[지디넷코리아]외산 보안기업들이 ‘보안적합성 심사’란 난제를 아직 못 풀고 있다. 지난 연말에만 해도 올 상반기내 최초 심사 통과기업이 탄생할 것이라는 전망이 대두됐지만, 아직까지 결과는 없다. 하지만 여기서 접는다면 공공시장 진출 포기를 뜻하는 것이기에 외산업계의 우려는 날로 커지는 상황.

보안적합성 심사는 CC인증과 우리 국가기관 현실과의 차이를 감안해 만들어진 제도로, 이를 통과해야만 공공시장에 제품을 공급할 수 있다. ‘CC인증을 받았어도 우리 국가기관과 적합하지 않은 부분이 있기에 보안적합성 검사가 반드시 필요하다’는 것이 인증을 주관하는 국정원의 입장.

국산은 이글루시큐리티, 듀얼시큐어, 소프트캠프 등 여러 기업이 보안적합성 심사를 통과한 반면, 외산은 아직 한군데도 없다. 과거 외산기업들이 가장 꺼려하던 ‘암호화 소스 제시’는 사라졌고, CC인증만 있으면 목표 명세서(ST)와 평가보고서 등으로 심사받을 수 있지만 답보상태는 여전하다.

외산 「우리 선택에 눈치본다」
이에 대해 같은 외산기업들은 심사를 위한 절차가 자신들의 발목을 잡는 가장 큰 요인이라고 주장한다. 이 절차는 공공기관 A와 보안기업 B가 있을 때 A가 B에 대한 심사를 요청해야만 B가 행동에 나설 수 있는 것을 말한다. 곧 B는 A의 선택을 기다릴 수밖에 없는 입장이라는 것. 심사통과 여부는 이후의 고민이다.

외산기업들의 불만은 자신들의 능력과 상관없이 심사 요청 수가 턱없이 부족하다는 것이다. 이는 보안적합성 심사와 관련해 대표적으로 거론되는 포티넷, 쓰리콤/티핑포인트, 아크사이트, 워치가드의 상황에서 잘 드러난다.

포티넷은 심사요청을 아직 받은 바 없고, 쓰리콤과 워치가드는 각 1건씩만 기록하고 있다. 아크사이트도 1건 이상 심사요청을 받았으나, 정확한 수는 밝히지 않았다. 이들의 글로벌 유명세와는 상당한 거리가 있는 결과이다.

포티넷 이상준 지사장은 “공공기관들이 외산 업체를 선택하면 주위 눈초리가 따가워질 것이라 생각해 경계하고 있다”며 “특히 현장 실무자들이 이를 의식해 외산의 장점을 위에 보고 하지 않는 것이 문제”라고 설명했다.

심사기간 반년 넘어가
본격 심사에 들어가서도 문제는 계속된다. 심사기간이 반년 이상을 넘기고 있는 것. 쓰리콤/티핑포인트, 아크사이트, 워치가드 모두 지난 연말 심사에 들어갔지만 아직까지 공식적인 결과 통보가 없다. 쓰리콤의 경우 이달 심사통과를 기대하고 있지만, 아직 확실치는 않다.

보통 7~8월경 프로젝트 업체를 선정하는 공공기관의 특성을 고려할 때, 조금만 더 지체된다면 내년을 바라봐야 할지도 모르는 상황.

아크사이트 고경원 지사장은 “하반기에는 신규계약이 거의 없는데 작년에 신청한 심사가 아직 결과가 없다면 어떻게 사업을 진행하라는 것이냐”며 “올해 전망이 매우 어둡고, 외산이어서 소외되고 있다는 기분을 지울 수 없다”고 토로했다.

쓰리콤 박진성 이사는 “심사기관의 의지가 부족한 면이 있는 것이 사실”이라며 “국정원과 업계간 깊은 대화가 필요할 것”이라고 밝혔다.

하지만 이는 어디까지나 정량화 되지 않은 ‘분위기’이고, 국산기업들의 생각은 다르다. 인증기간에서 만큼은 자신들도 같은 조건이라는 것. 이글루시큐리티 이용균 연구소장은 “국산 역시 대기기간을 빼고도 반년 가까운 기간이 걸린다”며 “외산이 특별히 피해 입는다는 주장은 납득할 수 없다”고 설명했다.

과연, 외산 최초 보안적합성 심사 통과 기업은 조만간 탄생할 지, 또 국산의 텃밭인 공공시장에서 환영받을 수 있을지 관심이 모아진다. @