[정보통신신문=박광하기자]

보안기능 확인서 발급 가능 제품 유형에 양자키관리장비, 양자키분배장비, 양자통신암호화장비 등 양자암호통신장비 제품군이 추가됐다.

국가정보원은 최근 이 같은 내용의 '보안기능 확인서 발급절차 안내' 개정판(V2.1)을 배포했다.

이번 개정에 앞서, 국정원은 6월 10일 'IT보안제품 보안적합성 검증정책 설명회'를 개최해 관련 내용을 발표한 바 있다.

보안기능 시험 제도(Security Function Test Program)는 보안적합성 검증절차 간소화를 위해 정보보호시스템·네트워크 장비 등 IT 제품의 안전성을 사전 확인하는 제도다. 시험기관은 보안요구사항을 만족한 제품에 대해 보안기능 확인서(Verification of Security Function Test)를 발급한다.

개정판의 내용을 살펴 보면, 발급 가능 제품 유형에 양자암호통신장비 제품군을 추가했다.

제품군에는 양자키관리장비, 양자키분배장비, 양자통신암호화장비 등이 있다.

양자암호통신제품군 추가에 따라, 보안기능 구현명세서 상 추가 기재 사항이 요구된다.

국정원은 이에 대해, 양자암호통신 제품군의 경우, 양자키의 안전한 생성·분배·관리 등 구현된 보안기능에 대한 시험과 검증이 필요하기 때문에 추가 기재 사항이 필요하다고 설명했다.

이에 따라, 양자키관리장비는 △키 파기, 양자키분배장비는 △비밀키 생성 △광학계 기능 △양자상태 생성 △후처리 동작 보호 △알려진 공격에 대한 보호, 양자통신암호화 장비는 △하이브리드 키 조합 △암호화 통신용 비밀키 생성, 이들 장비 공통으로 △인증데이터 보호 △암호 사용 △암호키 생성 △암호키 유도 △암호키 저장 △암호키 파기 △보안기능 자체 시험 △무결성 검사 기능 등의 보안기능에 관한 상세한 내용을 구현명세서에 기재해야 한다.

시험결과서 상 적용 가능한 보안요구사항이 없는 경우, 구현명세서에 기재된 보안기능에 대해 자체 시험토록 했다.

제품유형 제한이 해제됐다.

보안기능 확인서 발급절차 안내 '별표 1'에 기재된 발급가능 제품유형을 '예시'로 변경한 것이다. 이에 따라, 신종 융·복합 제품은 기존 'OOO 제품군 기타'로 표기하지 않고 업체가 제품유형을 자율적으로 기재할 수 있도록 허용했다.

권장 시험기간을 기재했다.

신청 업체가 제출한 제출문서의 사전검토가 완료되고 신청 제품에 보완사항이 없음을 전제로, 국가용 보안요구사항 V3.0 기준으로 권장되는 시험기간은 '공통보안요구사항(서버·엔드포인트)'이 35~40일, '제품 단위 보안요구사항'이 5~10일, '라우터·스위치 보안요구사항'이 10~15일, 'SDN 스위치·컨트롤러 보안요구사항'이 15~20일 등이다.

국정원은, 이 밖에 국가용 보안요구사항과 일반 보안요구사항을 복합적용하거나 구현명세서 기반의 시험일 경우, 신청 업체와 시험기관이 협의해 필요한 시험기간을 산정할 수 있다고 전했다.

박광하 기자 다른기사 보기