ITSEC: 기능성과 보증성을 분리한 보안성 평가 기준

유럽이 확장한 정보기술 보안성 평가 틀

ITSEC(Information Technology Security Evaluation Criteria)은 영국, 독일, 프랑스, 네덜란드가 공동 개발한 정보기술 보안성 평가 기준이다. 1991년에 공식 발표됐으며, 정보시스템이 제공하는 보안 기능과 그 신뢰성을 평가하기 위한 국제적 표준으로 자리 잡았다.

개발 배경에는 미국 TCSEC(Trusted Computer System Evaluation Criteria), 이른바 오렌지북의 한계가 있었다. TCSEC이 기밀성에 무게를 뒀다면, ITSEC은 기밀성뿐 아니라 무결성과 가용성까지 포괄하는 평가 체계를 제시했다.

ITSEC의 핵심은 제품이 어떤 보안 기능을 제공하는지와, 그 기능이 얼마나 신뢰할 만한 방식으로 구현·검증됐는지를 분리해 보는 데 있다. 제품 특성에 맞춰 평가를 설계할 수 있었고, 유럽 국가 간 평가 결과의 상호인정도 표준화의 중요한 목표였다.

평가를 시작하려면 먼저 TOE(Target of Evaluation), 즉 보안성 평가의 대상을 명확히 잡아야 한다. 이어 ST(Security Target)에 대상이 제공할 보안 기능과 보증 요구사항을 명세한다.

기능 요구와 신뢰 수준을 나눠 평가하는 구조

기능성 등급은 보안 기능의 성격을 구분한다.

F-FC1~F-FC8: 기밀성(Confidentiality) 관련 기능 등급
F-INT1~F-INT3: 무결성(Integrity) 관련 기능 등급
F-AV1~F-AV3: 가용성(Availability) 관련 기능 등급
F-DI1~F-DI2: 데이터 무결성(Data Integrity) 관련 기능 등급
F-DC1~F-DC2: 데이터 기밀성(Data Confidentiality) 관련 기능 등급

보증 등급은 보안 기능을 얼마나 깊이 검증하는지를 나타낸다.

E0: 보안성이 전혀 없음
E1: 보안 명세서와 테스트 결과 제출이 필요한 기본 보안 수준
E2: 구조 정보 및 보안 테스트 결과 제공이 필요한 수준
E3: 소스 코드 또는 하드웨어 도면 검사가 필요한 수준
E4: 설계 및 소스 수준의 취약점 분석이 요구되는 수준
E5: 형식화된 설계 명세와 설계 대응 관계 증명이 필요한 수준
E6: 형식적 보안 정책 모델과 명세에 대한 일관성 검증이 필요한 최고 수준

⤢✕

평가 대상에서 인증 결과까지

평가의 출발점은 대상 시스템 또는 제품의 경계를 규정하는 일이다. 하드웨어, 소프트웨어, 펌웨어 가운데 어떤 구성요소가 TOE에 포함되는지 식별한다.

ST에는 TOE의 보안 기능과 메커니즘, 보안 위협 모델, 적용할 평가 등급을 담는다. 이때 기능성 클래스와 보증 등급을 함께 선정한다.

평가 단계에서는 명세된 보안 기능을 검증하고, 설계와 구현을 분석한다. 취약점 분석과 침투 테스트, 운영 문서 검토도 수행 대상이다. 평가가 끝나면 인증서를 발급하고 평가 보고서를 작성하며, 인증된 제품 목록에 등재한다.

Common Criteria에 남은 ITSEC의 흔적

ITSEC은 CC(Common Criteria)의 전신으로서 CC 개발에 중요한 영향을 줬다. 1999년 ISO/IEC 15408로 표준화된 CC가 ITSEC을 대체하기 시작했고, CC는 ITSEC과 미국 TCSEC, 캐나다 CTCPEC의 장점을 통합한 국제 표준이 됐다.

TOE와 ST, 기능성과 보증성의 분리 같은 ITSEC의 주요 개념은 CC에도 이어졌다.

⤢✕

보안 요구가 다른 환경에서의 활용

유럽 금융기관에서는 코어뱅킹 시스템 평가에 ITSEC E3/F-C2 등급을 적용했고, ATM 보안 모듈의 평가와 인증에도 활용했다. 금융 트랜잭션 시스템의 무결성 검증에는 F-INT2 기준이 적용됐다.

정부 영역에서는 영국 정부의 기밀 문서 관리 시스템에 E4 등급을 적용했다. 독일 국방부 네트워크 인프라 평가에는 E3/F-FC3 기준을 활용했으며, 공공기관 정보시스템의 최소 보안 요구사항으로 E2 등급을 지정하기도 했다.

산업 제어 환경도 적용 대상이었다. 발전소 SCADA 시스템 보안성 평가는 F-AV3(고가용성) 기준을, 화학 공장 제어 시스템의 무결성 보장은 F-INT3 평가를 사용했다. 철도 신호 시스템의 안전성과 보안성 검증에는 E5 등급이 활용됐다.

변화한 환경이 드러낸 제약

ITSEC은 클라우드와 IoT 같은 신기술, 빠르게 바뀌는 IT 환경에 충분히 대응하지 못했다. 네트워크 환경과 분산 시스템을 위한 평가 기준도 미흡했고, 복합 시스템을 통합적으로 평가할 방법론도 부족했다.

운영 측면에서는 복잡한 평가 과정과 비용 부담이 문제였다. 평가 기간이 길어지면서 제품 출시가 늦어질 수 있었고, 국가별 해석과 적용의 차이는 상호인정의 장애가 됐다.

CC로 전환하는 과정에서도 기존 ITSEC 인증 제품의 마이그레이션 비용, 평가자와 개발자의 새 기준 학습, 인증 체계 변경에 따른 행정적 부담이 발생했다.

보안 평가 체계에 남긴 기반

ITSEC은 CC에 통합됐지만, 체계적으로 보안 기능과 보증 수준을 구분하는 접근은 현대 보안 평가의 기반으로 남아 있다. 기능성과 보증성을 분리한 개념은 현대 보안 제품 개발 프로세스에도 영향을 미쳤다.

유럽 중심의 보안 표준화가 글로벌 표준으로 발전하는 계기를 마련했다는 점도 ITSEC의 의미다. DevSecOps 같은 현대 개발 방법론에서도 체계적 보안 평가라는 ITSEC의 관점은 응용되고 있다.