염흥열 순천향대 정보보호학과 교수
![[포럼] 정보보호 평가인증제, 혁신 미룰 수 없다](http://contents.dt.co.kr/images/202303/2023030302102769660002[1].jpg "[포럼] 정보보호 평가인증제, 혁신 미룰 수 없다")
사이버 공격 또한 지능적으로 진화하며 일반화 되고 있다. 이는 모든 정보통신 제품이나 응용 소프트웨어의 설계 단계를 포함한 제품의 전체 생명주기 동안 정보보호 기능이 고려되어야 함을 의미한다. "정보보호 중심 설계(security by design)" 원칙을 적용한 정보보호 및 정보통신 제품과 응용 소프트웨어가 확대 되어야 하며, 이를 위해 정보보호 기능이 포함된 모든 정보통신 제품에 대한 신뢰성을 제3의 신뢰 기간이 평가하는 정보보호 평가 인증제도는 매우 중요하다.
정보보호시스템 평가·인증제도는 민간업체가 개발한 정보보호 제품에 구현된 보안 기능의 안전성과 신뢰성을 보증하여 국가 기관 등의 이용자들이 안심하고 제품을 사용할 수 있도록 지원하기 위한 제도이다. 이의 목적은 정보보호 제품에 대한 국제적 신뢰성을 확보하고 국가통신망 정보보호 수준 제고를 통해 국내 정보보호 제품의 산업 경쟁력을 강화하는 데 있다.
우리나라는 정부가 국제 공통평가 기준에 근거해 방화벽, 가상 사설망, 안티 바이러스 제품 등과 같은 정보보호 제품을 평가하는 정보보호 제품 평가·인증 제도를 운영하고 있다.
정보보호 산업계에서 거론되는 기존의 정보보호 제품 평가·인증 제도에는 몇 가지 문제점이 있다.
첫째는 평가 기간이 길어서 평가가 적체되고 있다는 점이다. 둘째, 평가 또는 인증을 받기 위해 복잡하고 많은 문서를 준비해야 하고, 준비와 평가를 위한 기간이 많이 소요되며, 평가를 위한 비용도 많이 든다는 점이다. 마지막으로, 정보통신 신기술을 적용한 제품과 서비스에 대한 평가·인증에 상당한 어려움이 있다는 점이다.
정부는 이러한 문제점을 해소하기 위해 작년 10월 평가·인증제도에 대한 개정을 추진했다. 이에 따라 국가정보원은 개선된 평가·인증 제도와 공공기관의 정보보호 제품 도입 정책을 발표했다. 각 기관이 다루는 정보의 유형과 민감도에 따라 정부기관 및 공공 기관을 3개의 그룹으로 나누고, 각 그룹에 따라 도입 기준을 차등 적용하도록 정보보호 제품 도입 정책을 변경했다. 또한 과학기술정보통신부도 융·복합 제품의 신속한 평가를 위해 신속 확인제를 도입하는 등 기존의 평가·인증 제도의 문제점을 개선하기 위해 노력을 기울이고 있다.
이러한 정보보호 제품에 대한 평가·인증 제도는 세계 주요 국가에서도 시행되고 있다. 국가마다 다른 평가·인증 제도를 운영하지 않고, 국가 별 시행되는 평가·인증 제도의 기준을 통일하고 중복 평가 방지를 위한 상호 인정 제도를 운영하고 있다. 다시 말해 한국 정보보호 평가· 인증 제도를 거쳐 평가된 정보보호 제품을 다른 국가가 이용할 때 이를 인정하는 제도이다. 이를 위해 국제공통평가 인정 협정(CCRA)에서는 각 국가에서 평가된 모든 정보보호 제품의 정보를 목록 형태로 제공한다.
그러나 최근 이러한 평가·인증 제도에 변화가 감지되고 있다. 미국은 기존 7개의 평가 등급을 단일 평가 등급으로 변경했다. 또한 지금까지 정보시스템에 대해 각 정부 기관이 자율적으로 평가하고 제품을 도입하는 위험 관리 프레임워크(RMF) 평가·인증 제도를 지속적으로 운영하고 있다.
영국은 자진해서 국제공통평가인정제도의 인증서 발행국에서 인증서 수용국으로 전환했으며, 정보보호 제품에 대한 국제 공통 평가·인증 기준에 근거한 평가·인증을 중단하였다. 이에 따라 스마트 미터 제품 군을 주요 대상으로 한 단일 평가 기준의 상용 제품 보증 (CPA) 평가·인증 제도를 시작했다. 이는 영국 정보통신 산업의 특성을 고려한 움직임이다.
유럽연합(EU)은 2018년 제정된 유럽사이버보안법에 따라 평가 정책기관인 유럽네트워크정보보호진흥원(ENISA)을 중심으로 2023년까지 정보통신 제품에 대한 평가·인증 제도를 구축할 예정이다. 또한 또한 5G 정보통신 제품과 개인정보보호 관리체계 등과 같은 서비스 및 프로세스를 포함하여 평가인증 적용 대상을 확대하고 있다. 또한 EU의 평가·인증 등급은 위험 평가를 기반으로 보통, 중급, 고급의 3가지 등급으로 구성된다.
이렇듯 우리나라도 국내 정보보호 평가·인증 제도 개선 시 변화하는 세계 주요국의 정책과 정보보호 평가·인증 제도를 반영하고 다음 사항들을 고려해야 한다. 첫째, 기존 정보보호 제품 평가·인증 제도의 문제점을 해소하기 위한 지속적인 노력과 개선이 이루어져야 한다. 또한 EU, 미국과 같이 3등급으로 구성된 정보 평가·인증 등급을 참조해 국내 정보보호 제품 평가·인증 등급을 간소화 할 필요가 있다.
둘째, 보호 프로파일(Protection Profile, PP)로 불리는 평가·인증 기준을 신속히 마련하고, 최근 정부가 도입한 신속 확인제의 적용을 확대함으로써 신기술이 적용된 제품과 시스템에 대한평가·인증 기회를 제고해야 한다. 이를 위해 산학연관이 협력해 관련 전문가를 구성하고 국내 정보통신 표준화 조직을 통한 신제품 및 시스템 평가·인증 기준을 수립하도록 해야 한다.
셋째, 정보보호 제품 평가·인증에 더해, 정보 시스템에 대한 평가·인증 다원화를 고려해야 한다. 각 정부부처 등 이용기관 중심의 평가·인증 제도에 대한 변화를 고려하고, 정보보호 평가·인증의 권한과 책임을 다원화하고 분산화 할 필요가 있다.
넷째, 정보보호 평가·인증 제품의 범위를 정보보호 기능을 갖는 5G 보안 제품 등 다양한 정보통신 제품으로 확대하는 것이다. 이는 기존의 정보 통신망 연결기기 평가·인증제도와 연계해 운영될 필요가 있다.
정보통신 제품과 시스템의 실질적인 신뢰도를 높이고 기존 문제점을 해소하기 위한 노력은 매우 중요하다. 따라서 이러한 제도는 신기술을 수용하고, 서비스와 프로세스 등을 포함하는 평가·인증 제도로 발전되어야 할 것이다. 정부와 산업체가 함께 머리를 맞대어 소기의 목적을 달성하기 위한 지속적인 제도 개선과 시행이 필요하다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
