5. 평가항목의 구성
□ 국내외 평가체계의 평가항목을 통한 도출
- 모든 정보보호시스템을 평가해야 하는 ITSEC, CTCPEC 및 CC인증의 경우, 평가방법론(CEM)에 의거하여 평가항목을 표준화하고 있으며, 그 외 특정 제품을 평가대상으로 하는 평가체계의 경우 제품별, 기술별로 평가항목이 일부 상이함
- 민간 금융 보안·인증 기술의 경우 그 분야 및 범위가 다양하므로 평가항목을 표준화하기 보다는 인증기술 별로 필요로 하는 필수평가항목을 도출하여 평가·인증을 수행함으로써 불필요한 평가항목을 최소화할 필요
- FedRAMP 및 클라우드보안협회(CSA) STAR의 클라우드 보안 관련 항목, FIDO 표준인증의 생체 인증 관련 항목, 암호모듈검증 프로그램 (CMVP)의 암호화 관련 항목, PCI-DSS, ISMS, PIMS 및 보안적합성 검증 제도의 보안 관리체계 및 개인정보보호 관련 항목, 금융보안 적합성 시험 업무 및 핀테크 기술 보안수준 진단 업무의 진단 항목 등을 참고하여 각 분야별평가 항목 도출
□ 국내외 관련 가이드를 통한 평가 항목 도출
- 국내외 가이드라인 중 디지털 인증가이드라인, 전자인증 관련 국내 표준, 모바일 기기 바이오 정보 탑재 방법 표준, Biometric Verification Mechanism PP, 금융서비스 바이오정보 인증관리 가이드라인 등으로부터 생체인증 관련 평가 항목 도출
- 국내외 가이드라인 중 IC칩 기반 인증 모듈 보안 요구사항, 전자인증 관련 국내 표준, 스마트카드를 이용한 강한(Strong) 인증관련 백서, Security IC Platform PP with Augmentation Packages 등으로부터 IC칩 인증 관련 평가 항목 도출