제2장 국내·외 주요 인증기술 평가 체계에 대한 선행 연구
2.1 개 요
□ 정보기술이 급속도로 발달하고 기업이 보호해야 할 정보 및 자산이증가함에 따라 정당하지 않은 사용자로부터 정보를 보호하기 위해세계 각국은 정보보호시스템의 보안성에 대한 신뢰성 확보를 위해 다양한 평가기준을 개발하여 운영하였음
○ TCSEC, ITSEC 및 CTCPEC 등 미국, 유럽 등 여러 나라에서 개발되어 활용되고 있던 다양한 평가기준은 정보보호제품 CC(Common Criteria) 인증으로 통합
○ 국내에서도 보안성이 검증된 정보보호제품을 도입·운용할 수 있는 기반을 마련하기 위해 2002년 CC인증 제도를 도입하고 CCRA(국제 공통평가기준 상호인증 협정)에 가입하여 현재까지 CC인증체계를 운영 중
□ 하지만 신기술 발달 등에 따라 새로운 평가 및 인증체계가 개발되고 있으며, 특히 시장의 필요로 인해 관련 협회 등의 주도로 민간 주도의 제도가 신설되고 있음
○ 클라우드 서비스가 활성화됨에 따라 미국 정부 주도의 FedRAMP, 클라우드 보안협회 주도의 클라우드보안협회(CSA) Star 인증제도 등이 사용되고 있고, 생체 인증 서비스의 활성화로 FIDO 얼라언스에서도 인증서비스를 운영 중에 있음
○ 또한, 주요 글로벌 카드사들이 연합하여 신용카드 업계 글로벌보안 기준으로 제정한 PCI-DSS는 미국뿐만 아니라 국제적으로도 활발히 활용되고 있어, 이미 글로벌 시장에서 B2C 기업들은 PCI-DSS 인증 없이는 사업을 하기 어려울 정도임
○ 국내의 경우 CC인증 뿐만 아니라 평가대상 또는 도입 주체에 따라 보안적합성 검증 제도, 금융보안 적합성 시험 업무, 핀테크 기술 보안수준진단 업무 등 다양한 평가 체계가 운영되고 있음
→ 이에 국내·외 평가체계를 조사·분석하여 장단점을 도출하고, 민간 금융 보안·인증 기술평가 체계와 관련된 국내외 표준 및 가이드라인 등을 분석하여, 기술평가 시스템 구축에 참고할 자료를 제공하고자 함