국가정보원(서훈 원장. NIS)은 15일 ‘2020년 국정원 보안기능 확인서 발급절차 안내’ 문건을 공개하고 ‘보안기능 확인서 발급 대상 유형’ ‘신청 업체 준수 사항 및 제출물 작성방법’ ‘보안기능 시험절차’ ‘보안기능 확인서 발급절차’ 등에 대해 상세히 설명했다.

◇보안기능 확인서 발급 대상 유형

보안적합성 검증 대상 유형은 정보보호시스템, 네트워크 장비(L3 이상 스위치, 라우터, SDN 장비 등) 등을 대상으로 보안기능 확인서 발급이 가능하다. 국내·외 제품 모두 동일하다. 다만 침입탐지시스템 및 가상사설망 등 국가, 공공기관 도입시 CC인증 또는 암호모듈 검증이 필수로 요구되는 제품은 해당 인증을 획득한 제품에 대해 발급이 가능하다.

◇신청 업체 준수사항 및 제출물 작성법

신청 업체는 보안기능 확인서 발급과 관련 △대상 제품에 대한 제출물 작성, 제출 △대상 제품 시험에 필요한 기술 지원 △발급 제품의 보안기능 및 취약점 개선결과 보증 △발급 제품에 대한 사후관리 등의 역할을 수행한다.

신청업체 작성 제출물은 총 9종으로 △보안기능 시험신청서 △CC인증 사본(해당시) △제품 설명서 △신청기관 준수사항 확인서 △보안기능 설명서 △취약점 개선 보증 서약서 △보안기능 운용 설명서 △취약점 개선 내역서 △자체 시험결과 보고서 △대상 제품 등이다.

제출물은 한글로 작성하고 국가, 공공기관 도입 시 CC인증 또는 암호모률 검증이 필수인 제품에 대해 인증 당시와 동일한 형상임을 확인할 수 있도록 해당 사항을 시험 신청서에 기재해야 한다.

◇보안기능 시험 절차

신청업체가 제출물을 작성해 시험기관에 제출하면 시험기관은 작성한 제출물에 대한 사전검토를 실시해 검토 기준 만족시 ‘보안기능 시험 신청 접수증’을 작성해 신청 업체에 전달하고 기술심의회의의 착수 승인 후 신청업체와 시험계약을 체결한다.

시험기관이 보안기능 시험을 실시하고 추가 자료제출 또는 시험 환경에 대한 기술적 지원을 요청할 수 있다. 취약점 개선 등 보완기간을 제외한 시험 기간은 약 13주~15주 가량 소요된다.

◇보안기능 확인서 발급 절차

시험 완료 후, 시험결과 보고서를 검증기관에 제출하면 발급 절차가 진행된다. 기술심의회의는 시험의 적절성 등을 심의한 후 발급 여부를 결정한다. 발급 승인전 검증기관은 대상 제품에 발급 번호를 부여하고 이를 시험기관에 통보하며 시험기관은 발급번호가 기재된 보안기능 확인서와 시험결과 보고서를 신청업체에 발급하는 순으로 이루어진다.

국가용 보안요구사항의 필수 항목을 모두 만족한 제품은 2년을 유효기간을 부여하며 그 외 제품은 1년간 유효하다. 총 유효기간은 최초 발급일로부터 효력 연장기간을 포함해 최대 3년까지 부여할 수 있다. 다만 CC인증 또는 검증필 암호모듈 제품의 유효기간은 해당 인증의 만료일을 초과하지 않아야 한다. 그리고 보안기능 확인서의 효력은 발급 당시 형상에 한정된다.

이외 자세한 사항은 데일리시큐 자료실에서 국정원 보안기능 확인서 발급절차 안내 문서를 확인하면 된다.

한편 국정원은 선검증 전환 대상제품 공공조달 관련 내용을 공지하면서, “국정원은 2021, 2022년도 선검증 전환 대상 제품인 △네트워크, 호스트 자료유출 제품 △망간 자료전송 제품의 CC인증 효력이 제도 전환일전에 만료되어 공공조달이 어려울 경우를 대비해 제도 전환일 이전이라도 보안기능 확인서를 발급받으면 ‘검증필제품 목록’에 등재되어 공공조달이 가능하다”고 밝혔다.

★정보보안 대표 미디어 데일리시큐!★

◇상반기 최대 개인정보보호&정보보안 컨퍼런스 G-PRIVACY 2020 개최
-날짜: 2020년 5월 28일
-장소: 더케이호텔서울 2층 가야금홀
-참석: 공공·금융·기업 개인정보보호 및 정보보안 책임자·실무자
-교육이수: 7시간 인정
-사전등록: 사전등록 클릭
-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com