국내 SW 표준 체계가 실무와 멀어지는 이유

인증 체계는 늘었지만 품질 판단은 여전히 분절돼 있다

2026년 현재 국내 소프트웨어 품질 표준은 ISO/IEC 25000(SQuaRE) 계열을 축으로 GS인증, SP인증, TTA 시험 체계가 함께 운영된다. 공공 조달에서는 GS인증이 소프트웨어 품질을 가르는 실질적 게이트 역할을 맡아 왔고, 정부는 2019년 이후 SW 진흥법 개정을 통해 공공 SW 사업의 GS인증 우대를 강화했다.

문제는 인증 체계의 외형이 커지는 동안, 실제 산업 현장에 필요한 연결 구조가 충분히 만들어지지 않았다는 점이다. 국제표준을 번역해 수용하는 방식, 도메인별 품질모델의 부재, 기업 규모와 업종을 고려하지 않는 적용 방식, 느린 유지보수와 피드백 단절이 같은 방향으로 작동한다.

국내 체계의 주요 축은 다음과 같다.

GS(Good Software) 인증: TTA가 수행하는 소프트웨어 제품 품질 인증으로, ISO/IEC 25023, 25041, 25051 계열을 기반으로 한다.
SP(Software Process) 인증: IITP 주관의 소프트웨어 개발 프로세스 역량 인증으로, ISO/IEC 33002 계열을 기반으로 한다.
TTA 표준(TTAK): 한국정보통신기술협회가 제정하고 관리하는 국내 정보통신 표준이다.

서로 다른 인증 결과를 묶어 읽을 기준이 없다

국내에는 SW 품질을 일관되게 판단할 단일 프레임워크가 없다. GS인증, SP인증, 보안 인증(CC, ISMS-P), 성능 인증은 각각 다른 기준과 절차를 따르며, 이 결과를 통합해 해석할 메타 프레임워크도 마련돼 있지 않다.

TTA, KTL, KTR, KTC, CIDI 등 시험기관은 시험 절차와 평가 방식이 다르다. 따라서 동일 제품도 기관에 따라 결과가 달라질 수 있다. 제품 품질을 다루는 GS와 프로세스 역량을 보는 SP도 연결되지 않아, 프로세스 능력이 높아도 제품 품질 결과에 반영되지 않는다. 평가 데이터가 축적·공유되지 않는 탓에 결과가 일회성 인증서로 끝나는 경우도 많다.

⤢✕

기업에는 인증별 서류와 비용이 중복되고, 발주자는 어떤 인증 조합이 실질적 품질을 보증하는지 판단하기 어려워진다.

번역된 국제표준만으로는 현장 선택을 돕기 어렵다

국내 TTAK 표준의 상당수는 ISO/IEC 표준을 한국어로 옮긴 수준에 머문다. 국제 정합성을 확보하는 데는 의미가 있지만, 국내 기업이 적용할 때는 다른 문제가 생긴다.

ISO/IEC 25010의 9개 품질 특성과 수십 개 부특성은 대기업과 글로벌 제품을 기준으로 설계돼 있다. 중소 SW 기업이 전문가 도움 없이 평가 항목을 고르기 어려운 이유다. 2024년 기준 25% 이상의 기업이 평가 지표를 선택하는 과정에서 “부적합 지표”를 택하거나 적용 범위를 잘못 설정한다는 분석 결과도 보고됐다(Korea Science, 2024). 번역 과정에서 원문의 맥락과 예시가 빠지면서 실무 적용 가이드가 빈약해지는 문제도 남는다.

다만 2023년 말 TTA 주도로 SW 품질 측정 관련 ISO/IEC 신규 프로젝트가 채택됐다. 한국이 표준 수용자에서 표준 기여자로 전환하는 첫 단계이며, 2026년 완료를 목표로 한국의 시험 전문성을 국제표준에 반영하는 방향으로 진행되고 있다.

도메인마다 다른 품질 요구를 범용 모델에 맡기고 있다

ISO/IEC 25010은 일반 SW 제품을 위한 범용 품질모델이다. 금융, 의료, 국방, AI, SaaS, 임베디드 시스템은 품질 우선순위와 측정 방식이 서로 다르므로 범용 모델만으로는 부족할 수 있다.

분야	핵심 품질 특성	국내 전용 표준 존재 여부
의료기기 SW	안전성, 신뢰성, 추적성	없음 (IEC 62304 준용)
국방 SW	신뢰성, 보안성, 검증성	일부 (DQ마크, 미완성)
AI SW	공정성, 설명가능성, 견고성	없음 (ISO 42001 번역 중)
SaaS	가용성, 탄력성, 운영 투명성	없음 (GS인증 보완 검토 중)
금융 SW	가용성, 보안성, 감사 추적성	없음

정부는 2024-2025년 SaaS 전용 GS인증 기준을 별도로 정비하기 시작했다. 그러나 이는 분야별 품질모델을 체계화하는 일과는 거리가 있다. AI SW 품질 가이드라인도 2025년 TTA가 초안을 마련했지만, ISO/IEC 42001과 DIS 25059 등 국제 동향을 번역하는 범위를 크게 벗어나지 못한다는 비판이 있다.

중소기업의 개발 주기와 인증 절차가 충돌한다

표준을 만드는 과정에는 국내 SW 기업, 특히 중소기업과 스타트업의 현실이 충분히 반영되지 않는다.

GS인증 기본 비용은 품목에 따라 수백만~수천만 원에 이르며 중소기업에는 진입 장벽이 된다. 2024년 3월에는 TTA GS인증 대기 시간이 6개월을 초과하는 상황도 발생했다. 인증 수요 증가에 비해 전문 인력이 부족했던 영향이다. 제품 업데이트마다 재인증을 받아야 했던 구조 역시 소프트웨어 개발 사이클과 맞지 않았다.

⤢✕

2024년 5월 과학기술정보통신부는 경미한 업데이트의 갱신 수수료 면제와 주요 업그레이드 50% 할인을 포함한 개선 방안을 발표했다. 다만 표준 설계 단계부터 중소기업 현실을 반영하는 구조적 변화는 아직 미완성 상태다.

표준의 개정 속도가 기술 변화를 따라가지 못한다

국내 SW 표준은 제정 후 개정 빈도가 낮고, 기술 변화 반영도 늦어지는 경우가 많다. TTAK 표준 가운데 제정 후 5년 이상 개정되지 않은 표준이 상당수 존재하며, ISO/IEC 원본이 개정된 뒤 국내 대응 표준에 반영되기까지 수년이 걸리기도 한다.

Cloud, AI, SBOM처럼 빠르게 변하는 영역에서는 이 간격이 더 크게 느껴진다. ISO/IEC 25010은 2011년 초판에서 2023년 개정까지 12년이 걸렸고, 국내에서는 2023년 개정판 반영 작업이 2024년에도 진행 중이었다. 그 사이 AI 시스템, SaaS, 모바일 플랫폼 같은 새로운 SW 형태가 급부상했지만 국내 표준 체계는 이를 충분히 반영하지 못했다.

표준 사용 경험이 다음 개정으로 돌아오지 않는다

표준을 쓰는 기업, 시험자, 조달 담당자의 경험을 표준 개선으로 연결하는 공식 메커니즘도 부족하다.

SP인증 취득 기업의 93.5%가 품질 향상에 효과적이라고 평가했지만, 공공 SW 사업에서 SP인증을 요구하는 비율은 7.8%에 불과했다(SW공학진흥협회 조사, 2024). 표준의 효용성이 인정되더라도 사용자 경험이 실제 조달 정책에 반영되지 않는다는 뜻이다.

인증 신청과 갱신 과정에서 나온 개선 의견을 표준 제정 기관에 전달할 공식 채널도 없다. ISMS-P 인증에서는 인증 취득 기업 263개 중 27개(10.3%)가 5년 내 실제 정보 유출 사고를 겪은 것으로 나타났다. 서류 중심 평가가 가진 한계를 보여주는 사례다.

문제는 개별 제도의 결함보다 순환 구조에 있다

이 문제들은 따로 떨어져 있지 않다. 국제표준 원안을 수용하는 방식은 분야별 맞춤 모델과 일관된 프레임워크의 부재로 이어진다. 산업계 현실이 반영되지 않으면 표준 유지보수의 동기도 약해지고, 피드백 채널이 없으면 그 약점은 다시 수정되지 않는다.

⤢✕

단순히 표준 개정 주기만 빠르게 해서는 이 고리를 끊기 어렵다. 산업계와 사용자가 표준 제정에 실질적으로 참여하는 거버넌스, 분야별 적용 가이드, 인증 결과 데이터의 공개와 환류 메커니즘이 함께 필요하다.

제도 개선은 시작됐지만 속도와 범위는 과제로 남는다

2024년 이후에는 기존의 서류 중심·원안 번역·일률 적용 방식에서 벗어나려는 움직임이 나타나고 있다.

개선 과제	내용	주관 기관
ISO 기여 시작	SW 품질 측정 ISO/IEC 신규 프로젝트 제안 채택 (2026 완료 목표)	TTA
GS인증 개선	경미한 업데이트 수수료 면제, 주요 업그레이드 50% 할인	과학기술정보통신부
SaaS 전용 인증 기준	SaaS 특화 GS인증 평가 기준 보완	TTA
인증 기관 분산	GS인증 수요를 5개 기관으로 분산해 대기 시간 단축	TTA
SBOM 의무화 추진	SW 공급망 보안 강화 일환으로 SBOM 제출 요건 도입	KISA/NIA
ISMS-P 기술 감사 도입	서류 심사에서 실질적 기술 감사(침투 테스트 포함)로 전환	KISA

이 변화들은 의미가 있지만, 기술 발전과 산업 요구를 따라가기에는 아직 부족하다는 지적도 이어진다.

조직은 인증과 품질 운영을 분리해 설계해야 한다

국내 표준 체계의 한계를 전제로 하면, 조직은 인증 충족과 실제 품질 운영을 같은 것으로 취급하지 않는 편이 낫다.

ISO/IEC 25010 전체를 일괄 적용하기보다 조직의 도메인과 제품 특성에 맞는 품질 특성을 고르고 우선순위를 정해야 한다. GS인증이나 SP인증은 품질의 최소 기준으로 보고, 제품 품질 체계는 내부에서 별도로 구축할 필요가 있다.

국내 분야별 표준이 없는 영역은 IEC 62304(의료), NIST SP 800 시리즈(보안), ISO 42001(AI) 같은 국제 분야별 표준을 직접 참조하는 접근이 현실적이다. 국가 표준 체계에 피드백 채널이 없다면 조직 내부에서 인증과 평가 결과를 제품 개선 및 프로세스 개선으로 되돌리는 루프도 만들어야 한다.

2025-2026년에는 SBOM 의무화, AI SW 품질 가이드라인, ISMS-P 기술 감사 전환 같은 변화가 진행 중이다. 조달 요건과 규제 요건에 직접 영향을 미칠 수 있으므로 지속적인 모니터링이 필요하다.

국내 SW 표준의 과제는 표준을 얼마나 정확히 번역하느냐보다, 산업과 사용자의 경험을 표준에 어떻게 연결하느냐에 있다.