공공 보안인증 간소화…등급 나눠 '패스트트랙' 적용

공공 기관이 빠르게 진화하는 해킹 공격에 대응해 최신 보안 기술을 도입할 수 있도록, 정부가 정보보호제품 인증 규제를 대대적으로 손본다. 요구되는 보안 수준별로 공공 기관을 가·나·다 3개 등급으로 나누고, 적용하는 인증을 달리한다는 게 골자다.

가급 기관에는 기존대로 엄격한 CC인증이 적용되지만, 나·다급 기관은 간소화된 인증인 '패스트트랙'을 적용할 수 있게 했다. 신설된 패스트트랙을 통해 공공 기관도 클라우드, 양자암호 등 최신 기술이 적용된 보안제품을 신속하게 도입할 수 있게 됐다.

16일 정부 관계 부처와 보안 업계에 따르면 국가·공공 기관이 도입하는 보안 제품의 안전성을 검증하는 '보안적합성 검증제도'가 이같이 개선된다.

현행 제도에서 모든 국가·공공 기관은 '국가용보안요구사항'을 만족한 보안 제품을 도입해야 한다. 국가용보안요구사항에 맞춘 보안 제품에는 'CC인증'이나 '보안기능확인서'가 부여된다.

문제는 국가용보안요구사항이 아직 만들어지지 않은 신기술, 신제품은 국가·공공 기관이 도입할 수 없다는 데 있다. 보안요구사항을 만들고 이를 인증 시험에 반영하기까지 절차가 복잡하고 오래 걸려, 빠르게 진화하는 해킹 위협에 시의적절하게 대응하기도 어렵다.

한 정부 관계자는 이번 제도 개선 추진 배경에 대해 "보안위협은 급변하고 있는데 이에 대응하는 새로운 보안기술은 평가기준이 없어 도입하지 못하고 있다"며 "보안성을 높이기 위한 규제가 오히려 취약성을 키우고 있다는 지적이 높았다"고 설명했다.

이에 이번 제도 개선은 공공 기관도 클라우드, 양자암호, 모바일 관련 최신 기술이 적용된 보안제품을 신속하게 도입해, 사이버위협 대응력을 높이는 데 초점을 맞췄다.

국가정보원, 과학기술정보통신부 등 관계부처는 국가·공공 기관을 가·나·다 3개 등급으로 나누고 요구되는 보안 수준별로 다른 인증을 적용하기로 협의를 마쳤다. '가급'에는 중앙 정부와 주요 기관이 포함되고, '나급'에는 지차제, '다급'에는 학교와 위원회가 포함될 것으로 알려졌다.

최고수준의 보안성·안정성이 유지돼야 하는 가급 기관은 기존처럼 CC인증, 보안기능확인서 등 엄격한 인증을 획득한 제품을 도입하도록 했다. 반면, 나·다급 기관은 패스트트랙과 정보보호 성능평가제도를 통과한 제품도 도입할 수 있게 했다.