근시안적 보안업체들 국내용 CC인증에만 매달려

현재 CC인증 90%가 국내용...CCRA 가입 취지 무색

CC인증 선도입 시스템...국내 업체에 오히려 불리할 수 있다

한국이 CCRA에 가입을 한 이유는 무엇일까. 바로 국제표준 보안제품을 많이 출시해서 국제경쟁력을 기르고 수출을 원활하게 해 보안시장의 파이를 글로벌로 확장하자는데 있는 것이다.

하지만 그 취지가 무색해지고 있어 장기적으로 문제가 발생할 수 있다는 지적이 나오고 있다.

◇국내용 CC인증이 90%...글로벌 마인드 전혀없어=한 관계자는 “최근 CC인증을 보면 90% 정도가 국내용으로 CC인증을 신청하고 있다”며 “이는 원래 CCRA 가입 취지와는 완전 다른 방향으로 가고 있는 것이다. 국내 기업들이 적체 해소를 위해 국내용만 신청을 하고 있는데 이는 장기적으로 볼 때 보안 산업에 악영향을 미칠 것”이라고 지적했다.

국정원도 이와 같은 문제점을 인지하고 있을 것이다. 그래서 얼마전 있었던 설명회에서도 앞으로 국제용 위주로 인증을 유도할 것이라고 발표한 맥락도 여기에 있다.

문제는 현재 상황이다. 보안기업들이 급한 마음에 공공기관 진입용으로 국내용 CC인증에만 매달리고 있는 상황이다. KISA(한국정보보호진흥원)도 마찬가지고 타 인증기관에도 대부분 국내용 CC인증 신청이 몰리고 있다.

행정안전부는 규제대상 1호에 CC인증을 거론하고 있다. 이유는 CC인증 적체로 인해 기업들이 어려워하고 있고 공공기관에서 사용할 수 있는 보안솔루션이 제한적이라는데 있다. 그래서 무조건 적체를 빨리 해소하자는 입장은 충분히 이해가 가고 평가 기간도 줄여 기업의 숨통을 터주자는 취지는 보안관계자들도 이해를 하는 분위기다.

하지만 작은 국내 시장에서 벗어나 글로벌 시장으로 나가도 모자랄 시점에서 보안 기업들이 국내용 CC인증만을 받기 위해 혈안이 돼 있는 것은 뭔가 잘못된 방향으로 가고 있는 것이 아닌가 생각해봐야 할 것이다.

모 기관 관계자는 “보안기업들이 국내용 CC인증에만 매달리다 보면 그리 크지 않은 국내 시장 경쟁이 더욱 치열해 질 것이고 수익도 기대만큼 나지 않을 것”이라며 “결국 서로간의 출혈경쟁으로 인해 산업이 더욱 위축될 수 있다. 국제용 CC인증으로 전환이 필요하다”고 말했다.

한편 또 다른 기관 관계자는 “적체가 풀리는 시점이 2010년 정도 될 것이다. 그쯤이면 국내용이 아닌 국제용으로 CC인증을 통일할 수도 있을 것”이라며 “본격적으로 적체가 풀리기 시작하는 시점은 내년 중순부터 기본적인 적체는 풀릴 것으로 본다”고 말했다.

또 한 관계자는 “적체라고는 하지만 평가반에서 막상 업체에 전화하면 업체에서는 계약을 미루는 경우도 있다”며 “이는 업체에서 적체를 말하면서도 CC인증 준비를 철저히 하지 않고 있다는 것을 알 수 있는 대목이다”라고 지적하기도 했다.

◇공공기관 담당자는 국제용 CC인증 제품을 선호한다?=한편 공공기관에서 보안제품을 사용하는 절차도 얼마전 다소 바뀌었다. 이제는 CC인증만 받아도 공공기관 납품이 가능하고 사후에 보안적합성 검증을 받아도 되는 시스템이다. 이는 사용자인 공공기관 담당자에 권한과 책임을 동시에 부여하는 것으로 봐야 한다.

한 공공기관 관계자는 “CC인증만 받아도 보안제품 도입이 가능해지긴 했지만 사후 문제가 발생하면 담당자가 책임을 져야하기 때문에 담당자는 더욱 확실한 제품을 사용하려고 할 것”이라며 “즉 결국 국내 CC인증 제품보다는 더욱 엄격한 국제CC인증 제품을 선호하는 현상이 발생할 수도 있다”고 말했다.

즉 국내 업체들은 급한 마음에 국내용 CC인증을 받기 위해 안달이 나 있지만 현재 바뀐 시스템의 시각으로 봤을 때 일선 담당자들이 국내용 보다는 국제용을 선호할 수 있다는 것이다. 자칫하다간 낙동강 오리알 신세가 될 수도 있는 상황이다.

한 관계자는 “보안제품 잘못 도입하면 담당 공무원이 옷벗을 수도 있는 문제다. 그런 상황에 국제용 CC인증이 더 안전하다는 분위기가 조성되면 국내용 CC인증 제품들이 밀려날 수 있다”고 지적하며 “국제CC인증을 받은 외국 제품들이 대거 공공기관으로 진입할 수 있는 발판이 마련된 셈”이라고 덧붙였다.

국내용 CC인증 기간단축을 통해 적체를 해소하고 공공기관에도 CC인증만 받으면 납품이 가능하도록 한 시스템은 국내 보안업체를 위해 이루어진 시스템이라고 할 수 있다.

하지만 전문가들은 “이것이 오히려 국내용 CC인증에 너무 편중된 나머지 국내 보안업체들의 국제경쟁력을 떨어트리는 결과로 이어질 수 있어 걱정”이라는 지적도 나오고 있며, 또다른 관계자는 “CC인증 제품 선 도입 시스템이 국내 산업에 발전적으로 보일 수 있지만 자세히 살펴보면 오히려 국제인증을 받은 제품들에 더 유리하게 작용할 수 있을 것”이라고 밝혔다.

[길민권 기자(reporter21@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)