`정보보호 평가인증제 개선안` 성과 거두려면…

"담당자 전문성 제고가 관건"
'자율선택ㆍ사후 검증' 부작용 막아야


국가정보원이 2일 발표한 `정보보호제품 평가ㆍ인증제도 개선안'에 대해 관련 업계는 대체적으로 환영하는 분위기지만 실효성을 거두기 위해서는 공공기관 담당자들의 전문성 제고가 과제라는 지적이다.

정보보호업체들은 국정원의 보안적합성 검증이 사후 검증체제로 변경되면서 그동안 국내업체들만의 잔치였던 시장이 크게 변화할 것으로 예상하고 있다. 외산업체들이 국내업체들과 본격적으로 경쟁할 수 있는 틀이 마련됐기 때문이다.

^

한 외산업체 관계자는 "그동안 보안적합성 검증이라는 높은 진입장벽으로 불공정한 경쟁을 펼칠 수밖에 없었던 공공시장에서 국내업체들과 진검 승부를 할 수 있게 됐다"면서 "제품 경쟁력만큼은 국산에 뒤지지 않기 때문에 건전한 경쟁구도로 공공시장에 새로운 변화의 바람이 불 것"이라고 말했다.

국제공통평가기준(CC)인증 제품의 보호프로파일(PP) 평가보증등급 하향 조정으로 인해 제출물 간소화를 통해 평가준비 부담이 줄어든 것은 국내외 업체 모두 환영하고 있다. 중소업체들이 대부분인 업계는 그동안 높은 평가보증등급으로 제출물 작성에 많은 어려움을 겪어왔다.

또 국내용 CC인증 평가방법과 평가기록물을 간소화하고 선임평가자의 복수평가를 허용한 것도 평가신청이 보다 활성화되는 계기로 작용할 것으로 보인다.

그러나 수요처인 공공기관의 자율적인 선택 권한과 책임을 높인 데 따른 부작용을 막는 노력이 수반돼야 한다는 지적도 제기되고 있다. 발주처인 공공기관들의 자율성을 높이는 것이 원칙적으로는 맞지만 공공기관 담당자들의 전문성이 수반되지 않을 경우 사후 보안적합성 검증에서 발생하는 문제를 놓고 책임소재 문제가 부각될 수 있다는 것이다.

업계 한 관계자는 "공공기관들마다 편차가 있지만 기관 환경에 맞는 제품을 선택하고 책임질만한 전문성을 갖추지 못한 곳도 있다"면서 "이 경우 사후 보안적합성 검증으로 인해 발생하는 문제들을 보안업체들에게 떠넘기는 사태가 발생할 수도 있다"고 말했다.

이에 대해 국정원 관계자는 "공공기관 담당자들의 전문성이 꾸준히 향상되고 사후 보안적합성 검증제도가 존재하기 때문에 이같은 문제는 제도가 시행되면서 차차 해결될 것"이라고 말했다.

이홍석기자 redstone@