클라우드 보안인증·정보보호제품 보안인증제 등 보안 규제 개선된다

정부가 국가·공공기관의 민간 클라우드 이용 확대를 위해 클라우드 보안인증제(CSAP)를 개선한다. 클라우드로 사용될 시스템의 중요도 기준으로 3등급 구분하고, 사이버 안보가 저해되지 않도록 등급별로 차등화된 보안인증기준을 적용하는 ‘클라우드 보안인증 등급제’를 도입한다.

클라우드 보안인증제 등급제 도입, 평가기준 완화

지금까지 획일적으로 운영돼온 클라우드 보안인증 체계에서 평가기준을 보완･완화해 민감정보 등을 다루는 클라우드에 대해서는 보안성을 높이고, 보안 위험이 상대적으로 낮은 공개데이터를 다루는 클라우드에는 부담을 완화해 개선한다는 취지다.

그동안 아마존웹서비스(AWS), 마이크로소프트 애저 등 외국계 클라우드 업체들은 까다로운 요건을 갖춘 클라우드 보안인증제를 두고 사실상 공공시장 진입 장벽으로 작용해온 문제를 제기해왔는데, 이번 등급제 도입이 앞으로 공공 클라우드 시장 변화에 영향을 미칠 지 주목된다.

세부 방안은 디지털플랫폼정부위원회와 관계기관 등이 협업해 산·학·연·관 등 이해관계자 의견 수렴을 거쳐 마련한다. 향후에도 디지털플랫폼정부위원회를 통해 현장 적용을 지속 모니터링하고, 추가 개선사항을 발굴해 규제 개선 효과를 극대화해 나간다는 예정이다.

정보보호제품 보안인증 신속확인제 도입

공공기관이 정보보호 제품을 도입할 때 필요한 보안인증제에는 ‘신속확인제’가 도입된다. 현재 공공 분야에 정보보호제품 도입시 평가기준이 있는 20여종만 도입이 가능하고, 기준이 없는 신기술이나 융·복합 제품은 기준 개발과 평가에 장시간 소요돼 급변하는 사이버위협 대응에 어려움이 있다는 게 그간 관련업계가 지적해온 애로사항이었다.

신속확인제가 도입되면 공통평가기준(CC) 인증, 보안기능확인서, 성능평가 등 관련 보안인증 기준이 없는 정보보호 제품을 공공 시장에 신속하게 공급할 수 있게 될 것으로 전망된다. 정부는 신속확인 절차에 2~3개월 소요될 것으로 예상하고 있다.

다만 신속확인 절차 신청 기업은 정보보호 전문서비스 기업으로부터 취약점 점검 및 소스코드 보안약점 진단을 받아 그 결과에 따라 보완 조치하는 사전준비를 거쳐 신속확인심의위원회의 보안성 심사를 통과해야 한다. 또 신속확인제품은 2년마다 연장할 수 있으며, 향후 보안인증 기준(국가용 또는 일반 보안요구사항 등)이 마련되면 정식인증을 받아야 한다.

정부는 8월 중 정보보호시스템 평가·인증 지침(과기정통부 고시) 개정을 위한 행정예고를 거쳐 4분기에 신속확인제 시행을 목표로 하고 있다. 국가정보원도 이번 규제개선 방안에 따라 국가 정보보안 기본 지침을 개정할 예정이다.

과학기술정보통신부는 “신기술 및 융・복합 제품을 대상으로 2~3개월 신속확인 절차를 거쳐 공공시장에 적기 공급이 가능하여 공공 분야에서 발생하는 신규 보안위협에 신속하게 대응 가능할 것으로 기대된다”고 밝혔다.

과기정통신부는 국정원 등 관계부처 협의와 산업계, 전문가 등의 의견수렴을 거쳐 이같은 ‘정보보호 규제개선 추진상황 및 계획’을 지난 18일 제5회 국정현안점검조정회의에서 발표했다. 개선할 보안지침 규제는 이들 두가지 외에도 위성영상 해상도 기준을 대폭 완화하는 등의 ‘위성정보 보안 규제’ 개선, 보안인증 기준이 없어 공공기관 도입에 어려움이 있던 ‘무선영상전송장비 시험인증’ 시행이 포함됐다.

위성영상 보안규제 완화

그간 산업현장에서는 국내 위성 영상 보급을 방해했던 위성영상 보안규제의 개선을 요청하는 건의가 지속돼왔다는 게 정부의 설명이다. 이에 국가 위성으로 촬영한 위성영상의 신속한 배포를 위해 위장처리 등 사전 보안처리가 필요한 위성영상 해상도 기준을 현행 4m에서 1.5m로 대폭 완화키로 했다. 또 기존에는 국내를 촬영한 위성영상을 배포할 때 보안상의 이유로 물리적 저장매체에 위성영상을 저장해 배포해야 하는 불편함이 있었으나, 앞으로는 보안처리 필요 시설을 포함하지 않은 경우 보정하지 않은 좌표를 포함한 위성영상에 대해 온라인 배포를 허용한다.

정부는 9월까지 산업계 간담회를 통해 규제 개선 관련 사항을 안내하고 의견을 수렴하여, 위성정보 보안관리 규정 등 관련 지침을 개정할 예정이다.

무선영상전송장비 시험인증 실시

한편, 과기정통부와 한국정보통신기술협회(TTA)는 무선영상전송장비 관련 41개 보안인증 시험항목을 마련했다. 고정형·유선형 CCTV의 경우 보안 인증기준이 마련되어 있어 공공기관에 도입이 가능했으나, 웨어러블캠 등 무선영상전송장비의 경우 보안인증 기준이 없어 그간 공공기관 도입에 어려움이 있었다. 이달 22일부터는 TTA 보안인증 시험을 받으면 무선영상전송장비가 공공부문에 도입이 가능해진다.

과기정통부 이종호 장관은 “이번 보안 관련 규제개선은 산업계가 오랫동안 요청해왔던 사항으로 산업계 의견을 반영해 마련했다. 이번 규제개선을 통해 민간의 혁신적인 신기술 개발을 촉진하고, 이를 통해 공공서비스의 혁신과 안전한 디지털플랫폼정부 구현이 기대된다”라며, “향후에도 과기정통부는 산업계와 이해관계자의 추가적인 의견을 수렴해 지속적인 규제개선을 통한 시장과 기업의 혁신이 이어지도록 노력을 기울이겠다”라고 밝혔다.

글. 바이라인네트워크
<이유지 기자>yjlee@byline.network