점검대상 설계·운영까지 추가
기존 47개서 약 90여개로 확대
KISA, 연내 기준안 확정키로
기존 47개서 약 90여개로 확대
KISA, 연내 기준안 확정키로
공공 분야의 애플리케이션·웹 서비스를 개발할 때 소프트웨어(SW) 보안 약점을 진단하는 기준이 강화된다. 기존에 구현 단계만 점검하던 것에서 설계와 운영까지 점검대상이 확대된다.
8일 한국인터넷진흥원(KISA, 원장 백기승)에 따르면 이르면 올해 안에 SW보안약점 진단 기준을 현재 47개에서 약 90여개 수준으로 대폭 확대될 것으로 나타났다. SW보안 약점 진단은 지난 2012년부터 예고된 뒤 이듬해 1월부터 시작됐다. 전자정부 사업을 담당하는 행정자치부가 행정 및 공공 정보화사업을 수행할 때 해당 기관이 SW에 보안 약점이 있는지 미리 진단을 받도록 한 제도로, SW 소스코드를 검토해 보안 위협을 최소화하기 위해 이를 도입했다.
행자부는 지난 1월 이 제도로 방화벽 등 보안장비로 대응이 어려운 보안취약점을 초기에 확인해 개선하는 효과를 거두고 있다며, 이에 관한 가이드라인을 민간 SW 개발자들에게도 배포했다. 하지만 구현 단계에 대한 47개 기준이 설계나 운영 단계를 포괄하지 못해 보완이 필요하다는 목소리가 업계에서 제기됐다.
이에 인터넷진흥원은 설계·운영 단계에 대한 기준 40여개를 추가해 약 90여개로 진단 기준을 늘리기로 하고, 최근 이를 진단하는 인력인 '진단원' 양성 콘텐츠 제작을 위한 용역을 발주했다. 사업 제안요청서는 △양성과정 및 보수과정으로 구분해 설계, 구현, 운영 단계별 교재 개발 △설계 및 운영단계 보안약점 기준 및 보안진단 방법 등에 관한 문제 개발 △감리법인 등 보안약점 진단기관의 진단원 투입소요 예측 참고를 위해 정보화사업 규모별 투입인력 기준 제시 △발주자 예산산정 참고를 위해 진단원 소요비용 대가 산정기준 제시 등의 내용을 담고 있다.
인터넷진흥원 관계자는 "소스코드 상의 보안 약점을 설계 단계부터 미리 잡아내자는 취지에서 추진하고 있다"며 "행자부 등 관련 부처나 업계와 논의를 진행하고 있다"고 밝혔다. 또 기존 구현 단계에 대한 기준이 있었기 때문에 설계나 운영 단계에 대한 기준은 보다 포괄적인 부분에 초점을 맞출 것이라고 덧붙였다.
다만 연내 기준안을 확정하더라도 시행 시기는 미정이다. 인터넷진흥원 관계자는 "관련 업계나 행정 기관의 준비상태, 이해관계 등을 종합적으로 고려해야 해 시행 시기는 더 살펴봐야 한다"고 말했다.
이재운기자 jwlee@dt.co.kr
8일 한국인터넷진흥원(KISA, 원장 백기승)에 따르면 이르면 올해 안에 SW보안약점 진단 기준을 현재 47개에서 약 90여개 수준으로 대폭 확대될 것으로 나타났다. SW보안 약점 진단은 지난 2012년부터 예고된 뒤 이듬해 1월부터 시작됐다. 전자정부 사업을 담당하는 행정자치부가 행정 및 공공 정보화사업을 수행할 때 해당 기관이 SW에 보안 약점이 있는지 미리 진단을 받도록 한 제도로, SW 소스코드를 검토해 보안 위협을 최소화하기 위해 이를 도입했다.
행자부는 지난 1월 이 제도로 방화벽 등 보안장비로 대응이 어려운 보안취약점을 초기에 확인해 개선하는 효과를 거두고 있다며, 이에 관한 가이드라인을 민간 SW 개발자들에게도 배포했다. 하지만 구현 단계에 대한 47개 기준이 설계나 운영 단계를 포괄하지 못해 보완이 필요하다는 목소리가 업계에서 제기됐다.
이에 인터넷진흥원은 설계·운영 단계에 대한 기준 40여개를 추가해 약 90여개로 진단 기준을 늘리기로 하고, 최근 이를 진단하는 인력인 '진단원' 양성 콘텐츠 제작을 위한 용역을 발주했다. 사업 제안요청서는 △양성과정 및 보수과정으로 구분해 설계, 구현, 운영 단계별 교재 개발 △설계 및 운영단계 보안약점 기준 및 보안진단 방법 등에 관한 문제 개발 △감리법인 등 보안약점 진단기관의 진단원 투입소요 예측 참고를 위해 정보화사업 규모별 투입인력 기준 제시 △발주자 예산산정 참고를 위해 진단원 소요비용 대가 산정기준 제시 등의 내용을 담고 있다.
인터넷진흥원 관계자는 "소스코드 상의 보안 약점을 설계 단계부터 미리 잡아내자는 취지에서 추진하고 있다"며 "행자부 등 관련 부처나 업계와 논의를 진행하고 있다"고 밝혔다. 또 기존 구현 단계에 대한 기준이 있었기 때문에 설계나 운영 단계에 대한 기준은 보다 포괄적인 부분에 초점을 맞출 것이라고 덧붙였다.
다만 연내 기준안을 확정하더라도 시행 시기는 미정이다. 인터넷진흥원 관계자는 "관련 업계나 행정 기관의 준비상태, 이해관계 등을 종합적으로 고려해야 해 시행 시기는 더 살펴봐야 한다"고 말했다.
이재운기자 jwlee@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
