2009년 03월 08일 (일) 13:36:01 / 김정은 기자jekim@itdaily.kr
국가정보원으로 부터 보안적합성검증을 획득한 보안솔루션이 공공기관에 도입된 후 보안상 취약점이 발견돼 재심사를 받는 일이 벌어지고 있다. 무리한 커스터마이징이 주 원인으로 지목되고 있는데, 이로 인해 향후 보안적합성검증이 더욱 까다로워질 것으로 전망된다.
국가정보원(이하 국정원) IT인증사무국은 최근 국정원에서 안정성을 검증한 제품들이 사후에 보안기능을 무단 변경하여 국가기관에 납품됨에 따라 국가 전산망 안전성 훼손으로 국가기밀 유출 등 심각한 악영향이 우려된다며 관련 제재를 강화할 방침이라고 밝혔다. 보안적합성 검증 요건을 충족한 제품일지라도 커스터마이징 등 임의적인 변경 시 보안위협이 얼마든지 존재할 수 있다는 사실을 인정한 것이다.
국정원은 앞으로 보안적합성 검증필 제품의 무단 형상변경으로 보안취약점이 발생된 경우 1-3개월간 '검증필 제품목록'에서 삭제하고, 동일제품의 무단형상 변경이 재차 적발 시에는 '검증필 제품목록'에서 영구히 삭제한다는 계획이다.
◆보안USB 등 보안솔루션의 재심사 불가피= 국정원의 보안적합성검증필 제품에 대한 제재 강화로 공공기관에 맞춤형 솔루션을 제공해온 보안솔루션 업체들의 보안적합성검증 재심사가 불가피하게 됐다.
실제 보안USB 제품들의 경우, 최근 일부 공공기관 감리 및 보안취약점 진단결과 보안USB 내 원본 기밀 데이터가 뚫리는 등 취약점 발견으로 인해 보안적합성검증 재심사를 받고 있는 상황이다. 보안적합성검증필 제품 목록에 등재되어 있던 10개의 제품 중 현재 2개의 제품이 등재 목록에서 삭제되었으며, 제품을 보강 중인 것으로 알려졌다.
보안USB는 보안제품들 가운데서도 특히, 공공기관 업무 편의에 의해 반출반입 승인 과정이 바뀌는 일이 비일비재하다. 일반적으로 보안USB의 반출 승인은 '사용자- 부서장- 전산실' 3단계 결재 프로세스가 요구된다. 전산실에서 운영 관리를 하도록 되어 있으나 다수 공공기관들이 전산실 승인없이 부서장 수준에서 반출승인을 받도록 하고, 전산실은 통계, 관리 할 수 있도록 임의적으로 기능 변경을 요구하고 있는 것.
보안USB업계 한 관계자는 "보안USB 공급 업체들이 아무리 패키지화된 제품을 내놓아도 결국 해당 기관 업무에 맞게 관리용서버나 프로그램을 변경해달라는 요청이 발생한다. 특정 기능을 변경할 경우 연계된 다른 기능들 까지도 함께 수정해야 하지만 이로 인한 비용, 시간이 소요되다 보니 해당업체들은 제품 공급에만 급급한 나머지 이런 부분까지 신경 못쓴다. 임의적으로 기능을 변경하면, 정상적인 반출 승인을 얻은 보안USB라 할지라도 외부에서 얼마든지 그 안에 기록된 기밀 내용을 읽는 것은 물론 복사나 다른이름으로 저장 등이 쉽게 가능해 보안상 우회경로가 존재하게 되는 것"이라고 설명했다.
그는 또한 보안USB의 디바이스 제어나 메모리 컨트롤 부분은 USB메모리 제조사의 영역이지, 보안USB업체들이 할 수 있는 영역이 아니므로 우회 경로를 막기 위한 보안 기능 개발을 하는데 한계가 있다고 덧붙였다.
◆'보안제품 선도입 후 검증' 실시로 보안심사 까다로워질 듯= 올해부터 보안적함성검증은 ‘선 도입 후 보안적합성 검증’ 제도로 전면 변경된다. 따라서 보안제품이 운영 전에 보안 취약점을 점검할 수 있게 돼 보안수준이 높아질 것으로 기대된다.
보안업체들 입장에서는 과거 CC인증과 보안적합성검증필이 모두 있어야 공공사업이 가능했으나, 오는 6월부터는 CC인증만 있으면 공공사업이 가능하다. 도입 기관들도 제품 도입 시기를 늦추면서까지 보안적합성 검증필을 획득하기만을 기다릴 필요가 없게 됐다.
하지만 제품 운영이전의 현장운용 시험이 강화됨에 따라 보안업체의 제품공급 및 도입기관의 제품이용이 더 까다로워질 수도 있다.
보안적합성 검증 재심사 중인 보안업체들은 “국내 고객들은 입맛에 안맞으면 제품을 안산다. 보안장비가 아닌 관리 시스템을 포함한 보안솔루션은 업무 프로세스와 연관이 많다. 제품을 납품하며 기관 요구사항에 맞춰 개발하면 솔루션 재개발 수준"이라며 어려움을 토로한다.
이처럼 과도한 커스터마이징 요구가 보안업체들에게는 국내 보안사업을 하는데 어려운 부분이었다. 앞으로 보안성을 충족시키기 위해 커스터마이징 등 맞춤형 개발이 제한될 것으로 보인다. 이렇게 되면 그동안 외산업체들에 비해 커스터마이징 면에서 차별화된 강점을 내세워왔던 국산업체들의 시장 입지에도 영향이 있을지 관심이 쏠리고 있다.
무엇보다도 새로 적용되는 보안제품의 ‘선 도입 후 검증’ 제도가 공공기관들의 보안취약점과 사고를 얼마나 줄일 수 있을지에 가장 큰 관심이 모아지고 있음은 물론이다.
이전 
목록보기
다음
