2. 점검 방법의 다양화
□ 제품 간 상호 교차점검 및 호환성 점검
- FIDO 인증 제도의 경우 FIDO 사무국에서 약 90일마다 상호운용성평가 이벤트를 개최하여 단위 제품 업체들 간에 테스트를 진행하여 상호 연동 교차 점검을 실시
- 평가 참여 기업 간 상호 교차 점검을 통해 실제 적용시의 문제점을 사전에 파악할 수 있으며, 각 솔루션이 호환되는지 검증할 수 있음
- 스타트업의 발전에 따라 하나의 서비스 내에 서로 연동되는 다양한 모듈이 서로 다른 업체에서 개발되는 경우가 다수 발생하고 있어, 단일 제품에 대한 평가뿐만 아니라 교차점검의 필요성이 증가하고 있음
- 일반적으로 정보시스템에 대해 상호운용성 확보 등을 위한 기술평가를 수행하는 경우가 많음(전자정부법 제49조, 상호운용성 확보 등을 위한 기술평가)
- 보안·인증 기술에 대해서도 제품 간 상호 교차점검 및 호환성점검이 필요하며, 상호 교차지점에서 보안상 허점이 생기지 않도록 점검할 필요가 있음
□ 자체 점검 지원 및 그 결과 활용
- 클라우드보안협회(CSA) STAR 제도에서는 1차 단계인 자체평가에서 질의응답을토대로 서비스 제공자가 스스로 보안 수준을 평가하고 조치할 수 있는 자체 점검을 지원 및 활용하고 있음
- PCI-DSS에서도 대상 기업이 자체적으로 평가하여 SAQ(자가진단질문지)를 관련 증적과 함께 매입사나 발행사로 보고하도록 하여 자체 점검을 지원하여 그 결과를 활용하고 있음
- FIDO 인증 제도에서는 1단계 자체적합성 검증을 위해 자체 평가도구를 배포하여 FIDO 규격에 적합한지 자체적으로 평가할 수 있도록 하였고, 그 결과를 2단계 평가 진행(상호운용성 평가) 14일전에 제출하도록 하였고, 벤더 자가 진단 체크리스트를 배포하여, 최종 증명서 제출 시에 함께 제출하도록 하고 있음