□ 평가 신청기관 다양화
- FedRAMP, 클라우드보안협회(CSA) STAR, 암호모듈검증 프로그램 (CMVP), PCI-DSS, CC인증, ISMS, PIMS 등 대부분의 평가체계의 경우 해당 서비스 제공업체가 신청기관인데 반해, 보안적합성 검증 제도의 경우 국가·공공기관, 인증방법 평가제도의 경우 금융회사 및 전자금융업자가 신청기관임
- 모든 분석대상 평가제도가 신청주체가 서비스 제공업체 또는 수요기관으로 일원화 되어있음
- 신청 주체를 다양화하여 서비스 제공기관 및 수요기관 모두에서 신청할 수 있도록 평가 체계를 구성하는 방안도 검토할 필요
- 다만, 수요기관에서 평가 신청을 할 경우, 평가대상 인증방법의 구현은 대부분 서비스 제공업체에서 담당하고 있으나, 보완요구사항에 대한 보완주체는 수요기관이므로 신속하고 정확한 보완에 어려움이 존재(상호 일정 조정에 따른 협업 어려움, 책임소재불분명 등)할 수 있으므로, 보안 상태에 대한 단순 검토에 대해서만 신청을 받는 등 면밀한 검토 필요
□ 차등 평가제도 운영
- PCI-DSS의 경우 평가 대상 기업의 규모(연간 트랜잭션으로 계산)에 따라 차등 평가하여, 각 기업별로 현실적으로 수행할 수 있는 보안 역량에 따른 평가를 실시함
- 이처럼 서비스 규모, 사용자 수 등에 따라 각 기관별 인증기준을 차등 설정함으로서 소규모 기관이 인증 받는 것에 어려움을 최소화하여 제도를 활성화 할 수 있고, 차등된 평가 기준을 인증서에 명시하도록 하여 보안 수준에 대해 수요기관이 판단할 수 있도록 할 수 있음
- 다만, 차등 평가가 평가등급의 구분으로 발전될 경우, 새로운 규제로 받아들여질 소지가 있어 기업의 규모에 맞는 등급을 구분하고, 인증서를 발급하는 형태를 고려할 필요