Common Criteria(CC) 정보보호시스템 평가와 국제 인증 체계
Common Criteria(CC)와 ISO/IEC 15408의 평가 구조, EAL, CCRA 상호인정, 국내 CC 인증 체계를 정리한다.
2026-08-14 · 최초 발행 2025-06-08
국가별 보안 평가 기준을 연결하는 Common Criteria
Common Criteria(CC)는 정보기술 제품과 시스템의 보안성을 평가하기 위한 국제 표준인 ISO/IEC 15408이다. 국가별로 서로 달랐던 정보보호시스템 평가 기준을 연계하고, 평가 결과를 상호 인증하기 위해 만들어졌다.
이 체계는 제품의 보안 기능을 객관적이고 표준화된 방식으로 평가할 수 있게 한다. 국제 무역에서는 정보보호제품의 평가 결과를 상호 인정함으로써 무역장벽을 낮추고 글로벌 시장 접근성을 높이는 역할도 한다.
여러 국가의 기준이 CC로 합쳐진 과정
CC는 미국의 TCSEC, 유럽의 ITSEC, 캐나다의 CTCPEC처럼 각국이 운용하던 보안 평가 기준을 통합하는 흐름에서 발전했다. 1996년에 CC 초안 개발이 시작됐고, 1999년 CC 버전 2.0과 ISO/IEC 15408 표준화로 이어졌다. 이후 2005년 CCRA가 체결됐으며, 2009년에는 CC 버전 3.1이 출시됐다. 현재 전 세계 31개국 이상이 참여하고 있다.
평가 기준의 구성
CC는 일반 모델, 보안 기능 요구사항, 보안 보증 요구사항으로 구성된다.
Part 1은 CC의 기본 개념과 원칙, 평가 프로세스 전체 프레임워크를 제시한다. 주요 용어와 평가 대상(Target of Evaluation, TOE)의 개념도 이 부분에서 다룬다.
Part 2는 제품이 제공해야 하는 보안 기능의 카탈로그다. 기밀성, 무결성, 가용성, 인증, 감사와 관련된 요구사항을 명세하고, 이를 구성하는 표준화된 보안 기능 컴포넌트를 정의한다.
Part 3은 보안 기능이 효과적으로 구현됐는지 평가하기 위한 보증 기준을 담는다. EAL(Evaluation Assurance Level) 체계와 함께 개발, 테스트, 취약점 분석에 관한 보증 요구사항을 규정한다.
EAL이 나타내는 보증 수준
CC는 보안 제품의 신뢰도를 평가하기 위해 EAL1부터 EAL7까지 7단계의 평가 보증 등급을 둔다.
EAL1은 기본 보안 기능의 정상 동작과 문서화를 검토하는 수준이다. EAL2에서는 개발 환경과 보안 설계를 검토하고 독립적 취약점 분석을 수행한다. EAL3은 체계적 개발 접근법, 테스트 증거, 개발 환경 통제를 요구한다.
EAL4는 상업용 제품의 최고 수준으로, 설계 구현과 개발 과정을 체계적으로 검증한다. EAL5는 형식적인 모델과 모든 모듈의 반형식적 설계 기술을 사용한다. EAL6은 고도의 개발 환경 통제와 취약점 분석의 체계적 식별을 요구하며, EAL7은 형식적 증명 기법, 설계의 형식적 표현, 포괄적 테스트를 포함한다.
보호 프로파일에서 인증서까지
CC 평가는 보호 프로파일과 보안 대상 명세서를 바탕으로 증거자료를 제출하고, 평가와 검증을 거쳐 인증서를 발급하는 방식으로 진행된다.
보호 프로파일(PP)은 특정 제품 유형에 적용할 보안 요구사항의 템플릿이다. 보안 대상(ST) 명세서에는 개별 제품의 보안 기능과 보증 요구사항을 적는다. 이후 평가에 필요한 증거자료를 수집해 제출하고, 인가된 평가기관이 제품을 평가한다. 국가 인증기관이 결과를 검토한 뒤 평가가 성공적으로 완료되면 인증서가 발급된다.
CCRA가 만드는 상호 인정 범위
CCRA(Common Criteria Recognition Arrangement)는 CC 평가 결과를 참여국 사이에서 상호 인정하기 위한 협약이다. 중복 평가를 줄이고 국제 무역을 촉진하는 것이 목적이다.
미국, 영국, 독일, 프랑스, 한국, 일본 등을 포함해 31개국 이상이 참여한다. EAL2까지는 모든 제품을 인정하고, EAL4까지는 보호 프로파일을 준수한 제품을 인정한다. 참여국은 기술 정보를 공유하고 평가 방법론과 공통 보호 프로파일 개발에 협력한다.
국내 CC 인증이 적용되는 영역
한국에서는 국가정보원 산하 IT보안인증사무국이 CC 인증을 수행한다. 정보통신기반보호법과 전자정부법 등이 법적 근거이며, 네트워크 장비, 운영체제, 스마트카드, 바이오인식 제품 등이 인증 대상이다.
제품 개발자 또는 벤더가 평가를 신청하면 인가된 평가기관이 평가를 진행하고, IT보안인증사무국이 결과를 검증한 뒤 인증서를 발급한다. 주요 평가기관으로는 한국인터넷진흥원(KISA)과 한국정보통신기술협회(TTA) 등이 있다.
정부와 공공 부문에서는 국가 정보 시스템을 도입할 때 CC 인증 제품을 우선 고려한다. 군사 시스템, 전자여권, 주민등록시스템 등 국가 중요 인프라에도 CC 인증 제품이 적용되며, 한국의 국가 정보통신망에는 EAL4 이상 인증된 네트워크 장비 사용이 요구된다.
금융 부문에서는 전자금융 보안 장비에 CC 인증을 요구하고 ATM, 금융IC카드, 키관리시스템 등에 적용한다. 유럽의 EMV 지불 시스템은 CC 인증 스마트카드와 결제 단말기를 사용한다.
기업과 상용 시스템에서는 글로벌 시장 진출을 위한 경쟁력 확보 수단으로 CC 인증을 활용한다. 클라우드 서비스, 가상화 솔루션, 데이터베이스 시스템이 인증 대상이 될 수 있으며, Microsoft Windows, Oracle Database, VMware 가상화 솔루션 등이 CC 인증을 취득했다.
인증 체계가 안고 있는 제약과 변화 방향
CC 인증은 평가 과정에 6개월~2년이 걸리고 비용도 많이 소요된다. 빠른 IT 기술 발전 속도를 평가 체계가 따라가기 어렵고, 특정 보안 기능을 평가하는 방식만으로 운영 환경 전체의 보안성을 보장하기도 어렵다. 인증 제품 사이의 상호운용성 보장도 충분하지 않다.
클라우드, IoT, AI 같은 신기술을 평가할 기준 마련이 요구된다. 이에 따라 평가 시간과 비용을 줄이는 간소화된 방법론, 클라우드·IoT·산업제어시스템을 위한 특화 보호 프로파일, 제품 생명주기 전반의 지속적 평가 및 인증 체계가 논의된다. 자동화된 테스트와 평가 도구 개발, CCRA 참여국 확대와 협력 영역 확장도 같은 맥락에 있다.