국제적 정보보호시스템 강국으로 거듭나기

[산업일보]
오늘 삼성동 코엑스 컨퍼런스 센터에서는 국내 정보보호시스템 평가, 인증 제도 개선을 위한 공청회가 개최됐다.

우리나라는 '97년 침입차단시스템 평가를 시작으로 '00년 침입탐지시스템 평가, '02년 공통평가기준(CC) 도입 등 정보보호시스템 평가 제도를 운영한 지 8년이 흘렀으며, 작년에는 CCRA(CC에 의한 평가결과를 국가간에 상호 인증하는 협정) 인증서 발행국으로 가입을 신청한 상태이다.

정보통신부와 국가정보원이 주최하고 한국정보보호진흥원이 주관한 이번 공청회는 국내 정보보호산업의 이러한 현 상황에 발맞춰 국제적인 평가기준을 활용한 평가기술의 확보 및 정보보호산업의 발전을 도모하기 위한 자리로 마련됐다.

정보통신부 조경식 과장은 개회사에서 "평가인증제도를 국제 수준으로 끌어올리고, CCRA 가입 추진 방향을 모색하기 위해, 정보전문가들의 조언을 듣고자 마련한 자리"라고 설명했다.

정통부 조 과장의 개회사가 마치고 구영섭 사무관의 '정보보호시스템 평가, 인증 제도 개선 방안'을 주제로 발표가 이어졌다.

구 사무관은 우선 국내에서 시행하고 있는 정보보호시스템 평가, 인증제도의 개요와 실적을 소개하고 개선해야 할 부분들을 정리해 설명했다.

국내에서 시행되는 평가기준은 정보통신망 침입차단시스템평가기준('98), 정보통신망 침입탐지시스템 평가기준('00), 정보보호시스템 공통평가기준('02)을 들 수 있다. 이들 제도는 매년 실적을 내고 있으며, 올해도 24~5개 정도를 평가할 것으로 예상된다.

구 사무관이 제안한 현재 시행 주요 제도들의 개선 내용으로는 국내 평가기준을 '정보보호시스템 공통 평가기준'으로 일원화 시키는 것과 현재 6개 제품군으로 제한되어 있는 평가 제품군을 전체 정보보호 시스템으로 확대하는 것이다.

또 정보보호시스템 평가신청을 제한하고 있는 평가 신청자의 보호프로파일준수 의무를 삭제하고, 3년으로 제한된 인증서 유효 기관을 폐지하며, 평가신청인이 원하는 경우 평가 보고서 열람 또는 제공이 가능하도록 하는 등의 내용을 들었다.

이들 개선 내용은 오늘 방청회의 의견을 참고해 수정하고, 추가될 수 있으며, 금주내로 구 사무관(02-750-1274/yskoo@mic.go.kr))에게 의견을 제시하면 수렴, 개선 할 것이라고 한다.

'CCRA 가입 추진 및 사용제품 보안정책 방향'을 주제로 발표한 국가정보원 이대호 인증담당관은 CCRA를 간략히 소개하고 가입 목적과 당위성을 주장해 가입 타당성을 주장했다.

현재 CCRA 에 가입한 회원국은 미국, 캐나다, 독일, 영국 등을 비롯해 21개 국에 달하며, 우리나라는 작년 9월 인증서발행국으로 가입신청해, 올해 1월 1차 심사에서 통과한 후 내년 최종 심사를 준비하고 있다.

이 담당관은 CCRA 가입 목적을 IT 보안 핵심 기술 유출 방지, 제품의 잠재적 취약성 노출 방지, 국제 인증 획득 경비 최소화, 평가기간 단축 효과, 국외 시장 진출 유리, IT 및 정보보호기술 강국 이미지 제고 등을 들어 그 당위성을 납득시켰다.

또 이 담당관은 "향후 CCRA 가입은 1년에 4개국 정도로 제한하는 등 점점 더 어려워 질것으로 보이며, 우리나라가 작년에 신청해 다행히 그 가입시기가 빨라질 것으로 보인다"며 가입 준비에 적극적으로 대응해야 함을 피력했다.

CCRA 등의 제도는 국가적 정보보호산업 발전을 도모할 것이며, 선진화되는 제도에 맞물려 제품의 선진화에 박차를 가할 중요한 버팀목이 될것으로 예상했다.

오늘 공청회는 각 전문가들의 의견을 수렴해 국제적 정보보호 산업 강대국으로 거듭나고자 하는 진지한 시간이 됐다.



미디어다아라 김민수 기자(kms@daara.co.kr)