정보보호제품 성능평가 제도와 공공조달 연계

제품 신뢰성과 조달 기준을 연결하는 성능평가

정보보호제품 성능평가는 국내 보안 제품의 성능과 품질을 객관적으로 확인해 제품 신뢰성을 확보하려는 국가 주도 제도다. 한국인터넷진흥원(KISA)이 주관하고, 과학기술정보통신부의 정책 방향에 따라 운영된다.

이 제도는 국내 정보보호 산업의 경쟁력을 높이는 한편, 공공기관이 보안 제품을 도입할 때 참고할 기준을 제공한다. 민간의 제품 선택을 위한 가이드라인과 국내 정보보호 기업의 글로벌 진출 지원이라는 역할도 맡는다.

평가 범위에 포함되는 보안 제품

평가 대상은 계속 확대되고 있으며, 네트워크 보안·엔드포인트 보안·특수목적 보안 제품군을 포괄한다.

네트워크 보안 제품군에는 네트워크 트래픽을 통제하는 네트워크 방화벽, 분산서비스거부 공격을 방어하는 DDoS 대응장비, 네트워크 공격을 실시간으로 탐지하고 차단하는 침입방지시스템(IPS)이 포함된다. 웹 애플리케이션 공격을 방어하는 웹 방화벽(WAF), 애플리케이션 수준 제어 기능을 포함한 차세대방화벽(NGFW)도 대상이다.

엔드포인트 영역에서는 Windows 환경의 악성코드 탐지·제거를 위한 안티바이러스 제품, 리눅스 기반 안티바이러스 제품, 모바일 기반 안티바이러스 제품과 EDR(Endpoint Detection and Response)을 다룬다.

특수목적 보안 제품군에는 지능형 지속 위협에 대응하는 APT 대응장비, 개발 단계의 취약점을 분석하는 소스코드 보안약점 분석도구, 특수 환경용 모듈형 안티바이러스 제품이 있다. 암호화 통신을 제공하는 가상사설망(IPSec VPN, SSL VPN), 중요 정보 유출을 차단하는 네트워크 자료유출방지 제품(NDLP)도 포함된다.

성능·기능·운영 안정성을 함께 평가하는 최소기준

평가의 출발점은 제품군별 최소 성능 및 품질 기준이다. 처리량, 지연시간, 동시세션 수 같은 성능 지표뿐 아니라 필수 보안 기능의 구현 여부를 확인한다. 장기 운영에서의 오류 발생률과 자원 소모 패턴은 안정성 항목으로, 다른 시스템과의 연동 능력은 호환성 항목으로 평가한다.

⤢✕

인증을 획득한 제품은 공공조달 우대 정책과 연결된다. 2023년부터 조달 수의계약 지원 확대가 추진됐고, 공공기관 사업 입찰 가점, 정부 지원 R&D 사업 참여 우대, 국가정보화 사업의 제품 선정 시 우선 고려가 제시됐다.

평가 결과를 뒷받침할 전문 인력도 필요하다. 성능평가 방법론, 국제 공통평가기준(CC: Common Criteria), 최신 사이버 공격 기법과 대응 기술, 평가 도구 활용 실습을 다루는 교육 프로그램을 운영하고, 교육 이수자 인증제로 평가 전문가 풀을 확보한다.

중소기업에는 평가 비용과 컨설팅을 지원한다. 평가 비용의 일정 부분을 최대 70%까지 정부가 지원하며, 창업 초기 기업을 위한 특별 지원 프로그램도 운영한다. 평가 결과에 따른 제품 개선 방향 제시, 기술 멘토링 연계, 개발 단계의 성능 최적화를 위한 사전 컨설팅이 함께 제공된다.

2023년에 제시된 확대 방향

2023년 발전 방향은 제도의 질을 높이면서 대상과 활용 범위를 넓히는 데 맞춰졌다. EDR 제품을 평가 대상에 추가해 랜섬웨어 등 지능형 위협 대응 능력, 행위 기반 탐지 메커니즘, 실시간 대응 성능을 검증하는 방향이 제시됐다. 이후에는 클라우드 보안 제품, OT/ICS 보안 솔루션, 양자내성암호(PQC) 구현 제품을 추가할 계획이다.

공공기관 납품까지의 흐름에서는 성능평가 인증 제품의 조달청 등록 절차를 간소화하고, 나라장터 조달 등록 우선심사, 수의계약 한도 상향 조정, 보안성 심사 연계 제도 마련을 추진한다.

⤢✕

중소·스타트업 지원에서는 평가 비용 지원 비율을 최대 80%까지 높이고, 연간 지원 기업 수 확대와 해외 인증 연계 지원 프로그램 신설이 제시됐다. 성능 최적화 컨설팅을 심화하고 제품별 특화 컨설팅, 실제 운영환경 기반 성능 테스트도 지원 대상으로 삼는다.

평가 기준과 절차의 공개성도 강화한다. 제품군별로 평가 항목의 세부 측정 방법론, 합격 기준점, 예상 테스트 시나리오를 제공하고, 신청·진행 과정에서는 온라인 평가 진행 상황 모니터링 시스템, 자가진단 도구, 평가 준비 체크리스트를 제공하는 방향이다.

평가에서 드러난 제품 개선 사례

A사의 차세대 방화벽은 초기 성능평가에서 고부하 상황의 패킷 손실률이 5% 이상 발생했고, 다중 정책 적용 시 처리 지연과 동시 세션 처리 능력 목표치 미달 문제가 확인됐다. 이후 패킷 처리 엔진을 최적화하고 정책 적용 알고리즘을 개선했으며, 메모리 관리 방식을 재설계했다. 재평가에서는 모든 기준을 통과했고, 공공기관 납품 성공과 매출 180% 증가를 달성했다.

B사의 APT 대응장비는 알려진 위협 탐지율 99.2%(기준: 95%), 미알려진 위협 탐지율 85.7%(기준: 80%), 오탐율 0.05%(기준: 0.1% 이하), 파일 분석 처리 성능 초당 500파일(기준: 초당 300파일)을 기록했다. 최고 등급 인증을 획득해 국내 주요 금융기관과 공공기관 레퍼런스를 확보했고, 해외 시장 진출의 발판을 마련했다.

평가 체계가 만드는 산업적 기반

성능평가는 중소·스타트업 기업이 제품 신뢰성을 확보하고 기술 경쟁력을 높여 시장을 확대하는 기반이 된다. 공공기관에는 검증된 제품을 도입해 보안 사고를 예방하고, 제품 선정 기준을 체계화하는 수단이 된다.

글로벌 표준에 부합하는 평가 체계를 구축하고 해외 인증과의 상호인정 기반을 마련하는 일도 제도의 범위에 있다. 평가 기준은 기술 개발 로드맵을 제시하고, 신규 위협에 대응하는 제품 개발을 유도하는 R&D 방향성으로도 작동한다.

확장 과정에서 남는 과제

제도의 지속적 발전에는 국제 인증 체계와의 상호인정 확대, 해외 평가 방법론의 벤치마킹과 적용이 필요하다. AI 기반 보안 제품의 평가 방법론, 클라우드 네이티브 보안 제품의 평가 기준, 양자컴퓨팅 대응 암호기술의 평가 방안도 마련해야 한다.

평가·인증·활용이 이어지는 선순환 체계를 만들고, 인증의 가치를 민간 영역까지 확산하는 과제도 남아 있다. 인증 이후의 지속적인 사후관리 체계 역시 제도의 실효성을 좌우한다.