[지디넷코리아]앞으로 CC인증(EAL2 이상) 보안제품은 국정원 심사 없이도 공공기관에 도입할 수 있다. 대신 해당 기관의 보안책임이 커질 전망이다.

국정원 IT보안인증사무국은 2일 삼성동 코엑스서 보안적합성 검증제 개선안을 발표했다. 발표에 따르면 현재 국정원 적합성 검증필 목록에서 CC인증 및 암호화 제품이 이달 중, 기타 CC 미인증 제품은 올 연말 삭제된다.

이 검증필 목록은 공공기관 납품을 위해 국정원 심사를 기다리는 제품들이 올라있다. 여기서 삭제됐다는 것은 국정원을 통하지 않고 공공기관으로 직행할 수 있다는 의미이다. 6개월 이상 걸리는 국정원 심사로 인해 고민하던 기관과 업체에게 숨통이 트이는 소식이다.

하지만 이들이 환호까지 하기는 아직 이르다. 공공기관은 국정원 없이 보안제품을 도입하는 대신 사후 책임을 져야하고, 업체에까지 영향을 미친다.

IT보안인증사무국 관계자는 “공공기관은 국정원이 나눠준 보안제품 도입 권리에 걸맞는 책임을 갖게 됐다”며 “보안적합성 미인증 제품을 사용하다 발생하는 사고는 각자 알아서 처리해야 한다”고 밝혔다.

단, 공공기관은 사용 중인 제품이 문제가 있다고 판단될 시 국정원에 검증을 의뢰할 수 있다. 국정원이 이 검증에서 취약성을 발견하면 해당 기관에 통보, 공급업체와 함께 해결토록 지원하는 형태이다.

이와 함께 국정원은 IT 보안제품 규격도 개발할 계획이다. 올해는 디지털복합기가 대상이며, 향후 RFID/USN 방향으로 확산을 모색한다. @