사전 인증이 필요한 제품 유형

• 국가ㆍ공공기관이 도입하는 정보보호시스템과 네트워크 장비는 유형에 따라 CC인증 또는 보안기능 확인서 등 사전 인증을 획득해야 합니다. 침입차단시스템 등 20종 제품은 공인시험기간이 발급한 '보안기능 확인서' 또는 우리나라(IT보안인증사무국)를 비롯, CCRA회원국이 발행한 CC 인증을 받아야 하며, 네트워크 장비는 보안기능 확인서를 받아야 합니다.

• 양자암호통신장비를 도입하는 경우 보안기능확인서를 발급받은 제품을 도입하거나 도입 시 보안적합성 검증을 신청해야 합니다.

• 아울러 가상사설망(VPN), 소프트웨어 기반 보안USB, 호스트 자료유출방지 등 3종 제품은 검증필 암호모듈을 탑재해야 합니다.

• 아래 표에 포함되지 않은 제품 유형일지라도 보안기능 확인서를 발급받아 검증필 제품목록에 등재될 경우, 보안적합성 검증절차를 생략하고 운용할 수 있습니다.

도입시 유의사항

• 국가ㆍ공공기관은 CC인증ㆍ보안기능 확인서 등 사전인증을 받은 제품을 도입할 경우 아래 유의사항을 확인 하시기 바랍니다.

  1. ① 도입하려는 제품의 사전인증 필수 유형 해당 여부와 발급받은 인증서(보안기능 확인서)가 도입시점에서 유효한지 확인해야 합니다. 인증서(보안기능 확인서)의 효력이 만료된 제품은 인증제품으로 인정되지 않습니다.

  2. ② 평가(시험)기관과 사전 협의중이거나 평가(시험)가 진행중일지라도 인증제품으로 인정되지 않습니다. 평가(시험) 협의ㆍ진행이 인증을 담보하지 않습니다.

  3. ③ 국제CC인증 제품의 경우 도입 기관이 사용을 원하는 보안기능이 인증범위에 포함되지 않을 수 있기 때문에 인증범위에 대한 확인이 필요합니다.

  4. ④ 도입기관이 사용하고자 하는 보안기능이 인증범위(TOE)에 포함되었는지 확인이 필요합니다.

  5. ⑤ CC인증 및 보안기능 확인서內 다양한 하드웨어가 탑재, 배포되는 경우 인증보고서에 해당 하드웨어 모델명칭이 기재되었는지 확인이 필요합니다.

  6. ⑥ CC인증은 등급 제한(스마트카드 제외)이 없습니다.

대상 제품 유형

• 국가정보원은 각급기관의 주요 자료 유출을 방지하기 위해 ①소프트웨어 기반 보안USB, ②가상화 관리, ③네트워크 장비, ④네트워크 · 호스트 자료유출 방지, ⑤망간 자료전송 등 5종의 제품 유형에 대해 2020년부터 보안기능 확인서를 활용한 '先검증' 절차로 단계적 전환, 시행할 예정 입니다.

인증효력·기술지원 만료시

• 운용중인 제품이 사전 인증(CC인증ㆍ보안기능 확인서 등)의 만료 또는 개발 업체의 사정으로 더 이상의 유지보수 (기술지원)가 불가능할 경우, 해당 기관의 책임하에 ‘보안기능 점검표’ 및 ‘운용 점검사항’ 등을 활용하여 안전성을 확인하고 운용하여야 합니다.

보안적합성 검증 생략 제품의 형상변경시

• 도입 당시 보안적합성 검증이 생략된 제품이 기능 개선ㆍ업데이트 등의 사유로 형상이 변경될 경우, ‘보안 기능 점검표’와 ‘운용 점검사항’을 활용하여 형상변경으로 인한 보안기능의 저하, 무력화 등의 영향을 점검한 후, 지속 운용할 수 있습니다. 이와 관련, 개발업체는 해당 제품에 대한 변경승인 또는 재평가 등의 절차를 통해 형상변경 사항을 해당 인증(보안기능 확인서ㆍCC인증 등)에 반영할 수 있습니다.

보안적합성 검증 신청 제품의 형상변경시

• 국가ㆍ공공기관은 보안적합성 검증이 완료된 제품의 형상이 변경된 경우, ①국가정보원에 보안적합성 검증을 재신청합니다. ②국가정보원은 보안적합성 검증을 통해 변경된 부분에 대한 안전성을 확인한 후 ③검증 결과를 통보하고 ④신청기관은 검증결과에 따라 해당 제품을 지속 운용할 수 있습니다. 다만, 보안기능이 추가되거나 제거되지 않는 등 변경 사항이 미미할 경우, ‘보안기능 점검표’와 ‘운용 점검사항’ 및 '변경내용 분석서' 등을 활용하여 자체적으로 안전성을 확인한 후 운용할 수 있습니다.



※ ‘보안기능 점검표’와 ‘운용 점검사항’을 활용한 변경사항 확인과정에서 보안기능의 저하ㆍ무력화 등이 확인될 경우에는 변경을 중지하고 원래 상태로 복원하여야 합니다.

제출 서류

• 보안적합성 검증 신청기관은 아래 <표 1>에 기재된 제출서류 중, ①보안적합성 검증신청서, ②도입확인서, ③기술 제안요청서, ④보안기능 점검표, ⑤운용점검사항 등 5종의 문서와 함께 업체로부터 ‘보안기능 운용 설명서’ 등 4종의 문서(제품 유형에 따라 상이)를 제출받아 공문에 첨부하여 제출하여야 합니다. 형상변경으로 인한 재검증 신청시에는 <표 2>에 기재된 ‘변경내용 분석서’ 등 5종의 문서를 제출하여야 하며, 보안적합성 검증 생략 제품 도입시에는 <표 3>에 기재된 문서를 제출하여야 합니다.

  ※ 국가정보원은 검증 대상제품의 안전성 검증에 필요할 경우, 관련 문서를 추가 제출토록 요청할 수 있습니다.

• ① 보안적합성 검증 신청서

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ② 도입 확인서

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ③ 기술제안 요청서

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ④ 보안기능 점검표

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ⑤ 운용점검사항

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ⑥ CC 인증서 사본

• • 상용제품 : ○ (인증서 보유 시)

  • 자체(용역)개발 : ○

  • 작성 주체 : 업체

• ⑦ 보안기능 운용 설명서

• • 상용제품 : ○

  • 자체(용역)개발 : -

  • 작성 주체 : 업체

• ⑧ 기본 및 상세 설계서

• • 상용제품 : -

  • 자체(용역)개발 : ○

  • 작성 주체 : 업체

• ⑨ 개발완료 보고서

• • 상용제품 : -

  • 자체(용역)개발 : ○

  • 작성 주체 : 업체

표 1. 최초 검증 신청시 제출 서류

• ① 보안적합성 검증 신청서

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ② 도입 확인서

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ③ 보안기능 점검표

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ④ 운용점검사항

• • 상용제품 : ○

  • 자체(용역)개발 : ○

  • 작성 주체 : 신청기관

• ⑤ 변경내용 분석서

• • 상용제품 : ○

  • 자체(용역)개발 : -

  • 작성 주체 : 업체

표 2. 재검증 신청시 제출 서류

• 보안적합성 검증 생략 제품 도입시에는 <표 3>에 기재된 문서를 제출하여야 합니다.

• ① 도입 확인서

• • 정보보호 시스템 : ○

  • 네트워크 장비 : ○

  • 양자암호통신장비 : ○

  • 작성 주체 : 신청기관

• ② CC 인증서 또는 보안기능 시험 결과서 사본

• • 정보보호 시스템 : ○

  • 네트워크 장비 : ○

  • 양자암호통신장비 : ○

  • 작성 주체 : 신청기관

• ③ 운용점검사항

• • 정보보호 시스템 : ○

  • 네트워크 장비 : -

  • 양자암호통신장비 : -

  • 작성 주체 : 신청기관

• ④ 보안기능 운영 설명서

• • 정보보호 시스템 : ○

  • 네트워크 장비 : ○

  • 양자암호통신장비 : ○

  • 작성 주체 : 업체

표 3. 검증 생략 제품 도입시 제출 서류

검증대상 제품

• 개발 업체는 국가보안기술연구소가 안전성 시험을 위해 검증 대상 제품의 제출을 요청할 경우 5일(근무 일수 기준) 이내에 검증 신청제품과 동일한 제품을 국가보안기술연구소에 제출하여야 합니다.

기본 원칙

• 모든 제출서류와 부속문서는 한국어(한글)로 작성되어야 합니다. 다만, 제품명 등의 고유명사는 해당 언어로 기재할 수 있습니다.

• 제출 서류는 검증 신청제품에 대한 사항을 기재하여야 합니다. 형상번호(버전)가 상이하거나, 유사품에 해당 되는 내용을 기재할 경우, 인정되지 않습니다.

‘운용 점검사항’ 및 ‘보안기능 점검표’

• ‘운용 점검사항’은 정보보호시스템을 도입한 기관이 해당 제품 운용시 확인하여야 할 사항이 기술된 문서로써 각급 기관은 이 문서를 활용하여 도입ㆍ운용 제품을 주기적으로 관리하시기 바랍니다.

• ‘보안기능 점검표’는 보안적합성 검증 신청제품의 운용에 필요한 문서로써 보안적합성 검증 신청기관은 적합성 검증 기간이 장기간 소요되는 등 사전 운용이 불가피할 경우, 보안기능 점검표에 기재된 사항을 중심으로 도입 제품의 보안기능을 확인한 후, 임시로 운용할 수 있습니다.

‘보안기능 운용 설명서’

• ‘제품 설명서’와 ‘보안기능 운용 설명서’는 정보보호시스템 개발 업체가 도입 기관에 제출하는 문서 중 일부로써 ‘제품 설명서’에는 제품의 운용 환경, 설치, 기본 사용법, 문제 해결 방법 등이 기술되어야 하며, ‘보안기능 운용 설명서’에는 제품의 보안기능 식별 및 이에 대한 설정ㆍ운용방법ㆍ수행절차 등이 기술되어야 합니다.

  ※ 보안적합성 검증 생략 대상제품만 도입시에는 <표 3>에 기재된 문서를 매 분기 1회 종합하여 제출하시기 바랍니다.