 |
|
내수·수출용 평가·인증 분리, 국가기관 도입 제품 암호 검증도 의무화
CC(국제공통평가기준)로 일원화됐던 정보보호제품 평가제도가 국내·외용으로 분리되고, 보안적합성 검증을 통한 국가공공기관 도입 절차도 제품 분류에 따라 범주화되는 등 크게 바뀐다.
국가정보원은 13일 ‘정보보호 제품 평가·인증제도 개선 설명회’를 개최하고, 이같은 내용을 골자로 새롭게 수립한 국내 평가·인증 세부 수행지침과 암호·네트워크/컴퓨팅 제품 국가기관 도입절차에 따른 보안적합성 검증제도를 15일부터 시행, 적용한다고 밝혔다.
국정원이 이렇게 정보보호제품 평가인증과 보안적합성 검증제 변경에 나선 것은 지난해부터 지적돼온 평가 적체현상과 평가기간 장기화 문제를 단기간에 해결하기 위해서다.
국정원 IT보안인증사무국장은 설명회에서 “지난해 5월 CCRA(국제공통기준상호인정협정) 가입 이후 늘어난 평가적체 현상으로 장기화되고 있는 평가기간을 단축하기 위한 방안을 마련했다”며, “개선되는 평가·인증제도와 국가기관 보급절차로 업계에 도움될 수 있길 기대하며, 각급기관에서도 필요한 제품을 적시에 사용할 수 있길 바란다”고 강조했다.
◆국내용 평가·인증제 전격 도입=국정원은 정보보호제품 평가적체 현상을 해소하고 업체들에게 선택폭을 확대 제공하기 위해 현재 시행하고 있는 국제 평가·인증인 CC와는 별도로 국내 평가·인증제도를 도입하는 한편, 유사제품 일괄평가도 실시하기로 했다.
국내 평가·인증제도는 국내 공급만을 추진하고자 하는 업체들이 선택할 수 있는 평가방법으로, 신청하는 업체의 제출물 작성은 CC평가와 동일하지만 평가방법과 기간이 크게 간소화될 예정이다.
평가기관은 제품 기능과 취약성 항목 시험은 기존과 동일하게 모두 진행하지만 나머지는 주요 기능별로 일부를 채택하는 샘플링 시험을 추진할 계획이다.
이 평가제 역시 CC와 같이 EAL 등급별로 나눠 평가가 이뤄질 예정이지만 국정원(NIS) 인증서가 발급되기 때문에 당연히 CCRA 회원국에서는 인정되지 않는다.
이와 관련 국정원 담당관은 “국내 평가의 평가방법 간소화로 EAL 4등급 기준으로 평균 6~7개월 걸리던 CC에 비해 3~4개월 정도만 걸릴 것으로 예상하고 있으며, 평가반도 국내용와 국제용 CC 평가를 나눠 운영할 예정이어 대기기간도 단축될 것”이라고 설명했다.
한편, 유사제품 일괄평가는 다양한 운영환경에서 동작하지만 핵심 기술이 동일한 펌웨어나 소프트웨어를 사용하고 있는 경우 한꺼번에 평가할 수 있는 방식으로, 15일 제정·시행될 세부 수행지침에 국내 평가제와 함께 포함된다.
◆암호모듈 보안성 검증·활용 의무화=변경되는 국가·공공기관 도입 절차의 핵심은 바로 암호모듈 검증 전면 시행이다.
국정원은 도입절차서에 의거한 보안적합성 검증제도 적용 대상을 암호기반 제품과 그 외의 정보보호제품인 네트워크/컴퓨팅기반 제품으로 구분하고, 암호모듈 검증 및 검증필 모듈 활용을 의무화하기로 했다.
먼저, 암호기능이 주인 암호기반 제품을 국가기관에 적용하기 위해서는 반드시 상용 암호모듈 검증제도를 거쳐야 한다. 암호모듈 외에 동일 제품에 있는 다른 보안기능 적합성 검증을 위해 국정원은 CC인증을 권고할 예정이다.
암호 검증 대상 제품은 PKI(공개키기반구조), SSO(싱글사인온), DB 및 파일 암호화, OTP(일회용비밀번호 생성기), 구간 암호화 솔루션 등이다.
암호 제품을 제외한 모든 정보보호제품이라 할 수 있는 네트워크/컴퓨팅기반 제품은 국내 및 CC 인증서 획득 후 보안적합성 검증을 받으면 국가기관에 도입할 수 있다.
하지만 국정원은 2009년 1월부터 이들 제품에 탑재되는 암호모듈을 검증받은 것이거나 국가용으로 개발된 것만을 사용토록 할 방침이다.
국가용 모듈을 적용할 경우, 업체는 보안적합성 검증 과정에서 해당 제품에 이를 탑재할 수 있도록 인터페이스만을 구현하면 된다.
적합성 검증을 신청하는 기관은 정보보호제품 보안적합성 검증 신청서와 사용자 보안요구사항을, 제품 공급업체는 보안목표명세서와 인증보고서(CR), CC인증서나 암호검증서 사본 등을 제출해야 한다.
국정원은 이밖에도 적합성 검증필 제품에 보안등급제를 실시할 예정이며, 유효기간도 2년으로 제한해 사후관리를 강화하기로 방침을 정했다. 또 보안기능이 탑재된 IT제품을 대상으로 적합성 검증을 강화할 예정이다.
신문게재일자 : 2007/03/14
디지털데일리 이유지기자(yilee@ddaily.co.kr)
http://www.ddaily.co.kr/news/?fn=view&article_num=21800
|
Home
> 자료실 > 보도자료 
