제3장 주요 평가체계 비교·분석 및 시사점 도출
3.2 평가체계 비교·분석 및 시사점
1. 정부 및 민간 주관 제도의 특징 및 장단점
□ 정부 주관 제도를 통한 보안수준 신속 향상
- TCSEC의 경우 1992년까지 C2등급 이상, 2003년까지 B3등급 이상 충족할 것을 요구하였고, 이에 정보보호제품 개발사들은 이러한 TCSEC 보안요구사항을 만족시키기 위해 지속적인 노력을 기울인 결과 보안수준이 상당히 향상됨
- 국내CC인증의 경우도 1998년도부터 시작된 이래 꾸준히 CC인증 제품은 그 수가 증가하고 있으며, 이는 공신력 있는 기관으로부터 보안성에 대한 인증을 취득한 정보보호제품에 대한 수요자의 니즈가 증가함을 의미
- FedRAMP 제도의 경우 정부 기관에 도입하는 클라우드 서비스에 대한 보안성 평가 중 클라우드에 한하여 통합하여 클라우드 서비스 정보보호 수준 향상과 위험관리 비용 절감에 기여함
- 암호모듈검증 프로그램 (CMVP) 제도의 경우 미국과 캐나다에서 개발하여 국내에서도 국정원을 통해 인증을 제공(KCMVP)하여 검증대상 암호 모듈의 안전성을 향상시킴
- 국내에서도 ISMS 제도를 통해 정보보호 관리체계에 대한 국가 공통의 기준 및 목표를 제공하고, 특정 규모 이상의 ISP, IDC, 정보통신서비스제공자 등에 대해 의무화하여 정보보호 수준향상에 기여