안 문턱을 만드는 일이 과제로 대두되고 있다.
박소영기자 cat@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
