과기정통부가 소프트웨어(SW) 관련 인증제도 5개를 대폭 손질했다. 인증 받는 기간은 줄이고 지원 비용은 확대했다. 다음달 1일부터 시행한다. 현재 과기정통부는 ▲정보보호 관리체계인증(ISMS, ’02~) ▲클라우드 보안인증(CSAP, ’16~) ▲정보통신망 연결기기 등 정보보호인증(IoT ’18~) ▲정보보호제품 평가인증(CC, ’02~) ▲정보보호제품 성능평가(’18~) ▲SW 품질인증(GS, ’01~) 등 6개 인증제를 운영하고 있다. 이중 5개를 개선했다.
개선 방안은 크게 세 가지다. ▲혁신 제품‧서비스의 적기 시장진출 지원을 위한 인증 기간 대폭 단축(평균 5개월 내외→인증별 최장 2개월 이내) ▲중소기업 대상 수수료 지원과 경량화한 인증 적용으로 기업 수수료 부담 절감(인증별 최대 5천만 원→약 5백만~2천만 원) ▲정보보호‧소프트웨어 품질 수준은 유지하면서 불편 및 불합리한 절차는 과감히 개선(사후평가 개선, 유효기간 합리화 및 재인증 간소화) 등이다.
이번 개선으로 클라우드 보안인증 기간이 평균 5개월에서 2개월로 크게 줄어든다. 평균 5개월 이상 걸린 CC(Common Criteria, 정보보호제품 평가‧인증) 인증도 시험인력을 단기간에 집중 투입해 시험 기간을 2개월로 단축한다. GS인증(SW 품질인증) 역시 소요 기간을 평균 3개월에서 2개월로 단축하기 위해 3개 인증기관의 인증 범위를 확대한다.
25일 과학기술정보통신부(과기정통부)는 강도현 제 2차관 주재로 국가과학기술자문회의 대회의실에서 업계 관계자 등을 초청해 '정보보호‧소프트웨어 인증제도 개선 간담회'를 개최, 이 같은 개선안을 발표했다. 앞서 정부는 지난 2월 27일 국정현안관계장관회의에서 '기업 인증획득 부담 완화를 위한 인증규제 정비(관계부처 합동)’를 발표했는데, 이번 개선안은 이의 후속 조치다.
과기정통부는 "이들 인증제도는 여러 순기능에도 불구하고 영세‧중소기업 등에 큰 부담으로 작용해 제도를 합리적으로 개선해달라는 수요기업 요구가 많았다. 이에 과기정통부는 정보보호‧SW 분야 인증제도 전반을 살펴보고, 정보보호‧SW 품질 수준은 유지하되, 혁신을 저해하는 불필요‧불합리한 부담은 대폭 경감할 수 있도록 인증 기간, 인증 비용, 절차를 획기적으로 개선하기로 했다"고 밝혔다. 아래는 주요 개선 내용
■ 정보보호관리체계 인증(ISMS, Information Security Management system)
정보보호관리체계 인증은 중소기업의 비용, 기간 부담을 줄이기 위해 ‘ISMS 간편인증제’를 도입할 계획이다. 이를 통해 일정 수준 이하 중소기업(매출액 300억원 이하 등)에게 인증 점검항목을 경량화(80→40개 수준)하고, 수수료를 줄이는(평균 1100→500만 원) 한편 의무 대상 기준도 완화할 예정이다. 즉, 법을 개정해 기존 정보통신서비스 부문 매출액 100억 원 이상 기업에서 300억 원 이상으로 상향한다.
또 기존 이메일, 우편 방식으로 진행하던 인증심사 절차를 전산시스템화해 심사 소요 기간을 단축(평균 5→2개월)하고, 침해사고 미발생 기업에는 매년 현장에서 받아야 하는 사후심사를 서면심사로 전환하는 등 인증제도 전반에 대한 개선을 지속적으로 추진할 예정이다.
■ 클라우드 보안인증(CSAP, Cloud Security Assurance Program)
클라우드 보안인증은 불필요한 행정 처리 기간을 최소화해 인증 기간을 평균 5개월에서 2개월로 대폭 단축한다. 특히, 인증 및 평가기관의 심사인력을 추가 투입해 인증 적체를 즉각 해소하고, 신규 평가기관을 상반기 내 추가 지정해 증가하는 인증 수요에 적기 대응한다.
현재 추진 중인 수수료 지원은 중견기업(30% → 50%), 중기업(50% → 80%), 소기업(70% → 80%) 모두 지원 비율을 확대한다. 또 인증 획득 이후 매년 실시했던 사후평가는 평가방식 개선(현장→서면 평가)을 통해 사업자의 비용 및 행정 부담을 완화할 계획이다. 즉, 현장평가(유료) 4회를 '서류평가(무료) 3회+ 2년 차 현장평가(유료) 1회'로 바꾼다.
다만, 보안 수준 저하를 방지하기 위해 서면 평가 미흡 기업에 대해서는 샘플링 현장 점검을 도입하고, 점검 결과가 미흡한 기업은 매년 현장평가 실시 등 사후관리를 철저히 할 예정이다.
■ 정보보호제품 평가‧인증(CC, Common Criteria) 및 정보보호제품 성능평가
정보보호제품 평가‧인증은 평균 5개월 이상의 긴 소요 기간이 수요기업에 큰 부담으로 작용해왔다. 이에, 시험인력을 단기간에 집중 투입해 시험 기간을 2개월로 단축하고, 신규 신청기업에 대한 시험 수수료를 50% 이상 감면, 기존 5천만 원 내외 고가 수수료를 2천만 원으로 절감하는 한편, 인증 및 시험기관, 산업계, 민간 전문가 연구반을 구성해 올해 8월까지 절차 간소화 및 시험 수수료의 근본적 절감 방안을 마련할 계획이다.
아울러, 정보보호제품 성능평가 경우 기업의 가장 큰 애로사항인 제출물 작성의 어려움을 해소하기 위해 사전 준비 컨설팅을 실시하고, 중소‧영세 기업의 비용 부담 경감을 위한 시험 수수료 지원을 확대해 성능이 우수한 정보보호제품 도입 및 유통을 활성화할 계획이다.
■ 정보통신망 연결기기 등(IoT) 보안인증
정보통신망 연결기기(IoT) 인증은 수요기업에서 색깔 등 일부 변경에도 신규 인증을 받아야 했으나, 기업 부담을 완화하기 위해 파생모델 제도를 도입함으로써 시험 기간(15일→1~2일) 및 수수료(13백만 원→0.7~1.4백만 원)를 줄이도록 개선할 계획이다.
즉, 기 인증받은 제품에 대한 색깔, 간단한 디자인(사각형↔원형 등) 변경은 필수 보안 기능 확인 등 수수료를 완화(6백만 원(라이트), 13백만 원(베이직) → 0.7(A형, 단순외형형) ~ 1.4백만 원(B형, 일부내용시험)한다.
■ SW 품질 인증(GS, Good Software)
SW 품질인증(GS인증)은 소요 기간을 평균 3개월에서 2개월로 단축하기 위해, 인증 수요가 5개의 인증기관으로 분산될 수 있도록 기존 한국정보통신기술협회(TTA)외에 2021년 5월 신규 지정한 3개 인증기관의 인증 분야를 확대하고, 일부 인증기관에 신청이 집중될 경우 적극적인 시험 이관 및 시험원 충원 등 탄력적 인력 운영을 추진할 계획이다. 기존 TTA 외에 2021년 5월 새로 지정한 3개 기관은 한국화학융합시험연구원(KTR), 한국기계전기전자시험연구원(KTC), 부산IT융합부품연구소(CIDI) 등 이다.
또 수수료 및 평가 부담 완화를 위해 경미한 변경(업데이트)에 대한 재인증 비용을 전액 면제(약 500만원)하고, 중대한 변경(업그레이드) 재인증 비용의 50% 감면(약 700만원)을 추진하고, 정보보호 인증제품의 보안성 평가 면제(약 200만원 감면) 대상도 확대(기존 CC인증→ CC인증, 보안기능확인서, 성능평가, 신속확인제)할 예정이다.
이 외에도, SW 품질에 영향이 적은 단순 변경 등 재인증이 불필요한 경우 기업 스스로 판단할 수 있게 체크리스트를 제공하고, SaaS 제품 특성을 고려한 인증기준 정비 등 SaaS 품질인증 체계도 구축해 나갈 계획이다.
과기정통부는 이번 각 인증제도 개선안과 별도로 정부, 수요기업, 인증‧시험기관 간 간담회 등 정례 소통창구를 마련해 운영할 예정이며, 이번 개선방안 시행(5.1. 예정)으로 현재 인증‧시험을 진행 중인 수요기업도 혜택을 받을 수 있게 각 인증‧시험기관과 협의해 구제방안도 마련할 예정이다.
과기정통부 강도현 제2차관은 "정보보호‧SW 인증제도는 기업의 보안 역량 강화와 SW 품질 관리를 위해 꼭 필요한 제도임에도 변화에 대응하지 못해 수요기업에 부담으로 작용하고 있다”며 “이번 제도 개선을 통해 기업 부담을 대폭 완화하고, 인증제도가 혁신적인 제품 및 서비스 확산의 촉매제로 거듭날 것으로 기대한다”고 말했다.
