지난 3월 15일 시행된 「국내용 정보보호제품 평가 인증」에 대한 업계 관심이 증폭되고 있다. 이미 국제공통기준(CC)인증을 신청했던 업체들이 이를 취소하고, 국내용으로 전환하려는 움직임을 상당수 보이고 있다.

현재 인증 진행중인 제품은 ▲뉴테크웨이브의 ‘바이러스 체이서’와 ‘바이러스체이서 매니지먼트 서버’ ▲유넷시스템의 ‘애니클릭 AUS’와 ‘애니클릭 NAC’ ▲유플랫폼의 ‘GTMS 엔터프라이즈 수트’ ▲XN시스템즈의 ‘멀티박스’와 ‘시큐어박스’ ▲웨어밸리의 ‘샤크라’ 등이 있으며, 최근 안철수연구소도 정확한 제품명은 공개하지 않았지만 네트워크 보안 분야에서 참여했다고 밝혔다.

업계는 이 같은 움직임이 오랜 기간 계속될 것으로 전망하고 있다. 인증기관인 한국정보보호진흥원(KISA)이 기존 국제인증 참여자가 너무 줄어들 것을 걱정할 정도.

국제인증보다 소요시간 30% 절감
이 같은 국내인증의 인기는 인증 소요기간이 보통 1년 6개월 정도가 걸리는 국제인증 보다 30%정도 줄었다는 점에 크게 기인한다.

KISA 보안성평가단 조규민 팀장은 “인증기간이 줄어들면서 업체들의 적시 공급 능력이 크게 향상될 것”이라고 설명했다.

최근 국내인증을 신청한 뉴테크웨이브의 김영주 부장은 “평가제출물 작성 단계에서는 국제인증을 준비하다가 평가계약을 맺을 시점에 신설된 국내인증으로 방향을 돌렸다”며 “상대적으로 평가기간이 짧아 조속한 제품 공급이 기대된다”고 밝혔다.

일각에서는 ‘평가 항목이 상대적으로 허술하기에 인증소요 기간이 짧은 것이 아니냐’는 의혹도 제기되지만 KISA는 이를 정면 부인한다.

KISA 측에 따르면 우선 국내용과 국제용 인증은 인증 제도상 평가 기준은 완전히 동일하다. 단 국제용은 국제인증기관과 연계됐기 때문에 평가 결과 기록을 매우 상세히 기록해야 했으나, 국내용은 이를 우리 업체/기관에서 알 수 있는 수준으로만 하면 된다.

또 국제인증은 제품별로 시행하나 국내인증은 유사제품을 묶어 일괄 평가 한다. 시간 차이는 이런 요인들에서 나오는 것이다.

조규민 팀장은 “일단 첫 인증 결과가 나오면 평가에 대한 부정적 시선들이 사라질 것”이라고 강조했다.

비록 해외에서는 영향력이 없지만 국내만을 겨냥해 출시된 제품들에 한해서는 국내인증이 ‘맞춤형’이라 할 수 있다. 어차피 수출을 염두 하지 않은 이상 시간이 오래 걸리는 국제인증 보다는 훨씬 구미가 당기는 것이다.

한편, 인증에 드는 비용은 현재 국내용과 국제용이 동일하나, KISA는 앞으로 인증 소요기간에 따른 변동 수수료를 책정할 계획이어서 국내용 메리트는 더욱 높아질 전망이다.

인증 적체는 아직 그대로
그러나 국내인증이 앞으로 넘어야 할 문제점도 적지 않다. 업계는 이중 가장 우선적으로 해결해야 할 것으로 적체현상을 꼽는다.

과거 국내인증이 생기기 전 국제인증에만 신청이 몰렸을 당시, 실제 인증소요시간 못지않게 ‘줄서는 시간’도 오래 걸렸다. 이에 KISA는 국내인증 시행으로 인증이 이원화되면서 이 같은 적체현상이 상당수 줄어들 것으로 기대했다.

하지만 막상 뚜껑을 열어보니 업체들의 피부에 와 닿을 정도의 적체해소는 두 인증 모두에게서 보이지 않았다. 웨어밸리 민경인 과장은 “신청 적체로 인한 인증 기간 소요는 아직도 개선해야 할 점”이라고 지적했다.

KISA 측도 이를 인정하지만, 아직 국내용이 시행 초기인 만큼 더 기다려 봐야 한다는 입장이다. 조규민 팀장은 “국내용과 국제용 모두 공급보다 수요가 많아 고민인 것이 사실이나, 인증제가 자리 잡으면 나아질 것”이라며 “아직 소속은 정해져 있지 않지만 적체 해소를 위해 조만간 평가기관이 하나 더 생길 것”이라고 밝혔다.

이 밖에도 인증신청 업체들 중 몇몇은 KISA가 중소벤처기업들의 힘든 상황을 고려하지 않는다고 지적한다.

한 인증신청 업체 관계자는 “평가제출물이 워낙 방대해 많은 연구인력이 투입되고 비용 부담도 버겁다”고 토로하며 “국내 보안 업계 대부분이 중소벤처기업임을 감안한 KISA의 개선책이 필요하다”고 주장했다. @