신기술 정보보호제품, 공공부문 진입 빨라진다…신속확인제 도입

과기정통부 "내년 상반기 첫 신속확인제 정보보호제품 출시 기대"

[뉴스토마토 홍연 기자] 과학기술정보통신부가 정보보호제품 신속확인제를 통해 신기술 및 융˙복합제품이 공공시장에 진입할 수 있도록 한다. 기존제도에 평가 기준이 없는 제품을 보유한 스타트업의 진출이 활발해지면서 산업계의 혁신을 유도한다는 방침이다. 

 

과기정통부는 22일 서울 서초구 인근에서 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA)와 함께 기자간담회를 열고 지난달 31일부터 도입된 정보보호제품 신속확인제를 소개하는 한편, 가능한 사례들에 대해 설명하는 자리를 마련했다. 

 

이날 간담회에 참석한 김정삼 과기정통부 정보보호네트워크정책관은 "기존 인증 제도로는 평가 기준만 있는 제품만 도입돼 새로운 환경에 맞는 제로트러스트, 인공지능(AI) 도입이 지연되고, 공공 부문에서는 새로운 보안 위협에 대응하지 못하는 허점이 생겼다"면서 "산업계에서도 기존에 인증이 있는 제품만 개발해 혁신을 유도하는 데 한계가 있어 신속확인제를 도입하게 됐다"고 밝혔다. 

 

신속확인을 받으려는 기업은 신청서류와 더불어 최근 6개월 이내 발급받은 보안점검 결과서를 첨부해 신속확인기관에 신청하면 된다. 기존에 인증제 평가기관이 6개에 불과해 운영 시 적체가 많았는데, 이제 100개 기관에서 보안점검과 기능 시험이 가능해진다. 이후 신속확인심의위원회가 신청서류를 검토한다. 

 

신속확인제도 체계. (자료=과기정통부)

 

심의위 결과가 적합인 경우 유효기간이 2년인 신속확인서가 발급된다. 신속확인서는 만료 2개월 전에 취약점 점검을 통해 유효 기간 2년 연장이 가능하다. 신속확인 제품에 대해 기존제도에서 평가 기준이 마련되면 신속확인의 연장은 불가능하고 유효기간 만료 후 종료된다. 신속확인제가 도입되면 1년 이상 걸리던 신제품 인증 기간이 1.5~2개월로 대폭 줄어든다. 

 

신속확인 대상 요건은 △평가 기준이 없는 신기술 및 융·복합 제품 △제품의 형태 △정보보호 기능이다. 일례로 빅데이터 분석 기반 지능형 통합 보안 솔루션은 가능하다. 반면 디도스(DDOS) 대응 장비나 소스코드보안약점 분석 도구는 국가용 보안요구사항이 있어 CC(공통평가)인증이나 성능평가가 가능해 신속확인이 불가하다. 

 

정부 측은 신속확인제가 정책 투명성을 높이는 효과도 가져올 것으로 보고 있다. 최광희 KISA 디지털보안산업본부장은 "이전에는 국가기관에 평가를 신청하면 내부 절차에 따라 그때 그때 자료 요구가 있어 기업 입장에서는 진행 절차를 예측하기 어려웠다"면서 "이제는 기업 스스로가 필요한 것을 준비·선택하고 심의만 이뤄져 정부 주도의 획일적 평가가 기업 주도의 자율적 평가 제도로 전환했다는 데 큰 의미가 있다"고 강조했다. 

 

다만 GS(굿소프트웨어) 인증, CC 인증을 받아야 하는 기준이 있어 신속확인제도만으로는 조달청 수의계약은 불가하다. 김 국장은 "기재부·국정원과 협의해 새로운 수의계약 대상을 확대하는 것은 어렵다"면서 "기업들이 GS인증서를 제출하면 제품 기능 설명서는 대체가 가능하다"고 설명했다. 

 

실제로 신속확인제와 관련해 문의를 한 기업은 10여 곳 정도이며 3곳이 이번 제도 인증을 준비하고 있다. 정부는 내년 상반기에는 신속확인제를 통해 보안 인증을 받은 정보보호 제품이 나올 것으로 보고 있다. KISA는 이날 혁신 스타트업과 제품을 소개했다. 프라이빗테크놀로지의 프라이빗커넥트는 언제 어디서든안전하게 클라우드 또는 인트라넷, 시스템에 접속할 수 있는 세계 최초의 데이터 플로우 기반 제로트러스트 통신 제어 솔루션이다. 카인드소프트의 카인드 로그바이저는 생체정보, OTP, NFC 등 멀티인증 다중사용자 접속 관리, 비정상 PC로그인 실시간 확인, DB위변조 방지가 가능한 블록체인 기반의 다계층 PC로그인 보안솔루션이다. 

 

김정삼 과기정통부 정보보호네트워크정책관이 22일 열린 신속확인제 관련 기자간담회에서 발언하고 있다. (사진=뉴스토마토)

 

홍연 기자 [e-mail]