2.3 국내 보안·인증 기술 평가체계 조사 분석
1. 국내 CC인증
□ 개요
○ 주관: 정부(미래창조과학부, 국가ㆍ공공기관 도입 시 지정 제품군에대해 의무)
○ 배경
- 국내 CC인증 제도는 「국가정보화 기본법」 제38조 및 동법 시행령 제35조, 「정보보호시스템 공통평가기준」 (미래창조과학부고시 제2013-51호, 2013.8.8.), 「정보보호시스템 평가·인증지침」 (미래창조과학부고시 제2013-52호, 2013.8.8.)에 근거하여 운영
- 금융기관 및 공공기관이 주요 자산을 보호하기 위해 보안성이 검증된 정보보호제품을 도입·운용할 수 있도록 하기 위해 1995년 처음으로 그 기반이 마련되었으며, 침입차단시스템 및 침입탐지시스템에 대한 평가기준을 개발하여 적용
- 2002년 CC인증이 국내 평가 기준으로 도입되어 전 IT 제품군을 평가할 수 있는 기반을 마련하게 되었으며, 2005년 국내 정보보호제품 평가기준을 CC로 단일화함
□ 평가체계
○ 평가대상
- 국제 CC인증과 동일
○ 관련 수행 기관
○ 평가항목 및 평가등급
- 국제 CC인증과 동일
○ 평가기관
- (정책기관) 정책기관인 미래창조과학부는 정보보호제품 등의 인증에 관한 국가정책 결정, 평가인증 수행규정, 평가기준방법론, 보호프로파일 등을 수립 및 시행
- (인증기관) 인증기관인 IT보안인증사무국은 평가기관의 평가업무 감독 및 평가자 자격관리, 평가기관 보안관리 실태점검, 인증보고서 작성, 인증서 발급, 국제 공통평가기준 상호인증 협정(CCRA) 관련 활동, 인증제품에 대한 사후관리 및 평가기관 승인 및 취소 역할을 수행
- (평가기관) 평가업무 수행에 관한 규정 수립 및 시행, 평가계약 체결 및 평가수행, 평가관련 간행물 발간, 개발자 대상 개발환경 보안점검 수행 등의 역할을 수행하며, 현재 국내에는 CCRA 협정에 의거 승인서가 발행된 총 7개의 평가기관이 존재