ITSEC: 유럽 정보보호 평가기준과 CC로 이어진 보증 평가 체계
ITSEC의 보증 중심 평가 방식, E0~E6 등급, TCSEC와의 차이, CC 공통평가기준으로 이어진 발전 과정을 정리한다.
2026-08-14 · 최초 발행 2025-05-23
유럽의 보안 평가 기준으로 출발한 ITSEC
ITSEC(Information Technology Security Evaluation Criteria)은 1991년 유럽 연합에서 개발한 정보보호시스템 평가기준이다. 컴퓨터 시스템과 제품의 보안성을 평가하기 위한 방법론으로, 미국 TCSEC(오렌지북)의 한계를 보완하고 유럽 내 공통 평가 체계를 마련하려는 목적에서 만들어졌다.
영국, 독일, 프랑스, 네덜란드 등 유럽 주요국이 개발에 참여했으며, 유럽 역내에서는 평가 결과의 상호인정을 기반으로 운용됐다.
ITSEC의 관점은 TCSEC와 다르다. 기능성과 보증성을 나누어 평가하고, 보증 평가를 통해 등급을 판정한다. 제품 특성에 맞춰 보안 기능 요구사항을 명세할 수 있으며, 기밀성뿐 아니라 무결성과 가용성도 평가 범위에 포함한다.
보증 수준으로 나뉘는 E등급
ITSEC은 E0부터 E6까지 7단계로 보증 수준을 구분한다.
| 등급 | 수준 | 주요 특징 |
|---|---|---|
| E0 | 부적합 | 최소 보안 요구사항 미달 |
| E1 | 기초 | 기본적인 보안 기능성 및 테스트 검증 |
| E2 | 구조적 | 보안 아키텍처 설계와 구현 검증 |
| E3 | 메소드적 | 체계적인 설계와 개발 방법론 적용 |
| E4 | 준형식적 | 준형식적(semi-formal) 방법론을 통한 개발 |
| E5 | 형식적 | 형식적(formal) 방법론 일부 적용 |
| E6 | 고도 형식적 | 전체 개발 과정에 형식적 방법론 적용 |
보안 목표에서 인증까지의 평가 흐름
평가는 대상의 보안 목표를 명확히 정하는 데서 시작한다. 이어 기능 요구사항과 보증 요구사항을 정의하고, 보증 평가와 등급 판정을 거쳐 인증서를 발급한다.
보안 목표(Security Target)에서는 평가 대상 시스템의 보안 목표를 분명히 하고, 위협 모델과 보안 환경을 정의한다. 보안 정책과 대상 환경 역시 이 단계에서 명세한다.
기능성(Functionality) 평가는 다음 보안 속성과 기능을 대상으로 한다.
- 기밀성(Confidentiality): 인가되지 않은 공개로부터 정보 보호
- 무결성(Integrity): 비인가 수정으로부터 정보 보호
- 가용성(Availability): 서비스의 지속적 제공 보장
- 인증, 접근제어, 감사 등 다양한 보안 기능 검증
보증성(Assurance)은 실제 위협 대응 능력을 뜻하는 효과성(Effectiveness)과 개발 과정의 체계성 및 정확성을 뜻하는 정확성(Correctness)으로 나뉜다. 정확성 평가는 요구사항 명세, 아키텍처 설계, 상세 설계, 구현, 개발 환경, 운영 문서를 포함한다.
TCSEC와 달랐던 평가 관점
TCSEC은 기능성과 보증성을 통합해 평가하고 기밀성을 중심에 둔 반면, ITSEC은 두 영역을 분리하고 기밀성·무결성·가용성을 함께 다뤘다. 고정된 기능 요구사항을 따르는 방식과 달리, ITSEC에서는 제품에 맞춘 보안 기능 명세가 가능했다.
| 구분 | TCSEC | ITSEC |
|---|---|---|
| 개발 | 미국 | 유럽 |
| 등급 체계 | D, C1, C2, B1, B2, B3, A1 | E0-E6 |
| 평가 방식 | 기능성과 보증성 통합 평가 | 기능성과 보증성 분리 평가 |
| 보안 속성 | 기밀성 중심 | 기밀성, 무결성, 가용성 포괄 |
| 유연성 | 고정된 기능 요구사항 | 맞춤형 보안 기능 명세 가능 |
| 평가 내용 | 제품 중심 | 제품 및 시스템 모두 평가 가능 |
정부·금융·통신 환경에서의 활용
ITSEC은 유럽 내 정보보호 제품 평가에 사용됐다. 정부 시스템에서는 영국 정부의 기밀 정보 처리 시스템과 독일 연방 정부의 데이터베이스 시스템이 예로 제시된다.
금융 영역에서는 은행간 거래와 전자금융 서비스를 평가했으며, 유럽 중앙은행의 결제 시스템과 스마트카드 기반 금융 거래 시스템이 포함됐다. 통신 환경에서는 GSM 통신 보안 모듈, VPN 솔루션, 방화벽 제품 같은 네트워크 장비와 암호화 제품을 평가 대상으로 삼았다.
CC 국제표준으로 이어진 배경
ITSEC의 상호인정은 유럽 역내에 국한됐고, 국제 표준화 부족은 글로벌 확장성을 제한했다. 새로운 IT 환경과 위협에 대응하는 유연성에도 한계가 있었다.
이 한계를 넘기 위해 1999년 ITSEC, TCSEC, CTCPEC(캐나다)을 통합한 국제 표준 CC(Common Criteria)가 개발됐다. CC는 ISO/IEC 15408로 국제 표준화됐으며, 현재 가장 널리 사용되는 정보보호 평가기준이 됐다.
ITSEC은 기능성과 보증성을 분리해 평가 메커니즘의 유연성을 제공했고, 기밀성 외의 보안 속성을 평가 범위로 끌어들였다. 역내 상호인정 체계는 국제 평가기준 상호인정의 기반이 됐으며, CC 개발에도 중요한 토대가 됐다. 오늘날 대부분의 국가는 CC를 채택하고 있지만, 보증 평가 중심의 접근과 유연한 기능 요구사항이라는 ITSEC의 개념은 현대 보안 평가 체계에도 영향을 미치고 있다.