CC인증 대신 '보안기능 확인서'?…"적체 여전"

[아이뉴스24 최은정 기자]국가정보원이 공공기관 보안제품 필수요건인 공통평가기준(CC) 인증을 일부 제품군에 한해 '보안기능 확인서(옛 보안기능시험 설명서)'로 완화했지만 오히려 불편하다는 지적이 나오고 있다.

당초 업계는 공공기간 납품 보안제품에 필수인 CC인증이 비용 및 기간이 많이 걸려 어려움을 호소해왔다.

이에 국정원이 네트워크 장비, 보안 USB, 가상화 관리, 자료유출 방지, 망간 자료전송 제품 등 5가지에 한해 이를 보안기능 확인서로 대체, 절차 간소화를 꾀한 것. 이들 공공기관 내·외부망 자료전송 관련 제품에 대한 보안성 검증 제고 차원이기도 하다.

하지만 단기간에 보안기능 확인서를 취득하려는 업체들이 몰리면서 오히려 인증 적체 현상이 빚어지는 등 취지를 무색케 하고 있다. 관련 정책이 자주 바뀌고 이에 따른 홍보 부족 등도 한요인으로 풀이된다.

25일 네트워크 장비 업계에 따르면 제때 보안기능 확인서를 받지 못해 공공 사업 수주에 난항을 겪고 있는 것으로 나타났다. 보안기능 확인서 취득이 예상보다 늦어진 탓이다.

보안기능 시험은 정보보호시스템·네트워크 장비 등 IT제품에 대해 공인 시험기관이 '국가용 보안요구사항' 만족 여부를 시험, 안전성을 확인해 주는 제도다.

공공기관에 제품을 공급하려면 획득해야 하는 CC인증에 길게는 1년가량 소요되는 등 불편이 커지자 이를 대신해 올해 부터 시행됐다. 보안적합성 검증절차를 간소화 해 빠른 사업 진행이 가능토록 하자는 취지다.

현재 한국정보통신기술협회(TTA), 한국정보보안기술원(KOIST), 한국아이티평가원(KSEL) 등 8개 기관이 공인 시험기관을 맡고 있다. 여기서 테스트한 결과는 국가보안기술연구소 검토를 거쳐 기술심의회의에서 확인서 발급여부를 결정하게 된다. 관련 정책 담당은 국정원이다.

그러나 현장에서는 관련 홍보 및 준비 부족으로 기존 CC 인증과 같은 취득 적체 등 문제를 호소하고 있다.

네트워크 장비업체 관계자는 "(홈페이지 등 공개된 곳에는) 보안 요구사항과 시험 절차서에 대한 간략한 소개만 있을 뿐, CC인증과 같이 시험 절차, 항목 등의 명확한 공개가 없어 기업 입장에선 난이도를 알기 힘들다"며 "추가 혹은 재시험이 발생할 수 밖에 없고 인증 획득까지의 시간과 비용 등 피해가 크다"고 주장했다.

이어 "CC인증은 평가기관을 통한 컨설팅 등이 있어 시험신청 기업이 준비하는데에 어려움이 적었다"며 "보안기능 확인서는 CC인증 대비 확인할 수 있는 정보가 적고, 불명확하다"고 강조했다.

다른 업체 관계자도 "정부에서 요구한 대로 보안기능 확인서를 받는 중인데 현재 6개월 간 감감 무소식"이라며 "인증 심의가 지연되는 등 적체 현상이 심각하다"고 토로했다.

이어 "인증 기준이 자주 바뀌고 명확치도 않아 보안기능 확인서를 준비하기 어렵다"며 "국내 CC인증 소요 시간을 줄일 수 있다고 한 국정원 발표와는 정반대 상황에 직면한 것"이라고 지적했다.

이처럼 확인서 취득 과정 자체가 복잡한데다 한번에 신청기업이 몰린 것도 요인으로 지목된다.

업계 관계자는 "공공사업 수주를 위해 서둘러 보안기능 확인서를 취득하려다 보니 여러 신청기업이 한번에 몰린 것도 적체을 보이는 이유"라고 설명했다.

또 "더욱이 인증시험 종료 후 국보연에서 보고서에 대한 평가를 진행하는데, 월 단 1회만 열리는 것도 문제"라며 "평가 진행에 앞서 국보연 평가 담당자 지정에만 1개월 가량 소요될 정도"라고 지적했다.

이에 대해 국정원 관계자는 "보안기능 확인서 발급은 제출물 보완 등 특별한 사유가 없는 한, 통상 약 4개월 가량 소요된다"며 "제출물의 보완, 미흡기능 개선 요청에 대한 요구사항 충족이 되지 않아 발급기간이 일부 지연되는 사례가 있다"고 이를 설명했다.

이어 "한국네트워크산업협회를 통해 업계와 지속 소통하고 있다"며 "업계의 정책 제언을 신중하게 검토해 제도개선에 반영하고 있다"고 덧붙였다.