국가정보원이 보안제품에 새로운 기능을 추가할 때 거쳐야 하는 보안기능확인 시험을 간소화한다. 이에 따라 보안기업이 통합 플랫폼을 고도화하는 과정에서 발생하는 중복 검증 부담이 줄어들 것으로 기대된다.
10일 업계에 따르면 국정원은 기존에 검증받은 기능의 변경이나 영향이 없다면 신규 기능과 관련 부분만 검증해 보안기능확인서를 인정하는 방안을 검토한다. 업계 의견을 수렴해 내년 상반기까지 세부 계획안을 마련한다는 계획이다.
보안기능확인서는 보안제품이 국정원의 보안 요구사항을 충족하는지 검증한 확인서다. 공공부문에 보안제품을 납품하려면 갖춰야 하는 필수 요건이다.
현행 검증체계에서는 새로운 기능을 추가할 때마다 솔루션 전체를 재검증해야 한다. 추가 기능과 기존 기능의 연계성, 제품 전체 보안성에 미치는 영향을 확인한다. 새로 개발한 기능이 안전하더라도 기존 기능과 결합하는 과정에서 문제가 발생할 수 있다고 본 것이다.
그러나 이미 검증받은 '공통 기능'까지 재검증하면서 불필요한 시간·비용이 소모된다는 지적이 끊이지 않았다.
보안업계 한 대표는 “현재는 이미 검증받은 사용자 인증·접근통제·암호화 통신 등 공통 기능까지 다시 시험해야 해 부담”이라며 “기업이 인력과 비용을 투입함으로써 제품의 업데이트가 늦어지는 등 애로사항이 있어 개선이 시급하다”고 토로했다.
인증 제도 개선은 보안 시장이 개별 솔루션에서 통합 플랫폼 중심으로 재편되면서 필요성이 더욱 커졌다. 여러 보안 기능을 결합한 플랫폼은 위협 변화와 고객 요구에 맞춰 기능을 수시로 추가하기 때문이다. 새로운 모듈을 결합할 때마다 전체를 재검증해야 하는데, 이럴 경우 기능 확장이 잦을수록 부담이 커질 수밖에 없다.
국정원의 간소화 추진은 통합 플랫폼 중심의 개발 방식에 맞춰 시험 절차를 개선하려는 취지로 해석된다. 신규, 기존 기능 결합에 따른 보안 위험은 철저히 검증하되 변경이나 영향이 없는 기존 기능은 시험 결과를 활용해 불필요한 반복 시험을 줄이는 방향이다.
관건은 기존 기능에 변경이나 영향이 없다는 사실을 확인하는 방식이다. 보안 위험을 놓치지 않으면서 중복 시험을 줄일 수 있도록 영향 여부를 판단할 기준과 추가 시험 범위를 구체화해야 한다.
보안 업계 부담은 줄어들 것으로 기대된다. 공공 시장에 집중하는 국내 기업에 긍정적 영향을 미칠 전망이다.
국정원 관계자는 “이미 검증받은 기능이 바뀌거나 영향을 받지 않는다고 확인되면 새로 추가한 기능과 관련 부분만 시험하는 등 간소화 방안을 검토하고 있다”며 “내년 상반기에 세부 계획안을 마련해 공유하겠다”고 말했다.
박진형 기자 jin@etnews.com
