올해 달라지는 ‘보안적합성 검증제도’ 내용은?

CC인증 대상 유형 새롭게 정의...별도지정제도 폐지 등

[보안뉴스 김정완] 국가정보원 IT보안인증사무국이 보안적합성 검증제도를 2011년 1월1일부로 개선한 내용을 살펴본다.

우선 정보보호제품 도입요건을 살펴보면, CC인증 대상을 모든 유형의 정보보호제품에서 침입차단·탐지·방지, 통합보안관리 등으로 국정원이 정한 중요 제품으로 변경한다(다음 표 참조).

정보보호기술 및 환경변화에 따라 CC인증 대상이 추가 또는 변경될 수 있으며 최신 변경사항은 IT보안인증사무국 홈페이지에 공지할 예정이다.

또한 암호제품은 기존처럼 ‘국가용 암호제품’으로 지정된 제품에 한해 도입되며, 별도지정제도를 폐지함에 따라 향후 완전삭제제품(디가우저·이레이져)은 도입시 보안적합성 검증제도를 통해 안전성 검증을 받아야 한다. 아울러 기존 별도지정제품은 보안적합성 검증필 목록에 등재가 될 예정이다.

그리고 ‘국내용 CC인증제품’ 및 ‘국가용 암호제품’은 보안적합성 검증이 생략된다.

특정 기관에서 도입해 보안적합성 검증을 필한 제품을 다른 기관이 도입시, 별도의 보안적합성 검증 신청없이 사용이 가능하다. 이 또한 IT보안인증사무국 홈페이지에 공지될 예정이다.

특히 국내용 CC인증제품·국가용 암호제품·보안적합성 검증필 제품 등이 아닌 제품은 도입시 필히 검증신청 및 검증결과에 따른 보완조치가 필요하다.

한편 CC인증 대상 정보보호제품 중 가상사설망·보안USB 등 중요자료 소통·저장을 위한 암호사용시에는 검증필 암포모듈 탐재가 필요하다.

[김정완 기자(boan3@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다