정부, 클라우드 보안인증 등급제 추진 공식화…"평가기준 보완·완화"

과기정통부 "인증기준 차등 적용해 국가기관 민간 클라우드 이용 확대…이해관계자 의견 수렴해 구체화"

[사진=아주경제 DB]

정부가 클라우드 보안인증(CSAP) 체계를 클라우드 사용 시스템 중요도에 따라 세 등급으로 나누고 인증 기준을 차등 적용하는 '등급제'를 도입한다는 방침을 공식화했다. 

과학기술정보통신부는 위성정보 보안, 클라우드컴퓨팅서비스 및 정보보호제품 보안인증 제도 개선, 무선영상전송장비 시험인증 서비스 시행을 추진한다고 18일 밝혔다.

과기정통부는 이날 제5회 국정현안점검조정회의에서 국가정보원 등 관계부처 협의와 산업계, 전문가 등 의견수렴을 거쳐 마련한 '정보보호 규제개선 추진상황 및 계획'을 발표했다.

국가 위성으로 촬영한 위성영상을 빠르게 배포하기 위해 위장처리 등 사전 보안처리가 필요한 위성영상 해상도 기준을 4m에서 1.5m로 완화한다. 보안처리 필요 시설을 포함하지 않고 미보정 좌표를 포함한 국내 촬영 위성영상에 대해 온라인 배포를 허용한다. 이같은 방침에 따라 다음달까지 산업계 간담회를 통해 규제 개선 관련 사항을 안내하고 의견을 수렴해 위성정보 보안관리 규정 등 관련 지침을 개정한다. 이로써 고해상도 위성영상 신속 배포와 위성영상 온라인 공급을 실현하고 국내 위성정보 활용 산업 활성화 효과를 기대한다.

CSAP 제도의 단일 보안인증 체계를 클라우드 사용 시스템 중요도 기준 세 등급으로 구분하고 사이버 안보를 저해하지 않도록 등급별 차등 보안인증 기준을 적용하는 'CSAP 등급제'를 도입해 혁신적·효율적인 민간 클라우드를 국가기관 등에서 더 많이 이용하게 한다. 기존 CSAP 평가기준을 보완·완화해 민감정보 등을 다루는 클라우드에 대해 보안성을 높이고 보안 위험이 상대적으로 낮은 공개 데이터를 다루는 클라우드에 대해 기준을 완화한다. 디지털플랫폼정부위원회와 관계기관 협업, 산학연관 등 이해관계자 의견 수렴으로 세부 방안을 마련한다.

공공 분야 도입시 평가기준이 없어 기존 공통평가기준(CC) 인증, 보안기능확인서, 성능평가 등을 받지 못한 신기술, 융·복합 정보보호제품을 국가기관 등에 신속하게 공급할 수 있도록 '신속확인제' 도입을 추진한다. 신속확인제 신청 기업은 정보보호 전문서비스 기업에서 신기술 정보보호제품에 대해 취약점 점검과 소스코드 보안취약점 진단을 받고 그 결과에 따라 보완 조치하는 사전 준비를 거쳐 신속확인심의위원회 보안성 심사를 통과해야 한다.

신속확인 절차에 소요되는 기간은 2~3개월이고 통과 자격은 2년마다 연장할 수 있다. 신속확인 통과 제품은 향후 보안인증 기준 마련 시 정식인증을 받아야 한다.

국정원은 중앙행정기관, 주요기반시설 관리기관, 외교·안보 관계기관 등을 제외한 수요기관이 신속확인제를 통과한 제품을 도입할 수 있도록 보안적합성 검증체계를 개선할 방침이다. 이달 중 정보보호시스템 평가·인증 지침(과기정통부 고시) 개정을 위한 행정예고 후 올 4분기 신속확인제 시행을 목표로 하고 있다. 국정원도 이 방안에 따라 국가 정보보안 기본 지침을 개정한다. 제도 시행 전 국내 정보보호기업 대상으로 신속확인 신청 방법, 운영절차 등을 안내하는 설명회를 개최한다.

웨어러블캠 등 무선영상전송장비 보안인증이 가능해진다. 과기정통부는 한국정보통신기술협회와 41개 보안인증 시험항목을 마련해 오는 22일부터 무선영상전송장비에 대한 시험인증 서비스를 제공한다고 밝혔다. 앞서 보안인증 기준이 마련된 고정·유선CCTV뿐 아니라 무선영상전송장비도 공공기관에 도입할 수 있게 된다. 과기정통부는 이 시험인증 서비스를 통해 다양한 현장에 무선영상전송장비가 적용돼 재난·안전 분야 공공 서비스를 한 단계 더 발전시킬 것이라고 기대했다.

이종호 과기정통부 장관은 "이번 규제개선을 통해 민간의 혁신적인 신기술 개발 촉진, 공공서비스 혁신, 안전한 디지털플랫폼정부 구현이 기대된다"면서 "향후에도 과기정통부는 산업계와 이해관계자의 추가적인 의견을 수렴하여 지속적인 규제개선을 통한 시장과 기업의 혁신이 이어지도록 노력을 기울이겠다"고 말했다.