국내용 CC인증땐 보안적합성 면제
국산장비 글로벌 경쟁력 약화 우려
외산 진입 막기위한 자구책 논란도
국산장비 글로벌 경쟁력 약화 우려
외산 진입 막기위한 자구책 논란도
■ 보안 강국이 IT강국이다
국정원은 오는 10월부터 국가ㆍ공공기관이 레이어3 이상의 스위치, 라우터, IP-교환기를 도입할 때 보안적합성 검증을 의무화한다는 방침이다.
국정원이 제시한 최소 보안요구 확인 사항은 △안전한 패스워드 설정 등 식별ㆍ인증 △설정규칙에 따른 트래픽 제어 등과 같은 정보흐름통제 △보안관리 △자체시험 △안전한 세션관리 △접근통제 △전송 데이터 보호 △감시기록 등 8개 분야를 망라한 21개의 세부사항으로 구성된다.
현재 국ㆍ외산 11개 업체를 대상으로 검증작업이 시행되고 있고, 자체 검증은 국정원 산하 국가보안기술연구소에서 도맡아 실시할 예정이다. 이같은 과정을 거친 뒤 확정된 보안적합성 인증 세부사항은 도입 한 달 전쯤에 확정돼 통보될 것으로 보인다.
이를 준비하고 있는 한 국산 장비업체 관계자는 "일단 자체 검증은 국ㆍ외산 업체들이 무리 없이 참가할 수 있을 정도의 수준"이라면서 "향후 정식 제도가 어떻게 꾸려질지는 모르겠지만, 국산업체로써는 비용과 절차 부담이 다소 부담스럽게 느껴지는 측면도 있다"고 말했다.
나아가 국정원은 2016년부터 네트워크 장비의 국제공통평가기준(CC) 인증도 의무화할 방침이다. 즉, 2016년부터는 보안적합성 검사와 국제용 CC인증을 모두 거쳐야만 공공기간에 장비 납품이 가능해지게 되는 것이다. 다만 국내용 CC인증을 획득할 경우 보안적합성 검증은 면제받을 수 있다.
이를 두고 업계간 갑론을박도 한창이다. 국제용 CC를 받은 업체는 보안적합성 검증을 한 번 더 받아야하지만, 국내용 CC를 받으면 그럴 필요가 없어 차별이 존재한다는 시각이 팽배하기 때문이다. 국산업체들은 보안적합성 검사를 면제받기 위해 국내용 CC인증을 획득해야만 하지만, 국제용 CC인증을 획득한 외산업체들은 보안적합성 검사를 한 번 더 받아야 하는 상황에 놓이게 된다. 한 글로벌 업체 임원은 "이미 자국에서 소스코드를 공개하고 국제용 CC인증을 받았는데 국정원의 새로운 보안적합성 검증을 받아야하는 것은 다소 부당하게 느껴진다"고 토로했다.
결과적으로 국산 장비업체들이 국제 인증이 아닌 국내 인증에만 쏠리게 되면서, 사실상 글로벌 진출이나 전 세계적인 보안 인증의 흐름과는 동떨어진 지위에 머물게 되는 게 아니냐는 우려도 제기된다. 국산 장비의 경쟁력 강화에 도움이 되는 일인지, 아니면 그저 외산 업체의 진입을 막기 위한 자구책인지도 생각해봐야 할 문제로 대두되고 있다.
박소영기자 cat@
국정원은 오는 10월부터 국가ㆍ공공기관이 레이어3 이상의 스위치, 라우터, IP-교환기를 도입할 때 보안적합성 검증을 의무화한다는 방침이다.
국정원이 제시한 최소 보안요구 확인 사항은 △안전한 패스워드 설정 등 식별ㆍ인증 △설정규칙에 따른 트래픽 제어 등과 같은 정보흐름통제 △보안관리 △자체시험 △안전한 세션관리 △접근통제 △전송 데이터 보호 △감시기록 등 8개 분야를 망라한 21개의 세부사항으로 구성된다.
현재 국ㆍ외산 11개 업체를 대상으로 검증작업이 시행되고 있고, 자체 검증은 국정원 산하 국가보안기술연구소에서 도맡아 실시할 예정이다. 이같은 과정을 거친 뒤 확정된 보안적합성 인증 세부사항은 도입 한 달 전쯤에 확정돼 통보될 것으로 보인다.
이를 준비하고 있는 한 국산 장비업체 관계자는 "일단 자체 검증은 국ㆍ외산 업체들이 무리 없이 참가할 수 있을 정도의 수준"이라면서 "향후 정식 제도가 어떻게 꾸려질지는 모르겠지만, 국산업체로써는 비용과 절차 부담이 다소 부담스럽게 느껴지는 측면도 있다"고 말했다.
나아가 국정원은 2016년부터 네트워크 장비의 국제공통평가기준(CC) 인증도 의무화할 방침이다. 즉, 2016년부터는 보안적합성 검사와 국제용 CC인증을 모두 거쳐야만 공공기간에 장비 납품이 가능해지게 되는 것이다. 다만 국내용 CC인증을 획득할 경우 보안적합성 검증은 면제받을 수 있다.
이를 두고 업계간 갑론을박도 한창이다. 국제용 CC를 받은 업체는 보안적합성 검증을 한 번 더 받아야하지만, 국내용 CC를 받으면 그럴 필요가 없어 차별이 존재한다는 시각이 팽배하기 때문이다. 국산업체들은 보안적합성 검사를 면제받기 위해 국내용 CC인증을 획득해야만 하지만, 국제용 CC인증을 획득한 외산업체들은 보안적합성 검사를 한 번 더 받아야 하는 상황에 놓이게 된다. 한 글로벌 업체 임원은 "이미 자국에서 소스코드를 공개하고 국제용 CC인증을 받았는데 국정원의 새로운 보안적합성 검증을 받아야하는 것은 다소 부당하게 느껴진다"고 토로했다.
결과적으로 국산 장비업체들이 국제 인증이 아닌 국내 인증에만 쏠리게 되면서, 사실상 글로벌 진출이나 전 세계적인 보안 인증의 흐름과는 동떨어진 지위에 머물게 되는 게 아니냐는 우려도 제기된다. 국산 장비의 경쟁력 강화에 도움이 되는 일인지, 아니면 그저 외산 업체의 진입을 막기 위한 자구책인지도 생각해봐야 할 문제로 대두되고 있다.
박소영기자 cat@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
