'서비스 대가' 방식 전환 추진
미래부 '가이드라인' 초안 마련
미래부 '가이드라인' 초안 마련
보안 제품 대가산정 방식이 현재 일반 소프트웨어(SW)와 유사한 '설치형' 구매 대가 방식에서 '서비스 대가' 방식으로 전환될 전망이다.
22일 미래창조과학부와 보안업계에 따르면 정부는 국가 정보보호 분야에 '서비스 대가' 방식 도입을 적극 검토하고 있다. 보안 솔루션 특성상 수시로 신기술에 대한 업데이트와 유지관리가 이뤄져야 하기 때문에 기존 국가계약법 상 SW에 대한 구매 대가로는 보안 제품에 대한 제값 지급이 어려웠기 때문이다.
실제로 보안 제품은 소프트웨어처럼 한번 설치한다고 끝나는 것이 아니다. A사의 백신이나 E사의 사전 취약점 탐지 솔루션, F사의 지능형지속위협(APT) 대응 솔루션을 도입했다 하더라도 매일 매순간 새로운 해킹 정보에 대한 업데이트와 유지관리가 이뤄지지 않으면 해킹 공격을 방어하기 어렵다. 정보보호 솔루션은 대다수가 SW 형태를 띠고 있지만 기존 상용 SW처럼 한번 설치하는 데 대한 '카피당 라이선스' 구매 구조로는 정보보호 기술을 제대로 구매하기가 어렵다. 매달 정기적인 업데이트와 해킹 방어 기술 확대, 패치 등이 이뤄져야만 정상적인 사이버 위협 방어가 가능하다.
하지만 현재 국가계약은 정보보호 제품을 SW 용역구매나 물품구매로 분류, 설치형을 기준으로 대가를 매기고 있기 때문에 저가 납품이 불가피한 현실이다.
IBM의 사이버보안 인텔리전스 보고서에 따르면 보안사고 중 80% 이상은 정보보호 제품 구비 미흡이 아닌, 서비스 부재로 인해 발생하는 것으로 나타났다. 즉 백신이나 각종 보안 장비를 구비 해 놓고도 이에 대한 제대로 된 보안 업데이트 및 정책 반영을 하지 않아 일어나는 보안 사고가 85%에 달한다는 것이다.
미래부 관계자는 "일반 IT 제품과 달리, 정보보호 제품은 상시 발생하는 바이러스, 웜 등 보안 위협에 대비해 주기적인 보안업데이트가 필요하다"면서 "지난 2014년 상반기에만 8000여건의 해킹과 46만건의 악성코드가 발생하고 있는데 이를 수시로 방어할 수 있는 정보보호 제품 업데이트와 유지관리가 이뤄지지 않으면 사이버 침해사고는 반드시 발생하게 되는 것"이라고 지적했다.
이에 미래부와 보안업계는 국가계약법상 용역이나 물품 구매로만 규정 돼 있는 SW 분류에서 정보보호 품목을 제외해 별도 '서비스 대가'를 지급할 수 있도록 방안을 마련한다는 방침이다.
현재 국회에 계류돼 있는 정보보호산업진흥법에 관련 법률 근거를 포함시켜 정보보호 제품의 경우 구매시 설치나 초기 구축비용이 아닌, 월간 및 연간 서비스 비용을 책정할 수 있도록 하는 것이다. 현재 미래부와 보안업계가 관련 서비스 대가 마련을 위한 '가이드라인' 초안을 마련한 상태이며 이 안이 구체화 되는 데로 정부 각 부처에 제안해 본격적인 '제값주기'를 추진한다는 방침이다.
심종헌 지식정보보호산업협회장은 "정보보호 제품은 신규로 발생하는 보안위협에 대한 분석 및 보안 업데이트 적용, 신속한 사후대응 등 일반 유지관리 이외에 추가비용이 소요되지만, 적정대가를 인정받지 못하고 있었다"면서 "특히 국내 정보보호 시장의 경우 선진국 제품에 비해 새로운 보안위협에 대한 분석인력 확보, 대응 기술개발을 위한 인력 및 비용을 서비스료로 받지 못해 국외 제품 대비 경쟁력이 떨어지는 현상이 발생했었다"고 토로했다.
그는 이어 "정보보호 제품은 보안의 최신성 유지, 환경변화에 민감, 보안정책 관리 등 타 IT제품과는 차별화되는 고난이도의 기술력이 요구되는 만큼 서비스 대가를 책정하는 것이 반드시 필요하다"면서 "보안 업계 역시 제값을 받게 되면서 비로소 연구개발과 우수인력 확보 등에 매진해 더욱 경쟁력을 높일 수 있을 것"이라고 강조했다.
강은성기자 esther@dt.co.kr
22일 미래창조과학부와 보안업계에 따르면 정부는 국가 정보보호 분야에 '서비스 대가' 방식 도입을 적극 검토하고 있다. 보안 솔루션 특성상 수시로 신기술에 대한 업데이트와 유지관리가 이뤄져야 하기 때문에 기존 국가계약법 상 SW에 대한 구매 대가로는 보안 제품에 대한 제값 지급이 어려웠기 때문이다.
실제로 보안 제품은 소프트웨어처럼 한번 설치한다고 끝나는 것이 아니다. A사의 백신이나 E사의 사전 취약점 탐지 솔루션, F사의 지능형지속위협(APT) 대응 솔루션을 도입했다 하더라도 매일 매순간 새로운 해킹 정보에 대한 업데이트와 유지관리가 이뤄지지 않으면 해킹 공격을 방어하기 어렵다. 정보보호 솔루션은 대다수가 SW 형태를 띠고 있지만 기존 상용 SW처럼 한번 설치하는 데 대한 '카피당 라이선스' 구매 구조로는 정보보호 기술을 제대로 구매하기가 어렵다. 매달 정기적인 업데이트와 해킹 방어 기술 확대, 패치 등이 이뤄져야만 정상적인 사이버 위협 방어가 가능하다.
하지만 현재 국가계약은 정보보호 제품을 SW 용역구매나 물품구매로 분류, 설치형을 기준으로 대가를 매기고 있기 때문에 저가 납품이 불가피한 현실이다.
IBM의 사이버보안 인텔리전스 보고서에 따르면 보안사고 중 80% 이상은 정보보호 제품 구비 미흡이 아닌, 서비스 부재로 인해 발생하는 것으로 나타났다. 즉 백신이나 각종 보안 장비를 구비 해 놓고도 이에 대한 제대로 된 보안 업데이트 및 정책 반영을 하지 않아 일어나는 보안 사고가 85%에 달한다는 것이다.
미래부 관계자는 "일반 IT 제품과 달리, 정보보호 제품은 상시 발생하는 바이러스, 웜 등 보안 위협에 대비해 주기적인 보안업데이트가 필요하다"면서 "지난 2014년 상반기에만 8000여건의 해킹과 46만건의 악성코드가 발생하고 있는데 이를 수시로 방어할 수 있는 정보보호 제품 업데이트와 유지관리가 이뤄지지 않으면 사이버 침해사고는 반드시 발생하게 되는 것"이라고 지적했다.
이에 미래부와 보안업계는 국가계약법상 용역이나 물품 구매로만 규정 돼 있는 SW 분류에서 정보보호 품목을 제외해 별도 '서비스 대가'를 지급할 수 있도록 방안을 마련한다는 방침이다.
현재 국회에 계류돼 있는 정보보호산업진흥법에 관련 법률 근거를 포함시켜 정보보호 제품의 경우 구매시 설치나 초기 구축비용이 아닌, 월간 및 연간 서비스 비용을 책정할 수 있도록 하는 것이다. 현재 미래부와 보안업계가 관련 서비스 대가 마련을 위한 '가이드라인' 초안을 마련한 상태이며 이 안이 구체화 되는 데로 정부 각 부처에 제안해 본격적인 '제값주기'를 추진한다는 방침이다.
심종헌 지식정보보호산업협회장은 "정보보호 제품은 신규로 발생하는 보안위협에 대한 분석 및 보안 업데이트 적용, 신속한 사후대응 등 일반 유지관리 이외에 추가비용이 소요되지만, 적정대가를 인정받지 못하고 있었다"면서 "특히 국내 정보보호 시장의 경우 선진국 제품에 비해 새로운 보안위협에 대한 분석인력 확보, 대응 기술개발을 위한 인력 및 비용을 서비스료로 받지 못해 국외 제품 대비 경쟁력이 떨어지는 현상이 발생했었다"고 토로했다.
그는 이어 "정보보호 제품은 보안의 최신성 유지, 환경변화에 민감, 보안정책 관리 등 타 IT제품과는 차별화되는 고난이도의 기술력이 요구되는 만큼 서비스 대가를 책정하는 것이 반드시 필요하다"면서 "보안 업계 역시 제값을 받게 되면서 비로소 연구개발과 우수인력 확보 등에 매진해 더욱 경쟁력을 높일 수 있을 것"이라고 강조했다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
