검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'보안 인증'통합검색 결과 입니다. (58건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

"배후까지 점검"…아카마이, AI 에이전트 보안 체계 강화

아카마이테크놀로지스가 인공지능(AI) 에이전트 신원·의도 검증을 강화하는 프레임워크를 내놨다. 아카마이는 '봇 앤 에이전트 컨트롤' 솔루션을 위한 통합 에이전틱 보안 프레임워크를 26일 발표했다. 이 프레임워크는 신원을 비롯한 관측, 신뢰, 엣지 보안을 실시간 의사결정 레이어로 통합 연결해 AI 기반 상호작용을 엣지단에서 검증하도록 설계됐다. 프레임워크 핵심은 AI 에이전트가 단순히 정상 프로그램인지 판단하는 데 그치지 않는다는 점이다. 에이전트가 어느 사용자 대신 어떤 권한으로 행동하는지까지 추적 가능하다. 아카마이는 이를 위해 비자, 스카이파이어, 익스피리언 등과 협력해 '노 유어 에이전트' 기반 신원 검증 체계도 추진하고 있다. 노 유어 에이전트는 에이전트가 자신의 신원과 출처, 의도를 선언하고 동작 플랫폼과 대표 사용자를 연결하는 방식이다. 이를 통해 가맹점은 자동화된 거래가 특정 권한을 가진 개인을 대신해 이뤄지는지 확인하고 책임성을 확보할 수 있다. 아카마이는 오스제로와 핑 아이덴티티 등 신원 확인 제공업체와도 협력한다. 기업은 기존 행동 분석과 다중 요소 인증 등 보안 정책을 고객이 사용하는 AI 에이전트에도 적용할 수 있다. 프레임워크는 각 상호작용 신뢰성과 의도를 실시간으로 판단하는 적응형 신뢰 분석도 제공한다. 단순 허용이나 차단 방식이 아니라 인간 사용자, 유익한 AI 에이전트, 악성 봇을 구분해 비즈니스 성과와 보안 리스크를 함께 판단하는 구조다. 아카마이는 이 판단 과정을 분산 엣지 네트워크에서 처리한다. 기업은 에이전틱 요청의 위험과 의도를 엣지단에서 평가해 사용자 경험 속도를 해치지 않으면서 보안 통제력을 유지할 수 있다. 이번 프레임워크에는 콘텐츠 수익화 기능도 포함됐다. 아카마이는 톨비트와 스카이파이어와의 파트너십을 통해 퍼블리셔와 콘텐츠 소유자가 접근 권한을 협상하고 토큰 기반 요청당 과금 모델을 구현할 수 있도록 지원한다. 운영 가시성도 강화됐다. 기업은 트래픽피크와 웹 보안 분석 도구를 통해 웹 트래픽 전반을 단일 화면에서 확인할 수 있다. 이를 통해 에이전트가 시간에 따라 사이트와 어떻게 상호작용하는지 분석할 수 있다. 최근 AI 에이전트가 기업 통제 범위를 벗어나 손실을 일으킨 사례도 나오고 있다. 가디언 등에 따르면 캐나다 민사분쟁심판소는 지난해 에어캐나다 챗봇이 고객에게 장례 할인 항공권 환불 정책을 잘못 안내한 사건에서 에어캐나다에 배상 책임이 있다고 판단했다. 또 리플릿 AI 코딩 에이전트는 지난해 벤처투자자 제이슨 렘킨이 진행한 실험 과정에서 코드 동결 지시에도 운영 데이터베이스를 삭제한 것으로 알려졌다. 패트릭 설리반 아카마이 보안 전략 최고기술책임자(CTO)는 "AI 에이전트는 인간을 대신해 행동하고 있다"며 "에이전트 자체뿐 아니라 그 배후에 누가 있는지, 무엇을 하려는지 그 의도를 인지하는 건 인간 몫"이라고 밝혔다.

2026.06.26 14:12김미정 기자

S2W, 'FIDO 얼라이언스' 합류…"CTI 역량 결합할 것"

빅데이터 분석 인공지능(AI) 기업 에스투더블유(S2W, 대표 서상덕)가 글로벌 온라인 인증 표준화 기구 'FIDO 얼라이언스'에 합류했다. S2W의 위협 인텔리전스(CTI) 역량과 FIDO 얼라이언스의 역량을 결합해 신종 공격에 대한 예방 체계를 구축하고 제로트러스트 보안 모델을 고도화하겠다는 복안이다. S2W는 22일 전 세계 주요 기술 기업 및 정부·금융기관 등이 참여하는 글로벌 온라인 인증 표준화 기구 FIDO 얼라이언스에 합류했다고 밝혔다. FIDO 얼라이언스는 사람, 서비스 및 기기 간의 상호작용에서 신뢰와 단순함을 핵심 가치로 삼는 신원 인증 기술의 활성화를 위한 회원 주도형 포럼이다. 개방형 기술 규격을 제정하고 안전하고 상호 운용 가능한 제품의 시험 인증을 제공하며 글로벌 시장 활성화 프로그램을 운영하고 있다. 특히 비밀번호에 대한 의존도를 줄이고 피싱 공격에 강력한 저항력을 갖춘 인증 생태계의 확산을 목표로, 공개 키 암호화(Public Key Cryptography)를 바탕으로 한 패스키(Passkey) 및 상호 운용 가능한 차세대 다중요소인증(MFA) 기술 표준을 마련하는 데 주력한다. FIDO 얼라이언스에는 애플, 마이크로소프트, 구글, 오픈AI 등 글로벌 빅테크 기업과 삼성전자, SK텔레콤 등 국내 주요 기업들과 정부 기관, 연구기관, 금융기관 등 인증 생태계 전반을 아우르는 다양한 공공·민간 조직들이 회원사로 동참하고 있다. S2W는 FIDO 얼라이언스 합류를 통해 기존 ID·비밀번호 기반 보안 체계의 취약점에 공동 대응하고 새로운 신원 인증 제도의 부상에 발맞춰 지능화되고 있는 사이버공격 기법에 선제적으로 대응한다는 방침이다. 다크웹 모니터링에 기반한 CTI 역량과 FIDO 기반 인증 환경을 노리는 신종 위협을 신속히 포착 및 분석할 계획이다. 특히 사이버 범죄 생태계 변화상을 실시간으로 추적해 인증 체계 전반에 대한 위협 가시성을 제공하고, 한층 강력한 제로트러스트 아키텍처 구현에 기여하겠다는 청사진도 제시했다. 서상덕 S2W 대표는 “FIDO의 표준화된 인증 체계에 S2W의 CTI 기술력을 유기적으로 결합해 패스워드리스(Passwordless) 인증 환경의 보안 신뢰도를 강화할 것”이라며 “아울러 글로벌 회원사들과의 긴밀한 협력을 통해 신종 공격에 대한 정교한 예방 체계를 구축함으로써 제로트러스트 보안 모델의 완성도를 높이는 데 힘을 보탤 것”이라고 말했다.

2026.06.22 09:57김기찬 기자

문 열린 외산 클라우드, 발 묶인 공공시장…보안 개편 영향은

공공기관의 민간 클라우드 활용이 확대되면서 디지털서비스 이용지원시스템에 등록된 외산 인프라서비스(IaaS)도 빠르게 늘고 있다. 정부가 공공 클라우드 보안 체계를 기존 클라우드보안인증(CSAP) 중심에서 국가정보원 단일 검증 체계로 개편하기로 하면서, 외국계 클라우드 기업들의 공공시장 확대 기대와 시장 관망론이 동시에 커지는 분위기다. 14일 디지털서비스 이용지원시스템에 따르면 현재 아마존웹서비스(AWS), 마이크로소프트(MS), 구글클라우드 기반 IaaS 서비스가 다수 등록돼 있다. 디지털서비스 이용지원시스템은 국가기관과 공공기관이 민간 클라우드와 인공지능(AI), 서비스형 소프트웨어(SaaS) 등을 신속하게 도입할 수 있도록 지원하는 전문계약 제도다. 현재 AWS 기반 IaaS 서비스는 메가존클라우드와 가비아, 디딤365, 엔디에스 등을 포함해 6개가 등록돼 있다. MS 애저 기반 서비스는 클루커스와 에쓰핀테크놀로지 등 4개, 구글클라우드 기반 서비스는 LG CNS와 베스핀글로벌, 클루커스 등 4개가 등록된 상태다. 공공 클라우드 시장은 그동안 CSAP 인증 '중' 등급을 확보한 네이버클라우드와 NHN클라우드, KT클라우드 등 국내 사업자가 주도해 왔다. 지난해에는 구글클라우드와 MS에 이어 AWS까지 CSAP '하' 등급을 획득하면서 글로벌 빅3 모두 공공시장 진입 기반을 마련했지만, 제한적인 범위에서만 사업에 참여해왔다. 이 같은 흐름 속에서 정부는 지난 4월 공공 클라우드 보안 체계 개편안을 발표했다. 과학기술정보통신부와 국정원은 기존 CSAP 인증과 국정원 보안 검토로 이원화됐던 구조를 국정원 중심 단일 검증 체계로 통합하기로 했다. 정부는 기업들이 겪어온 중복 인증 부담을 줄이고 공공 클라우드 도입을 활성화하겠다는 입장이다. 올해 관련 가이드라인 개정을 거쳐 1년 유예기간을 둔 뒤 2027년 하반기부터 새 체계를 본격 적용할 계획이다. 업계에선 이번 개편이 장기적으로는 외국계 사업자의 공공시장 진입 확대에 긍정적으로 작용할 수 있다고 보고 있다. 미국 무역대표부(USTR)가 지속적으로 한국의 클라우드 규제 완화를 요구해 온 데다, 글로벌 사업자 입장에서도 이중 인증 부담이 줄어들 가능성이 있어서다. 다만 당장 시장이 확대될 것으로 단정하기는 어렵다는 분석도 적지 않다. 국정원이 적용할 세부 검증 기준이 아직 공개되지 않았고 국가망보안체계(N2SF), 행정안전부 정보시스템 등급제 등 다른 정책과의 정합성도 명확하지 않기 때문이다. 특히 공공기관들이 제도 변화에 따른 불확실성을 이유로 클라우드 전환 시점을 늦출 가능성도 제기된다. 현재 추진하는 사업이 향후 변경될 보안 기준과 충돌할 수 있다는 우려도 나온다. 클라우드 업계에선 보안 체계 개편이 오히려 단기적으로는 시장을 위축시킬 수 있다는 지적도 제기된다. 공공기관 특성상 새로운 기준이 확정되기 전까지 의사결정을 보류하는 경향이 강해질 수 있다는 이유에서다. 일각에선 장비 교체 시기가 도래한 기관들이 클라우드 전환 대신 기존 전산실 운영을 연장하는 선택을 할 가능성도 거론된다. 해외 클라우드 업계 관계자는 "보안 인증 체계 개편 방향 자체는 긍정적으로 평가하고 있지만 실제 영향은 향후 공개될 세부 기준에 달려 있다"며 "기업들이 예측 가능한 환경에서 사업을 준비할 수 있도록 검증 기준과 적용 방안이 조속히 마련될 필요가 있다"고 말했다.

2026.06.14 11:07한정호 기자

"K-보안, 인증도 우물안...CSMS로 고도화해야"

"한국 사이버보안의 글로벌화를 위해서는 평가 수준 역시 글로벌 스탠다드에 맞춰야 합니다. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증에 산재한 문제들을 최소화하고 국제 흐름에 맞춘 사이버 보안 관리체계(CSMS,Cyber Security Management system) 인증으로 고도화해야 합니다." 공병철 국제사이버보안인증협회 회장은 2일 지디넷코리아와 인터뷰에서 ISMS-P, 정보보호 공시 등 현 정보보호 체계의 의무화와 그 외 산재한 문제들에 대해 쓴소리를 쏟아냈다. 그는 이날 ▲정보보호 공시 제도 ▲정보보호최고책임자(CISO) 지정 제도 ▲ISMS-P 인증 제도 ▲ISMS-P 인증 심사 구조 ▲ISO/IEC 27001 ▲인증 심사기관의 투명성 ▲과징금 활용 방안 ▲국제 표준 무관심 등 사이버 보안 인증·공시 의무 관련 산재한 문제점을 현장의 관점에서 비판했다. 이같은 문제를 해결해야 한국 사이버 보안이 세계 표준을 선도할 수 있다는 지적이다. "정보보호 공시 의무화 대상 확대, '기준선' 없으면 무용지물" 공 회장은 정보보호 공시 의무화 대상이 전체 상장사로 확대될 예정인 가운데, 민간 기업의 적정 정보보호 투자액이 얼마인지 기준선이 부재한 상태에서 무조건 공시만 확대한다고 능사가 아니라고 지적했다. 그는 "과거에는 금융권 정보보호 557 투자라고 총 직원 중 IT 인력 5% 이상 확보, IT 인력 중 정보보호 전담 인력 5% 이상 구성, 전체 IT 예산 중 7% 이상을 정보보호에 사용하는 권고 기준이 있었다"면서 "그런데 금융권에서 557 이상 정보보호에 투자하기 시작하면서 이같은 권고 기준이 2020년을 기점으로 사라졌다. 하지만 금융권이 투자 수준을 맞춘 것일 뿐 민간에서는 여전히 정보보호 투자가 부족한 상황"이라고 진단했다. 공 회장은 "그럼에도 금융권이 정보보호 557 투자 권고 기준을 없앴다고 해서 민간에서도 이같은 기준을 따르지 않게 됐다"며 "얼만큼 투자해야 할지를 마련해 놓지 않은 채 공시만 확대한다고 해서 투자 확대가 일어날 거라는 생각은 오산"이라고 지적했다. 아울러 공 회장은 정보보호 분야에 전문 지식이 없을 것으로 우려되는 회계법인들이 정보보호 공시 사전점검반으로 활동하고 있는 상황에 대해서도 지적했다. 그는 "정보보호 공시는 정보보호 인력 및 투자액만 공시하는 것이 아니라 ISMS-P, ISO27001 등 공시대상 연도에 유효한 정보보호 관련 인증 및 평가 점검 등에 관한 사항들을 공시하도록 명시하고 있다"면서 "정보보호 공시 사전점검 기관은 총 31곳이 있는데, 이들은 대부분 회계법인이거나, 민간 기업이 수행하고 있다. ISMS-P, ISO27001 등 정보보호 전문 지식을 요하는 인증에 대한 사항을 이들이 제대로 점검할 수 있는지는 의문"이라고 밝혔다. 정보보호 공시 사전점검 기관은 기업이 정보보호 공시를 수행할 수 있도록 지원하고, 공개할 정보보호 현황이 공시 가이드라인 등을 중수해 작성됐는지 점검하는 역할을 수행한다. 지난달 기준 정보보호 공시 사전점검반은 31곳이다. 이 외에도 공 회장은 "정보보호 공시를 했을 때 기업에 되돌아가는 인센티브가 없어 공시 의무화에 대한 명분이 부족하다"며 "현재 자율적으로 정보보호 공시를 했을 경우에만 ISMS(정보보호 관리체계) 인증 수수료 30%를 할인해주고 있는데, 이같은 혜택은 의무 기업에는 제공되지 않는다"고 강조했다. 그는 "의무 대상이 되는 기업들은 공시를 위해 정보보호 예산을 투자하고, 인력을 늘리고, 인증을 획득하는 등 많은 비용을 써야 하는 반면 지원은 없다"며 "제도를 강제적으로 의무화 했을 때 메리트가 없기 때문에 세제 혜택 등 인센티브도 제공할 수 있어야 한다"고 제언했다. "과기정통부, CISO 지정 제도 관리·감독 뒷전" CISO 지정 제도와 관련해서는 정부가 관리·감독을 소홀히 하고 있다고 일침했다. 올해 3월 기준 개정된 정보통신망법에 따르면 CSIO는 임원을 CISO로 지정하고 과학기술정보통신부장관에게 신고하라고 규정하고 있다. 공 회장은 "과거 CISO 지정 제도는 임원급, 임직원 급에서 지정하도록 규정돼왔고, 지난해 잇달아 해킹 사고가 터져 나오면서 올해가 돼서야 이사회에 참가하는 임원을 CISO로 지정하라고 명시했다"면서 "그러나 과기정통부는 CISO 지정 제도가 의무화된 2018년부터 단 한 번도 CISO를 지정·신고한 기업에 대한 감독에 나선 적이 없다"고 말했다. 공 회장이 제시한 자료에 따르면 CISO 지정 제도가 의무화된 2018년을 기점으로 신고·지정한 기업이 크게 늘었다. 2018년 1442건에 불과했던 신고 건수가 2019년 5260건, 2020년 9018건으로 급증했다. 공 회장은 "제도가 의무화되자 많은 기업들이 CISO 지정·신고에 나섰으나 2020년부터 코로나19가 터져 나오면서 다시 신고 현황이 급감했다"며 "2024년에 신고 건수가 전년 884건에서 5617건으로 급증했는데, 당시 과기정통부가 CISO 지정을 법령에 맞춰 제대로 준수하고 있는지 여부를 검증하겠다는 보도가 나오자 또 다시 신고 건수가 늘었다. 그러나 과기정통부는 실제 검증에 나서지 않았다. 이에 CISO 지정 제도가 의무화된 이래 단 한 번도 제대로 이뤄지고 있는지 정부가 검증한 적이 단 한번도 없는 제도가 됐다"고 역설했다. "ISMS-P 심사에 영리 기업 투입?…감사는 없었다" ISMS-P 인증 심사의 구조와 관련해서는 우선 투명성에 대한 우려로 말을 꺼냈다. 국내 ISMS-P 인증 체계를 보면 과기정통부와 개인정보보호위원회(개인정보위)가 정책기관을 담당하고, 인증기관은 한국인터넷진흥원(KISA)이 담당한다. 실질적인 심사는 ▲한국정보통신진흥협회(KAIT) ▲한국정보통신기술협회(TTA) ▲개인정보보호협회(OPA) ▲차세대정보보안인증원(NISC) ▲한국경영인증원(KMR) 등 5개 기관 및 기업이 맡는다. 이와 관련 공 회장은 "KAIT, TTA, OPA는 '비영리' 협회로서 심사 과정에서 투명성을 담보할 수 있지만, NISC와 KMR은 주식회사로 엄연히 영리를 목적으로 하고 있으며, 언제든지 피심사 기업이 고객사가 될 수도 있는 곳"이라며 "그렇다면 인증기관인 KISA가 이들 기업의 투명성을 담보할 수 있도록 지속적으로 심사가 제대로 이뤄지는지 감사할 필요가 있는데, 이들에 대한 감사는 이뤄지지 않는 현실"이라고 진단했다. 그는 이어 "반면 ISO27001 등 국제 표준은 이미 공정한 체계를 갖춰 놨다. 미국 역시 민간 영역과 공공 부문을 나눠 진행하고 있다"고 강조했다. "KISA, ISMS-P 인증 심사원 시험 '바늘구멍' 만들어" 공 회장은 ISMS-P 인증 심사원 시험에 대한 구조적인 문제에 대해서도 지적했다. ISMS-P 인증 심사원 평가는 필기시험과 실기시험으로 구성돼 있다. 그는 "ISMS-P 인증 심사원 필기시험 합격자 수는 100명으로 한정시켜 놓았다. 2022년과 2023년에 한시적으로 이전 필기시험 합격 이후 실기시험에서 떨어진 인원에 대해 다음 필기시험에 한해 합격 처리해주고 있는데, 이 기간만 100명 이상으로 필기시험 합격자가 늘어났을 뿐, KISA에서는 100명이라고 명시해두고 있다"며 "그런데 시험 응시생이 점점 늘어나면서 심사원 합격률은 기하급수적으로 떨어져 사실상 '바늘구멍' 뚫기가 됐다"고 밝혔다. 이와 관련해 공 회장은 "ISMS-P 인증 심사원 평가를 통해 PM급 평가자를 양성하는 것이 시험의 목적인데, 바늘구멍 시험으로 만들어 KISA에 심사원들이 기댈 수밖에 없는 구조를 양산하고 있다"며 "정작 심사원들은 어렵게 시험에 합격해도 열악한 처우에 컨설턴트나 기업 보안 담당자로 떠나고 있는 실정"이라고 말했다. 공 회장은 "그런데 정작 정보보호 전문 서비스, 즉 컨설턴트 업체 지정도 KISA가 하고 있으며, 인정 자체도KISA가 주고 있다"며 "결국 전문가들이 어렵게 시험에 합격해 모두 KISA 밑으로 들어가게 될 수밖에 없는 구조"라고 강조했다. "사이버 보안은 全 산업 영역에 필수…선박 등 국제 표준 수용 'CSMS'로 나가야" 이제는 정보보호 관련 인증 체계가 국제 추세에 맞춰 CSMS로 나아가야 한다는 것이 그의 주장이다. 그는 "정보보호 관리체계 국제 표준인 ISO27001은 사실 ISMS 인증을 본따 만들었다. 90% 유사하며, 2013년 ISMS가 의무화됐을 당시 ISO27001도 개정됐으며, 한국이 국제 표준을 선도하고 있었다고 봐도 무방하다"면서 "기업들이 ISMS에만 매몰될 것이 아니라 전 세계적으로 통용되는 국제 표준으로 눈을 돌리면 되는데 현실이 녹록지 않다"고 밝혔다. 이어 공 회장은 "국제표준화기구(ISO)에 따르면 2013년 기준 ISO27001을 획득한 한국 기업은 731곳이었다. 같은 해 중국은 5318곳이 인증을 획득한 것으로 확인됐다"면서도 "2022년을 기준으로 보면 한국은 1531곳으로 약 두 배 늘어난 데 그친 반면 중국은 6만2245곳으로 약 11배 이상 늘어났다. 얼마나 국제 표준에 무관심한지 알 수 있는 대목"이라고 강조했다. 그는 "한국의 사이버보안 인증 체계가 다시 세계를 선도하기 위해서는 글로벌 스탠다드에 걸맞는 인증 체계로 고도화할 필요가 있다"고 말했다. 현재 ISMS-P는 정보통신망 서비스를 제공하는 ISP사업자, 집적정보통신시설 사업자, 매출액 100억 또는 일평균 이용자 수 100만 명 이상인 사업자 등 정보통신 서비스 사업을 영위하는 곳으로만 한정돼 있다. 그러나 국제 표준에 맞춰 정보통신 서비스 사업자뿐 아니라 자동차, 조선 등 일반 제조업도 대상에 포함하는 식으로 인증을 고도화해야 한다는 것이 공 회장의 생각이다. 공 회장은 "사이버 보안은 전 산업에 아우르는 중요한 영역이다. 이에 글로벌 스탠더드는 ISO23806(선박 사이버 안전 인증) 등 다른 산업군에서도 사이버 보안 관련 인증 체계를 내놓고 있다"며 "국내 정보보호 인증 체계에 산재한 문제를 현실화하고, 국제 표준으로 고도화할 수 있도록 ISMS-P에서 다른 산업군 영역까지 아우르는 'CSMS' 인증 체계가 필요한 때"라고 강조했다. 공 회장 "군대서 보안 처음 접해 ISMS 심사원으로 시작" 한편 공 회장이 이끄는 국제사이버보안인증협회는 ISMS-P 인증 심사원이 모여 2022년 9월 결성된 약 200명 규모의 협회다. 공 회장은 군 복무 시절 무선통신 중계병으로 근무하며 처음으로 보안을 접했고, 2013년 ISMS가 의무화되던 시점부터 KISA의 요청을 받아 심사원 활동을 하기 시작했다. 당시 ISMS는 처음으로 의무화되다 보니 많은 심사원들이 필요했는데, 급하게 심사원을 모집하다 보니 심사원 품질의 문제가 불거졌고, 이를 해소하기 위해 한국정보보호심사원협의회를 공 회장 주도로 만들어졌다. 과거 ISMS 인증이 의무화됐던 2013년 심사원들이 모여 2014년부터 한국정보보호심사원협의회를 결성한 것이 시작이었다. 2015년에는 한국정보보호심사원협회로 승격됐으며, 2022년 국제사이버보안인증협회로 거듭났다. 공 회장은 국제사이버보안인증협회를 이끌면서 한국인터넷정보학회 부회장과 한국사이버감시단 이사장을 역임하고 있다. 올해 2월에는 한국인터넷정보학회 산하에 인공지능 사이버보안 연구회를 만들어 위원장을 맡고 있다.

2026.06.03 08:51김기찬 기자

라온시큐어, 통합 인증 서비스 '옴니원 CX' 전면배치…금융권 공략

인공지능(AI) 기반 보안·인증 플랫폼 기업 라온시큐어(대표 이순형, 이정아)가 공공 마이데이터 기반 비대면 서비스 확산에 맞춰 자사 통합인증 서비스 '옴니원 CX'를 앞세워 금융권 디지털 인증·시장 공략에 속도를 내고 있다. 라온시큐어는 케이뱅크·BC카드·KB저축은행 등 금융권 고객사를 대상으로 옴니원 CX 기반 통합 디지털 인증 플랫폼 확산에 박차를 가한다고 26일 밝혔다. 최근 금융권에서는 공공 마이데이터를 활용해 고객이 직접 증빙서류를 제출하지 않고 행정정보를 연계하는 비대면 서비스가 빠르게 확산하고 있다. 카드 발급, 금융상품 가입, 자격 확인 등 다양한 서비스에서 정보 제공 동의와 본인 확인, 전자서명 절차 중요성이 높아지면서 이를 안전하고 간편하게 처리할 수 있는 통합인증 플랫폼 수요도 함께 증가하는 추세다. 이에 금융권은 인증 절차 복잡도를 최소화하면서 사용자 경험과 보안성을 동시에 강화하기 위한 인증 체계 고도화에 속도를 내고 있다. 따라서 라온시큐어는 자사 통합인증 서비스 '옴니원 CX'를 앞세워 공공 마이데이터 기반 인증·전자서명 체계 고도화를 추진한다는 복안이다. 옴니원 CX는 모바일 신분증, 공동인증서, 생체인증, 간편인증 등 다양한 인증수단을 하나의 플랫폼에서 통합 제공하는 서비스다. 사용자는 서비스 환경에 따라 원하는 인증 방식을 선택할 수 있으며, 공공 마이데이터 연계 시 필요한 전자서명 절차도 간편하게 수행할 수 있다. 특히 국가 모바일 신분증 구축 경험과 블록체인 기반 분산신원인증(DID) 기술 역량을 바탕으로 옴니원 CX와 디지털 신원 서비스를 연계하는 확장 전략도 추진하고 있다. 향후 모바일 신분증과 디지털 자격증명 활용 범위가 확대될 경우, 단순 인증을 넘어 신원 확인과 자격 검증까지 하나의 사용자 경험으로 연결하는 디지털 신뢰 인프라 역할도 강화될 것으로 기대된다. 공공 마이데이터 활용 확대와 비대면 금융 서비스 확산에 따라 인증 절차 역시 개별 인증수단 중심에서 통합 플랫폼 중심으로 빠르게 변화하고 있다. 라온시큐어는 통합인증과 디지털 신원 기술 역량을 기반으로 변화하는 시장 수요에 대응하며 금융·공공 분야 디지털 인증 시장 확대에 적극 나설 계획이다. 김창수 라온시큐어 서비스사업본부장은 “공공 마이데이터와 모바일 신분증 확산으로 인증 시장은 단일 인증수단 중심에서 플랫폼 중심 구조로 빠르게 변화하고 있다”며 “옴니원 CX를 기반으로 금융·공공 분야 디지털 신뢰 인프라 수요 변화에 선제적으로 대응해 나갈 것”이라고 말했다.

2026.05.26 13:18김기찬 기자

네이버클라우드, 인증서 자동 관리 'ACME' 출시…보안 운영 부담 낮춘다

네이버클라우드가 기업 보안 운영 자동화 시장을 공략한다. 인증서 만료로 인한 서비스 장애 위험을 줄이고 운영 부담을 낮춰 기업의 안정적인 비즈니스 환경 구축을 지원한다는 목표다. 네이버클라우드는 인증서 자동 관리 기능 'ACME'를 출시했다고 7일 밝혔다. ACME는 SSL/TLS 인증서를 자동으로 발급·갱신·폐지하는 국제 표준 프로토콜이다. 네이버클라우드는 자사 인증서 관리 서비스 '서티피케이트 매니저'를 통해 해당 기능을 제공한다. 최근 글로벌 인증기관 협의체인 CA/B 포럼은 보안 강화를 위해 인증서 유효기간을 단계적으로 단축하고 있다. 올해 기준 200일인 인증서 유효기간은 오는 2029년 47일까지 줄어들 전망이다. 이에 기업이 인증서 갱신 시점을 놓칠 경우 서비스 중단으로 이어질 가능성이 커지면서 자동화 수요도 빠르게 증가하고 있다. 네이버클라우드는 이번 ACME 기능이 간단한 설정만으로 인증서 자동화 환경을 구축할 수 있다는 점을 핵심 경쟁력으로 내세웠다. 리눅스 환경의 'Certbot', 윈도우 기반 'Win-acme' 등 주요 오픈소스 클라이언트와 호환되며 구축 편의성을 높였다는 설명이다. 특히 기업용 조직 검증(OV) 인증서도 정기 심사를 거쳐 자동 갱신할 수 있도록 지원해 기업 운영 효율성을 높였다. 단순 웹 서버뿐 아니라 온프레미스와 멀티 클라우드 환경에도 적용 가능해 활용 범위도 넓혔다. 보안 신뢰성도 강조했다. 네이버클라우드는 마이크로소프트와 구글, 애플 등 주요 운영체제(OS)와 브라우저에서 공식 신뢰하는 국내 유일 공인 인증기관(CA)이라고 밝혔다. 이를 기반으로 글로벌 수준 호환성과 긴급 장애 대응 지원 역량을 확보했다는 입장이다. 비용 경쟁력도 강화했다. 기존 네이버 클라우드 플랫폼 유료 인증서 사용자는 추가 비용 없이 ACME 기능을 이용할 수 있다. 네이버클라우드는 향후 인증서 관리뿐 아니라 기업 보안 운영 전반을 간소화하는 기능 확대에도 나설 계획이다. 김재동 네이버클라우드 정보보호최고책임자(CISO)는 "인증서 발급 자동화의 진입장벽인 도메인 소유권 검증을 손쉽게 처리할 수 있도록 고객에게 전용 스크립트와 가이드를 직접 제공하는 등 차별화된 지원을 이어가고 있다"며 "앞으로도 국내 기업들이 보안 운영 복잡성을 줄이고 비즈니스에 집중할 수 있도록 실질적인 솔루션을 지속 선보이겠다"고 말했다.

2026.05.07 11:41한정호 기자

KTR, 정보보호제품 성능평가 기관 지정…네트워크 보안 제품 성능검증

KTR(한국화학융합시험연구원·원장 김현철)은 과학기술정보통신부로부터 정보보호제품 성능평가기관으로 지정됐다고 20일 밝혔다. 정보보호제품 성능평가는 '정보보호산업의 진흥에 관한 법률'과 시행령에 따라 정보보호제품의 보안 및 일반기능 처리성능, 시간 및 자원 효율성 등을 평가하는 제도다. KTR은 성능평가기관 지정으로 방화벽·침입방지시스템 등 주요 네트워크 보안 제품 정밀 성능 검증 서비스를 제공할 수 있게 됐다. 특히 실제 운영환경에서의 해킹 피해나 제품 성능저하로 인한 보안 공백 예방을 위한 시험평가 서비스를 수행한다. KTR은 정보보호제품 보안기능시험과 CC인증 평가, 사물인터넷(IoT) 보안인증 시험, 신용카드 단말기 보안시험, 의료기기 사이버보안 시험 등 다양한 보안성 평가서비스를 제공하고 있다. KTR은 국내 시험기관 최초 국제표준에 따른 AI 시스템 품질평가(ISO/IEC 25059, ISO/IEC 25058)는 물론 신뢰성(ISO/IEC TR 24028) 검증, AI 데이터 품질(ISO/IEC 5259-2) 검증 KOLAS 공인시험기관으로 지정받아 관련 서비스를 제공하고 있으며, 국내 최초로 국제표준을 적용한 AI 인증제도를 도입, 시행 중이다. 김현철 KTR 원장은 “KTR은 AI 소프트웨어 시험인증 퍼스트무버로서 품질평가에서 신뢰성까지 AI·소프트웨어·네트워크 시스템 공인 시험평가 서비스를 하고 있다”며 “이번 정보보호제품 성능평가 기관 지정에 따라 KTR은 네트워크 제품의 보안과 성능에 대한 고품질 평가 서비스를 더욱 확대할 것”이라고 밝혔다.

2026.04.20 18:12주문정 기자

[공공 클라우드 격변 ㊤] 보안인증 통합에도 '혼선'…시장 위축 우려 커진다

공공 클라우드 보안 체계가 대대적인 개편을 앞두면서 시장 전반에 긴장감이 높아지고 있다. 이중 인증 구조를 해소하고 진입 문턱을 낮추겠다는 정부 취지와 달리, 세부 기준 불확실성과 규제 간 충돌 가능성이 맞물리며 공공 클라우드 전환 속도에 변수로 작용할 수 있다는 분석이 나온다. 과학기술정보통신부와 국가정보원은 20일 공공 클라우드 시장 진입 시 적용되던 이중 보안 인증 절차를 국정원 단일 검증 체계로 일원화하는 내용의 정책 개편안을 발표했다. 업계에선 이번 제도 개편이 공공 클라우드 시장 진입 장벽을 낮추는 긍정적 신호인 동시에, 정책 불확실성으로 인해 오히려 시장 위축을 초래할 수 있다는 우려가 동시에 제기되고 있다. 특히 공공기관의 클라우드 전환 시점과 사업 발주 일정에도 영향을 미칠 수 있다는 관측이 나온다. 이중 규제 걷어내고 단일 검증으로…"공공 진입 문턱 낮춘다" 이번 개편의 핵심은 과기정통부 클라우드보안인증(CSAP)과 국정원 보안 검증으로 나뉘어 있던 이중 구조를 하나로 통합하는 데 있다. 그동안 공공 클라우드 시장에 진입하려는 기업은 CSAP 인증을 취득한 이후에도 별도의 국정원 보안 절차를 거쳐야 했다. 정부는 이러한 구조가 기업에 불필요한 비용과 시간을 초래하는 중복 규제로 작용해왔다고 보고 이를 단일 체계로 통합하기로 했다. 향후에는 국정원 기준을 중심으로 한 번의 검증만으로 공공 시장 진입이 가능해질 전망이다. 검증 항목 역시 클라우드 특성에 맞춰 재설계된다. 기존에는 관리적·물리적·기술적 요소를 포함한 광범위한 보안 항목이 요구됐으나, 앞으로는 공공 서비스 제공에 필요한 핵심 보안 요건 중심으로 축소될 예정이다. 민간 영역에선 CSAP가 정보보호 관리체계(ISMS)로 통합 운영된다. 공공과 민간 보안 체계를 분리해 각각 목적에 맞는 인증 체계를 구축하겠다는 전략이다. 기존 인증 기업 보호를 위한 조치도 포함됐다. 현재 CSAP 인증을 보유한 기업은 유효기간 동안 기존 인증 효력을 그대로 인정받으며 제도 전환 과정에서 발생할 수 있는 혼란을 최소화한다는 방침이다. 정부는 상반기 중 관련 보안 가이드라인 개정을 예고하고 1년 유예기간을 거쳐 2027년 하반기부터 본격 시행할 계획이다. 이 기간 동안 국정원은 세부 검증 기준과 운영 지침, 해설서를 마련하고 산업계 의견 수렴을 병행한다. 또 산학연 전문가로 구성된 '민간 검증심의위원회'를 통해 검증 결과의 공정성과 객관성을 확보하고 기존 CSAP 평가기관도 활용해 제도 연속성을 유지한다는 방침이다. 류제명 과기정통부 2차관은 "국정원과 협력해 부처 간 칸막이를 과감히 허물었으며 이를 통해 우리 기업들이 보안 문턱을 쉽고 빠르게 넘을 수 있도록 지원하겠다"며 "특히 기존 기업들의 투자가 헛되지 않도록 제도 전환 기간을 부여해 산업 생태계의 안정적 성장을 돕겠다"고 말했다. 김창섭 국정원 3차장은 "이번 정책으로 그간 이중규제로 불편을 겪어온 기업들의 애로사항을 해결하되 공공용 클라우드의 보안 수준을 높이는 데 주안점을 뒀다"며 "기업들의 부담을 완화하는 방향으로 안착할 수 있도록 업계와 지속 소통할 것"이라고 밝혔다. "규제 줄였지만 더 복잡"…부처 엇박자에 현장 혼선 지속 업계에선 이번 개편이 규제 완화보다 시장 불확실성을 키우는 요인으로 작용할 수 있다는 우려가 제기된다. 아직 세부 기준이 마련되지 않은 상황에서 제도 방향이 선제적으로 제시되면서 공공기관과 사업자 모두 사업 추진을 늦출 가능성이 높다는 분석이다. 보안인증 제도 변경 이후 재검토 부담을 피하기 위해 클라우드 전환·도입 시점을 늦추는 사례가 늘어날 수 있다는 관측이 나온다. 특히 공공기관은 시스템 교체 주기에 맞춰 차세대 및 클라우드 전환 여부를 결정하는데, 일반적으로 장비 내구연한이 5년 이상인 점을 고려하면 현재 전환을 미루는 경우 향후 수년간 공공 클라우드 시장이 정체될 가능성도 제기된다. 클라우드 업계 관계자는 "장기적인 관점에서 제도 통합 자체는 긍정적이지만 현재처럼 세부 기준이 없는 상태에선 공공기관이 의사결정을 미루는 경향이 강해질 수 있다"며 "결과적으로 단기 시장은 오히려 위축될 가능성이 크다"고 말했다. 여기에 공공 정보시스템을 관장하는 행정안전부와의 지속적인 정책 엇박자도 주요 변수로 지목된다. 행안부는 최근 전국 1만 6000여 개 공공 정보시스템을 대상으로 '국민 영향도'를 중심으로 등급을 전면 재분류하는 방안을 발표했다. 이는 지난해 국가정보자원관리원 화재로 일부 행정 시스템이 중단되면서 복구 우선순위 체계의 한계가 드러난 데 따른 후속 조치다. 새로운 등급 체계는 국가 핵심(A1)부터 일반(A4)까지 4단계로 구분되며 등급에 따라 재해복구 목표 시간도 차등 적용된다. 핵심 시스템은 실시간 수준의 복구 체계를 요구하는 등 안정성과 연속성을 강화하는 방향으로 설계됐다. 시스템 통합(SI) 및 클라우드 사업자들은 변화되는 등급제에 맞춰 공공 사업을 준비해야 하는 상황이다. 이같은 행안부 정보시스템 등급제, 이번 과기정통부·국정원 통합 인증, 다음 달 시행되는 국가망보안체계(N2SF)가 서로 다른 기준으로 설계돼 사업자 입장에선 정책 정합성을 확보하기 어렵다는 지적이 나온다. 또 공공기관들도 어떤 기준을 우선 적용해야 하는지 판단하기 어려운 상황이 반복되고 있는 실정이다. 이는 정부가 추진 중인 공공 클라우드 전환 정책과도 충돌할 가능성이 제기된다. 국가인공지능전략위원회는 지난 2차 전체회의에서 2030년까지 1만 5000여 개 공공 정보시스템을 대상으로 민간 클라우드 활용을 확대하고 데이터 등급에 따라 하이브리드 인프라로 전환하는 방안을 의결한 바 있다. 과기정통부 역시 과학기술관계장관회의를 통해 공공 정보시스템의 클라우드 네이티브 전환을 공식화하고 신규 사업 추진 시 민간 클라우드 적용 여부를 의무적으로 검토하도록 하는 등 전면 전환 로드맵을 제시한 상태다. 이 과정에서 공공 정보시스템을 총괄하는 행안부를 비롯한 관계 부처에도 민간 클라우드 전환 확대를 위한 협조가 요구되고 있지만, 보안 인증 체계가 개편되는 상황에서 구체적인 적용 기준이 정리되지 않으면서 정책 간 유기적 결합이 어려운 상황이다. 실제 전략위와 과기정통부 로드맵은 기존 CSAP 인증 체계를 기반으로 설계된 반면, 현재 인증 구조는 국정원 중심으로 재편되는 과정이기에 실제 적용 기준에 대한 혼선이 불가피할 전망이다. 특히 N2SF 기반의 데이터 등급 체계까지 결합되면 클라우드 관련 보안인증 통합이 오히려 현장에 추가적인 부담을 키울 수 있다는 우려가 나온다. 업계 관계자는 "공공 클라우드 정책이 인증 체계 개편과 AI 인프라 전략, 부처별 규제까지 맞물린 복합 이슈로 확대되고 있다"며 "정책 간 정합성을 확보하지 못하면 정부 로드맵과 실제 시장 흐름이 엇갈릴 수 있다"고 밝혔다. 이어 "산업계 의견을 충분히 반영하고 구체적인 기준을 조속히 마련하길 바란다"고 덧붙였다.

2026.04.20 14:23한정호 기자

정부, 보안 인증제 전면 개편...'강화인증' 등급 신설

과학기술정보통신부(과기정통부)와 개인정보보호위원회(개인정보위)는 10일 정부서울청사에서 열린 경제관계장관회의에서 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 발표했다. 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증은 국제표준(ISO27001·27701) 기반으로 보안수준을 높이고, 사고를 예방하기 위해 기업의 정보보호 및 개인정보보호 관리체계를 점검 및 인증하는 제도다. ISMS·ISMS-P 인증의 긍정적 효과에도 불구, 최근 통신사·이커머스 해킹 등 인증기업의 연이은 사고로 인증제도의 실효성에 대한 우려가 커졌다. 이에 과기정통부와 개인정보위는 관계부처 대책회의, 현장 간담회 등을 통해 인증체계를 구조적으로 개편하기 위한 정책방안을 발굴해 왔다. ▲인증 대상과 기준 ▲심사방식 ▲사후관리 ▲심사품질 확보 등 제도 전반의 개선과제를 이번 강화방안에 담았다. ISMS·ISMS-P(Personal Information & Information Security Management system)는 주요 정보자산 유출 및 피해 예방을 위해 기업 또는 기관이 구축․운영 중인 개인정보 및 정보보호 체계가 적합한지 인증(정보통신망법 제47조, 개인정보보호법 제32조의2에 근거)하는 것이다 1. 인증 의무대상 확대 및 기준 강화 국민 파급력이 큰 대규모 개인정보처리자에 개인정보보호 인증 의무를 부여하고, 통신사·데이터센터 등 침해사고 발생 시 국민생활에 파급력이 큰 사업자들에 대한 인증기준을 강화한다. 디지털 환경이 변화(DX·AX)하고 사이버위협이 커지는 상황에서 개인정보 관리가 중요함에도 그간 ISMS-P 취득은 기업·기관의 자율에 맡겨져 있었다. 이에 앞으로는 선제적인 예방 관리를 위해 공공·민간의 중요 개인정보처리시스템을 중심으로 ISMS-P 인증을 의무화한다. ▲주요 공공시스템운영기관 ▲이동통신사업자 ▲본인확인기관 ▲매출액 및 개인정보 처리규모를 고려한 대규모 개인정보처리자 등을 대상으로 의무화할 예정이며, 단계적으로 확대할 계획이다. 올 2월 기준 정보보호 관리체계(ISMS) 인증 의무대상은 593개사다. 전국에 인터넷망·무선망 등을 제공하는 정보통신망서비스 제공자(ISP)와 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자(MVNO), 정보통신서비스 제공자에게 서버·시설 등을 임대하는 데이터센터(IDC), 세입·매출 1500억원 이상인 재학생 수 1만명 이상의 대학 및 상급종합병원, 정보통신서비스 연 매출액 100억원 또는 일일평균 이용자수 100만명 이상의 자 등이다. ISMS 인증 의무대상자가 인증을 받지 않은 경우 3000만원의 과태료를 부과한다. 인증기준은 총 101개다. ISMS 인증기준 80개(관리체계 수립 및 운영 16개, 보호대책 요구사항 64개)와 ISMS-P 인증기준 101개(ISMS인증기준 80개+개인정보보호 요구사항 21개)다. 인증기관 2곳(한국인터넷진흥원,금융보안원)과 심사기관 5곳 (정보통신기술협회,정보통신진흥협회,개인정보보호협회,차세대정보보안인증원,한국경영인증원)이 있다. 인증 방법은 서면 및 현장심사를 하고 인증 위원회의 심의 및 의결을 거쳐 인증서를 부여하는데 보통 3~4개월이 걸린다. 인증 유효기간은 3년이고, 최초인증 후 매년 사후심사를 한다. 인증현황은 올 2월말 기준 1257건(ISMS 942개, ISMS-P315개)이다. 또 획일적인 인증체계에서 벗어나 위험 기반의 차등화된 관리체계를 구축, 강화인증을 신설했다. 즉, 인증체계를 '강화인증' '표준인증' '간편인증' 등 3단계로 재편하고, 국민생활에 파급력이 큰 강화인증군은 기존보다 강화된 기준과 심사방식을 적용한다. 강화 인증기준은 주요 보안위협 사례와 주요국 보안 요구 사항을 참조해 개발한다. 아울러 인증대상 서비스와 관련된 장비, 시설 등은 빠짐없이 포함되도록 인증범위를 단계적으로 확대한다. 특히, 외부 인터넷과 연결돼 공격 경로로 활용될 가능성이 있는 디지털 자산은 인증범위 내에 반드시 포함한다. 2. 인증심사 방식 강화 기존 서면 중심의 심사방식을 전면 개편해 현장중심의 심사체계를 구축하고, 미흡 기업에 대한 인증을 사전에 차단하기 위해 인증심사 절차를 개선한다. 구체적으로, 본심사 전 예비심사 단계에서 핵심적으로 확인해야 할 인증기준(CISO‧CPO의 정보보호 정책 관리 권한 여부, 개인정보 처리‧외부 인터넷 접점 자산 식별, 개인정보 처리시스템 비밀번호‧암호화)을 사전에 점검하고 본심사 진행 여부를 결정해 부실한 관리체계를 개선한 이후 본격적인 인증절차에 돌입할 수 있게 한다. 또한 취약점진단·모의침투와 같은 기술심사 방식을 적용한다. 취약점 점검 전문인력이 점검도구(취약점 스캐너, 스크립트, 소스코드 진단툴 등)를 활용해 취약점 진단과 모의침투를 수행하게 된다. 기존에 서면 확인 위주의 심사방식에서 벗어나, 심사원이 실질적 보안관리 상태를 확인할 수 있도록 실시간 시연 확인 등 현장실증 심사방법을 적용한다. 아울러, 심사투입 인력과 기간을 확대하는 등 심사팀 구성 체계도 개편한다. 표준인증군은 인증심사원을 추가 투입해 현장실증을 강화하고, 강화인증군은 취약점점검원을 전담 투입해 중요도가 높은 정보자산을 기술심사를 통해 정밀하게 점검하고 점검 자산 수도 대폭 늘린다. 3. 인증 사후관리 강화 심사 시 특정 시점만 확인하는 '스냅샷' 방식에서 벗어나 인증심사 이후에도 보안관리가 유지될 수 있도록 상시 점검을 강화한다. 아울러, 중대 침해사고 발생 기업에 대한 사후관리도 엄격히 실시한다. 먼저, 상시 점검체계를 확립해 인증 취득부터 유지·갱신에 이르는 전 과정에서 안전한 관리체계가 지속 유지되고 있는지를 중점적으로 점검한다. 이를 위해 주기별 점검양식을 표준화하고, 사후심사 시 이를 집중 점검해 보안 수준이 유지되도록 한다. 정부와 인증기관 간 사고 이력을 상시 공유할 수 있는 체계를 구축하고, 중대 사고 발생시 기업이 사고복구 및 재발방지에 집중할 수 있게 인증 심사를 잠정 중단한다. 정부조사와 처분 등이 종료된 이후 사고기업에 대한 인증심사 재개시 심사인력과 기간 투입을 확대해 사고원인과 조치현황, 재발방지 대책 등을 철저히 심사한다. 또한, 법령에 규정된 인증취소 사유를 구체화하고 관련 법령에 따라 취소를 추진한다. 특히, 주요 사고 원인 분석 등을 토대로 인증기준 미달 여부를 판단하기 위한 중대 결함 기준을 마련하고, 중대 결함에 대한 보완을 기한 내 조치하지 않을 경우 인증취소를 진행한다. 4. 심사기관 및 심사원 전문성 강화 부실심사를 방지하고 심사품질을 제고하기 위해 심사기관의 관리책임을 강화하고, 심사원의 전문역량 개발에 집중한다. 이를 위해, 매 인증심사 종료 후 심사기관에 대한 신뢰도 조사를 실시하고 그 결과를 차년도 인증심사 배분 시 반영, 심사기관이 스스로 품질을 관리하는 체계를 마련한다. 심사품질 관련 항목을 지정 및 재지정 평가에 반영해 부실심사를 방지하고, 심사기관의 지정 기준 준수 여부를 매년 사후점검을 통해 철저히 확인한다. 취약점 점검 등 심사원의 기술심사 검증 능력 제고를 위해 실무교육을 강화한다. 특히 기술심사 가이드를 제공해 현장실증형 심사 수행능력을 제고하고 심사의 일관성을 확보한다. 또한 AI·클라우드 등 전문분야별 특화 심사가 가능하도록 심사원별 전문분야 정보를 관리해 심사에 활용한다. 심사원 인건비를 현실에 맞게 높여 심사원 처우도 개선한다. 과기정통부와 개인정보위는 이번 실효성 강화방안의 추진과제를 빈틈없이 실현하기 위해시행령, 고시 및 안내서 등을 개정하고 관련 예산을 확보하는 등 후속조치도 철저히 수행할 예정이다. 구체적으로, 상시 점검 강화·인증취소 등 인증 사후관리와 관련된 사항은 올해 하반기부터, ISMS-P 의무화·인증 차등 적용 및 강화 인증기준 적용 등은 2027년부터 시행될 수 있도록 상반기에 관련 작업을 추진할 계획이다. 송경희 개인정보위 위원장은 “사이버 공격이 고도화하는 상황에서 ISMS·ISMS-P 인증제를 통해 국민 피해를 사전에 예방할 수 있게 제도 전반에 대한 근본적 개편이 필요한 시점”이라며 “오늘 발표된 실효성 강화방안을 시작으로 인증제도를 개인정보 보호의 사전예방 핵심수단으로 개선해 국민이 안심할 수 있는 디지털 환경을 구현하겠다”고 밝혔다. 류제명 과기정통부 제2차관은 “정보보호 관리체계 인증제도는 국민이 안심하고 디지털 서비스를 이용할 수 있도록 하는 핵심 안전장치”라며 “급변하는 사이버 보안 환경에 대응해 정보보호 관리체계를 보다 엄격하고 내실 있게 운영해 인증제도의 실효성을 높이고, 국민이 신뢰할 수 있는 인증체계로 발전시켜 나가겠다”고 밝혔다.

2026.04.10 08:00방은주 기자

이글루, 하이브리드 XDR 플랫폼 '스파이더 이엑스디' GS 인증 획득

인공지능(AI) 기반 보안 운영·분석 플랫폼 기업 이글루코퍼레이션(대표 이득춘)은 하이브리드 확장형 탐지·대응(Hybrid XDR) 플랫폼 '스파이더 이엑스디(SPiDER ExD)'가 GS(Good Software) 인증 1등급과 국가정보원 보안기능확인서를 동시에 획득했다고 27일 밝혔다. 최근 조달청 '우수조달물품' 공식 지정에 이은 이번 성과로, 이글루코퍼레이션은 제품의 신뢰성과 경쟁력을 국가 공인 기관으로부터 다시 한번 인정받게 됐다. SPiDER ExD는 이글루코퍼레이션의 자율형 보안운영센터(Autonomous SOC) 구현을 위한 핵심 솔루션이다. 온프레미스와 클라우드를 아우르는 하이브리드 환경에서 사용자·계정·자산에 대한 가시성을 제공하고, 통합 사용자 인터페이스(UI) 구조에 기반한 일원화된 위협 탐지와 분석, 자동화 대응을 수행한다. 이번 인증 획득은 SPiDER ExD 플랫폼의 핵심 요소인 하이브리드 환경 가시성 확보와 보안 운영·위협 대응 자동화(SOAR) 연동에 기반한 자동 대응의 안정성과 우수성을 검증받은 결과다. 이글루코퍼레이션은 이번 인증 획득을 계기로 국가 및 공공 기관의 국가 망 보안체계(N2SF) 구축 지원에도 속도를 낸다. 현재 본사 내에 공공 클라우드와 차세대 인프라 환경에 부합하는 N2SF 체계를 체험할 수 있는 '실증형 데모룸'을 구축 중이며, 개정된 사이버보안 실태 평가지표에 최적화된 N2SF 핵심 요건 점검 시스템도 선보일 계획이다. 더불어 제로 트러스트 6대 핵심 요소(Pillar)를 아우르는 주요 기업들과의 협업을 통해, 연동 범위도 지속적으로 확대할 방침이다. 이득춘 이글루코퍼레이션 대표는 "SPiDER ExD의 이번 인증 획득은 이글루코퍼레이션의 차세대 기술력이 국가 보안 기준을 완벽히 충족했음을 의미한다"며 "검증된 원천기술을 바탕으로, 공공 및 기업 고객들이 안전하고 지능적인 자율형 보안운영센터를 구축할 수 있도록 전폭적으로 지원하겠다"고 밝혔다.

2026.03.27 21:32김기찬 기자

오픈베이스, VM웨어 네트워크·보안 전문 서비스 자격 확보…클라우드 경쟁력 입증

오픈베이스가 VM웨어 서비스 역량을 공식 인정받으며 하이브리드 멀티 클라우드 전문기업 기술 경쟁력 강화에 나섰다. 오픈베이스는 VM웨어의 애플리케이션 네트워킹 및 보안 분야 전문 서비스 역량 인증인 'ANS PSO' 자격을 취득했다고 3일 밝혔다. 이 인증은 VM웨어의 차세대 인프라 환경에서 고도의 네트워크 설계와 보안 솔루션을 구축하고 최적화할 수 있는 파트너사에 부여된다. 오픈베이스는 이번 자격 취득을 통해 고객사에게 단순 제품 공급을 넘어 고도의 기술력이 요구되는 전문 컨설팅 및 구축 서비스를 공식적으로 제공할 수 있는 체계를 구축했다. 특히 오픈베이스는 브로드컴의 최신 통합 플랫폼인 'VM웨어 클라우드 파운데이션(VCF) 9' 기반 서비스 제공 역량을 전면에 내세웠다. VCF 9은 데이터센터 전체를 하나의 통합된 운영 모델로 관리하는 차세대 플랫폼이다. 오픈베이스는 이를 활용해 기업 고객이 복잡한 인프라를 보다 효율적이고 안정적으로 운영할 수 있도록 지원할 계획이다. 회사 측 조사에 따르면 최근 대다수 기업이 하이브리드 클라우드 전략을 채택 중이며 각 워크로드 특성에 맞는 최적의 인프라 환경을 선택하고 관리하는 것이 기업 IT 전략의 핵심 트렌드로 부상하고 있다. 오픈베이스는 이같은 시장 흐름에 맞춰 고객 비즈니스 요구사항에 최적화된 네트워크 및 보안 통합 설계 서비스를 강화해 나갈 방침이다. 오픈베이스 관계자는 "이번 ANS PSO 인증 취득은 VM웨어 최신 기술 스택인 VCF 9 기반 전문 서비스를 제공할 수 있는 검증된 파트너임을 입증한 것"이라며 "앞으로도 차별화된 기술력을 바탕으로 고객 디지털 전환을 성공적으로 이끄는 핵심 조력자 역할을 수행하겠다"고 밝혔다.

2026.03.03 15:16한정호 기자

MS, 공공 SaaS 진입 가시화되나…업계 "외산 솔루션 확산은 아직 더뎌"

마이크로소프트(MS)가 '마이크로소프트 365(M365)'의 공공 서비스형 소프트웨어(SaaS) 시장 진입을 추진하는 것으로 알려지며 업계의 관심이 쏠리고 있다. 다만 외산 SaaS는 제도적 진입과 달리 공공부문에서 실질적인 확산까지는 상당한 시간이 필요할 것이라는 관측이 제기된다. 12일 업계에 따르면 MS는 M365에 대해 한국인터넷진흥원(KISA) 클라우드 안인증(CSAP) '하' 등급 취득을 목표로 관련 절차를 진행 중인 것으로 전해졌다. 이를 취득할 시 MS는 글로벌 빅테크 가운데 처음으로 공공 SaaS 시장 진입을 본격 추진하게 된다. M365는 엑셀·워드·파워포인트 등 오피스 제품군과 협업 도구를 구독 형태로 제공하는 대표적인 글로벌 SaaS다. CSAP 하 등급을 획득할 경우 논리적 망분리 환경에서도 공공기관 도입이 가능해져 공공 업무 환경 변화 가능성도 거론된다. 다만 업계에서는 제도적 요건 충족이 곧바로 시장 확산으로 이어지지는 않을 것으로 보고 있다. 이미 아마존웹서비스(AWS), 구글 클라우드, MS 애저 등 외산 클라우드 서비스들이 인프라(IaaS) 영역에서 인증과 조달 등록을 마쳤지만, 공공부문에서 뚜렷한 실적으로 이어진 사례는 제한적이라는 이유에서다. 특히 SaaS는 공공기관 업무 데이터가 외부 서비스에 직접 연동되는 구조인 만큼, IaaS보다 보안과 책임 소재에 대한 부담이 크다는 평가다. 이로 인해 외산 SaaS의 공공 도입은 제도적 허용 이후에도 속도 조절이 불가피하다는 분석이 나온다. 국내 클라우드 업계 관계자는 "애저나 구글 클라우드 플랫폼(GCP) 등 주요 IaaS 서비스가 조달 등록과 디지털서비스몰 입점까지는 일부 이뤄졌지만, 실제 수주나 활용 사례는 아직 거의 없는 상황"이라며 "M365가 SaaS 영역에서도 하 등급을 받더라도 유사한 흐름을 겪을 가능성이 크다"고 말했다. MS가 SaaS 하 등급 인증을 추진하는 배경에는 앞서 애저가 IaaS 하 등급을 획득하며 공공 시장 진입의 제도적 기반을 마련한 점이 영향을 미친 것으로 풀이된다. 업계에서는 MS가 당시 함께 신청했던 SaaS 인증 절차가 최근 다시 속도가 붙은 것이라는 해석도 나온다. MS와 KISA는 이번 사안에 대해 구체적인 확인이 어렵다는 입장이다. 신청 여부와 심사 단계, 일정 모두 공개되지 않았다. 업계 관계자는 "외산 솔루션이 공공 시장에서 의미 있는 확산을 이루려면 인증보다 더 중요한 것은 실제 적용 사례와 신뢰"라며 "M365 역시 제도적 문이 열리더라도 공공 현장에서 본격적으로 자리 잡기까지는 꽤 오랜 시간이 걸릴 것"이라고 전망했다.

2026.01.12 18:29한정호 기자

보안 인증 8년만에 대폭 손질...컨설팅기업들 "특수 온다" 함박웃음

정부 차원의 정보보호 관리체계 인증(ISMS) 및 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 개편 움직임이 본격화하면서 보안 컨설팅 수요도 늘어날 전망이다. 다양한 IT 자산들이 생겨나고 공격자가 노릴 만한 공격 표면이 확장되면서 지난해 수많은 침해사고가 발생해 적지 않은 한국 기업들이 골머리를 앓았다. 심지어 국내 최고 수준의 보안 인증인 ISMS, ISMS-P를 획득했음에도 해커의 공격에 무방비하게 뚫리는 기업들이 생겨났다. 이에 ISMS 인증 제도의 실효성에 대한 지적이 쏟아졌고, 정부가 이에 대응해 ISMS 인증 제도를 본격적으로 손보기 시작했다. 최초 ISMS는 어떤 모습?…2002년 만들어져 24년여간 명맥 유지 ISMS 인증은 과학기술정보통신부(과기정통부)가 2002년부터 운영해 온 제도다. 현재 운영 기관인 한국인터넷진흥원(KISA)의 전신인 '한국정보보호진흥원'이 ISMS를 운영했다. KISA 등에 따르면 당시 과기정통부는 초고속 인터넷이 보급되면서 보안 관리의 필요성이 높아졌고, 정보통신망의 안정성과 신뢰성 확보를 위한 인증제도를 시행했다. 최초에는 ISMS 고유항목 22개를 포함해 104개의 인증항목을 심사했다. ISMS는 만들어진 초반부터 난항을 겪었다. 시행된 지 1년 만에 2003년 대한민국 인터넷망이 DDoS(디도스) 공격으로 마비되는 일명 '1·25 인터넷대란'이 발생했고, 2008년엔 최대 온라인 쇼핑몰이었던 옥션에서 1천만명이 넘는 유출 사고가 터졌다. 이에 당시 ISMS 인증이 기업에 '권고'하는 수준의 자율 인증 체계였던 만큼, 기업의 보안 관리 체계를 단순히 권고하는 수준을 넘어 '의무'로 강제해야 한다는 목소리가 높아졌다. 이후 정보통신서비스제공자 대상으로 시행되던 정보보호안전진단 제도와 2013년 통합·개편됐다. 일정 규모 이상의 상급병원과 종합대학 및 온라인서비스를 제공하는 정보통신사업자에게 인증이 의무화됐다. 한편 ISMS 인증의 출시부터 일부 기업에 의무화되는 기간 동안 방송통신위원회가 주관하는 '개인정보보호 관리체계(PIMS)', 행정안전부가 주관하는 개인정보 보호 인증(PIPL) 등 다양한 정보보호 관련 인증이 생겨났다. 문제는 기업 입장에서 ISMS 인증도 의무로 받아야 하는 상황인데, 항목이 50% 이상 중복되는 PIMS 인증도 획득해야 하는 등 '중복 운영' 논란이 불거졌다는 점이다. 이에 과기정통부, 방송통신위원회, 행정안전부는 ISMS와 PIMS 인증을 통합해야 한다는 데 의견을 모았고, 이중 인증의 부담을 줄이기 위해 통합을 결정해 지난 2017년 말 지금의 ISMS-P 인증이 탄생했다. ISMS(인증 항목 104개)와 PIMS(인증 항목 86개)의 동일․유사한 인증항목을 통폐합했는데, 정보보안 관련 80개 항목과 개인정보보호 관련 22개 항목이 단일화돼 총 102개의 인증 항목으로 구성됐다. 현행 ISMS 인증은 2023년 개정 기준 64개 보호대책 요구사항, 보안 관리체계 수립 및 운영16개, 개인정보 처리단계별 요구사항 21개 등을 충족해야 획득이 가능하다. 당초 ISMS-P 인증 출시 당시 개인정보 처리 단계별 요구사항 영역에서 1개 중복적인 요소가 정리되면서 22개에서 21개로 줄었고, 현재는 총 101개 항목을 평가하고 있다. 현행 인증의 평가 항목을 구체적으로 살펴보면 보안 관리체계 수립 및 운영 항목에서는 ▲경영진 참여 ▲최고정보보호책임자(CISO), 개인정보보호책임자(CPO) 임명 여부 ▲IT 자산 위험 평가 ▲1년에 한 번 이상 관리체계 점검 여부 등을 확인한다. 64개 보호대책 요구사항에는 ▲사용자 식별 등 인증 영역 ▲네트워크 접근 제어 영역 ▲크리덴셜(비밀번호, ID 등)의 암호화 적용 여부 ▲로그 기록 및 관리 ▲모바일 기기 보안 등 인증부터 엔드포인트까지 보안 대책이 마련돼 있는지를 평가한다. 21개 개인정보 처리 단계별 요구사항에서는 개인정보 수집·파기·제3자 제공 등과 관련해 적법성을 따진다. 대표적으로 ▲개인정보 수집 시 동의 확보 여부 ▲개인정보의 기술적·관리적 보호조치 ▲개인정보 제3자 제공 동의 확보 여부 ▲회원 탈퇴 시 정보 즉시 삭제 여부 등이다. ISMS 인증 획득 의무화 기업 확대…심사 방식도 까다로워져 ISMS 인증 제도는 다시 한 번 변화의 기로에 놓였다. 이번에는 ISMS 인증을 받은 기업들까지도 해킹 공격에 무력화됐던 만큼 손질에 들어간 것이다. 개인정보보호위원회(개보위), 과기정통부는 지난해 말 ISMS, ISMS-P 인증 기업의 해킹·대규모 개인정보 유출사고가 반복 발생함에 따라, 대책회의를 지난해 12월6일 개최하고 인증 실효성 강화를 위한 제도의 전면적 개편 방안을 추진한다고 밝힌 바 있다. 구체적인 내용을 살펴보면 ▲공공·민간 주요 개인정보처리시스템(주요 공공시스템, 통신사, 대규모 플랫폼 등)에 대한 인증 획득 의무화 ▲통신사, 대규모 플랫폼 사업자 등 국민 파급력이 큰 기업에 대해 강화된 인증기준을 마련해 적용 ▲심사방식 전면 강화 ▲분야별 인증위원회 운영 및 심사원 대상 AI 등 신기술 교육을 통한 인증 전문성 향상 ▲사후관리 대폭 강화 등이 골자다. 현장 심사 중심으로 전환하고 중대한 결함이 발생할 경우 인증을 취소하는 등 실효성을 제고하는 한편, 모의해킹 훈련과 화이트해커를 활용한 상시 취약점 점검 체계도 구축할 방침이다. 심사 방식 역시 까다로워진다. 예비 심사 단계에서 핵심 항목을 충족하지 못하면 본심사에 진입할 수 없도록 조치한다. 개편안 발표 이후 지난해 12월17일 개보위는 ISMS-P 인증 의무화 대상 확대 등의 내용을 담은 '개인정보 보호법' 개정안을 국회 정무위원회 전체회의에 제출했고, 현재 통과된 상태다. 향후 과기정통부와 개보위는 합동 제도개선 태스크포스(TF)를 통해 개선 방안을 최종 확정하고, 올해 1분기 중 관련 고시를 개정해 단계적 시행에 나설 방침이다. 정부 ISMS '손질'에 보안 컨설팅 업체 수요 '맑음' ISMS, ISMS-P 인증 획득을 위해 의무 기업이나 자율적으로 인증을 획득하려는 조직에서는 보안 컨설팅 업체와의 계약을 통해 빠르고 효율적으로 인증 획득을 목표로 하고 있다. 한국정보보호산업협회(KISIA)가 발표한 2025년 국내 정보보호산업 실태조사에 따르면 2024년 기준 정보보안 관련 기업(876개) 중 22.7%(약 199개 기업)가 보안 컨설팅 사업을 영위하고 있는 것으로 나타났다. 이 중에서도 보안 컨설팅 등 정보보호 서비스의 전문 역량을 인정받은 일부 기업이 따로 분류된다. 정보보호산업법 등 관련 법에 근거한 주요정보통신기반시설에 대한 취약점 분석∙평가 업무 및 보호대책 수립업무를 지원하는 과기정통부 지정 '정보보호 전문서비스 기업'이다. 한국인터넷진흥원(KISA)이 지난해 10월 발표한 정보보호 전문서비스 기업 지정 현황에 따르면 현재 총 29개 기업이 여기에 해당한다. 구체적으로 ▲시큐아이 ▲싸이버원 ▲안랩 ▲A3시큐리티 ▲SK쉴더스 ▲소만사 ▲CAS ▲윈스테크넷 ▲이글루코퍼레이션 ▲시큐어원 ▲한전KDN ▲파수 ▲파이오링크 ▲신한DS ▲한국통신인터넷기술 ▲F1시큐리티 ▲KCA ▲한국정보기술단 ▲씨드젠 ▲한시큐리티 ▲모비딕 ▲시큐리티허브 ▲L&J테크 ▲핀시큐리티 ▲티앤디소프트 ▲라온시큐어 ▲이노시큐리티 ▲롯데이노베이트 ▲수산아이앤티 등이다. 보안 컨설팅 업체의 시장 규모도 성장세다. KISIA에 따르면 보안 컨설팅 업체의 매출 규모는 2022년 5천726억원에서 2023년 5천953억원으로 늘었고, 2024년 기준 6천426억원으로 6천억원대를 돌파해 매년 성장세를 기록하고 있다. 이런 가운데 정부가 올해를 기점으로 본격적인 'ISMS 인증 손질'에 나선 만큼, 기업의 ISMS 인증 획득을 지원하는 보안 컨설팅 업체들의 새로운 수요에 따른 성장세는 계속될 전망이다. 염흥열 순천향대 정보보호학과 명예교수는 정부의 ISMS 인증 개편 동향과 관련해 "정부가 ISMS 인증 실효성 강화를 위한 법적 기반을 마련하고 있다. 개인정보 보호법 개정안이 정무위원회를 통과했고, 근거 조항을 만드는 작업이 이뤄지는 것으로 보인다"며 "ISMS 인증이라는 중요한 정책 수단을 효과적으로 활용하기 위한 정책적 변화가 이뤄지고 있다"고 설명했다. 염 교수는 이어 "ISMS 인증 의무화 대상 기업의 수는 50~100곳 정도로 많지 않다"면서도 "다만 ISMS 인증 획득 절차나 핵심 통제 항목을 어떻게 유연화할지에 대한 컨설팅은 필요할 것으로 예상되는 만큼 보안 컨설팅 수요는 늘어날 것으로 예상한다"고 밝혔다.

2026.01.11 19:24김기찬 기자

카스퍼스키, ISO/IEC 27001 재인증 획득

글로벌 사이버보안 기업 카스퍼스키(한국 지사장 이효은)는 국제 정보보호 표준인 ISO/IEC 27001:2022 재인증을 획득했다고 16일 밝혔다. ISO/IEC 27001은 지난 20년간 전 세계에서 가장 널리 활용되는 정보보호 표준이다. 정보보호관리체계의 구축, 운영, 지속적 개선을 위한 모범 사례를 규정하고, 조직 내 민감 정보 보호를 위한 체계적·구조적 관리 방식을 제공한다. 아울러 정보보호 리스크 식별 및 평가, 리스크 대응을 위한 통제 적용, 그리고 효과성 모니터링 및 검토를 위한 프레임워크도 제시한다. 카스퍼스키는 독립 인증기관의 평가를 통해 인증을 획득했다. 이번 평가 범위에는 ▲카스퍼스키 시큐리티 네트워크 인프라를 기반으로 악성 및 의심 파일 제공에 사용되는 관리 시스템 ▲회사의 분산 파일 시스템에 저장된 파일의 안전한 보관 및 접근 ▲통계처리 시스템 등이 포함됐다. 해당 인증은 스위스 취리히, 독일 프랑크푸르트, 캐나다 토론토, 러시아 모스크바 등에 위치한 카스퍼스키 데이터센터에 적용된다. 인증 절차 과정에서 감사인들은 문서 검토, 다양한 부서 직원 인터뷰, 기술 및 조직적 보호 조치 분석을 수행했다. 이후 주요 결론을 요약한 평가 보고서가 작성됐고, 독립 전문가 검토를 통해 감사의 공정성이 확인됐다. 인증서는 요청 시 제공이 가능하다. 카스퍼스키는 이번 재인증 획득으로 보안 신뢰성을 더욱 공고히하게 됐다고 평가했다. 카스퍼스키 율리야 슐리치코바 정부정책·공공업무 부문 부사장은 “사이버 보안 기업으로서 카스퍼스키는 정보보호 리스크에 대한 지속적 평가와 성숙한 리스크 관리 프로세스 구축의 필요성을 결코 과소평가할 수 없다”며 “정기적인 독립 감사는 당사의 글로벌 투명성 이니셔티브의 핵심 요소 중 하나다. ISO/IEC 27001:2022 재인증은 고객과 파트너에게 더 높은 신뢰를 제공하고, 데이터를 안전하게 관리하겠다는 카스퍼스키의 의지를 증명한다”라고 말했다.

2025.12.16 10:50김기찬 기자

공공 클라우드 보안 주도권 흔들리나…CSAP 재편 논의에 업계 '혼란'

공공 클라우드 시장 진입 요건으로 작용해 온 보안인증 체계가 흔들리면서 업계 전반에 긴장감이 확산되고 있다. 과학기술정보통신부와 국가정보원이 클라우드 보안인증(CSAP)과 국정원 보안적합성 절차 간 관계 재정립을 논의하는 것으로 알려지며 제도 변화 방향을 둘러싼 해석과 이해관계가 엇갈리고 있다. 16일 정부와 클라우드 업계에 따르면 과기정통부와 국정원은 공공 클라우드 서비스 제공 요건에서 CSAP 의무를 조정하는 방안을 두고 협의를 이어가는 것으로 전해졌다. 국정원의 보안적합성 절차와 CSAP 간 중복 문제를 정리하자는 취지로 논의가 진행 중이지만, 구체적인 제도 설계나 적용 시점은 확정되지 않은 상태다. 현재 공공 클라우드 시장에 진입하려는 기업은 과기정통부 주관 CSAP 인증을 획득한 뒤에도 국정원의 별도 보안 절차를 거쳐야 한다. 업계에서는 동일·유사 항목에 대한 이중 검증으로 시간과 비용 부담이 과도하다는 지적이 지속돼 왔다. 다만 제도 개편 논의가 규제 완화나 시장 개방으로 단순 해석되는 것에 대해선 신중론도 적지 않다. CSAP·국정원 보안 절차 조정 논의…"확정된 건 없다" CSAP 조정 논의는 공공 클라우드 진입 과정에서 제기돼 온 이중 규제 문제를 해소하려는 문제의식에서 출발했다. 과기정통부와 국정원은 CSAP와 국정원 보안 절차 간 역할을 정리하는 방향을 놓고 의견을 교환하고 있는 것으로 전해졌다. 과기정통부 관계자는 "CSAP와 국정원 보안 절차 간 중복 문제를 어떻게 정리할지 논의는 진행 중"이라며 "다만 제도 개편 여부나 구체적인 방식이 확정된 단계는 아니다"라고 밝혔다. 관련 고시 개정 여부 역시 향후 협의 결과에 따라 결정될 사안이라는 설명이다. 업계에서는 논의의 방향이 명확히 공유되지 않으면서 혼선이 커지고 있다고 지적한다. 일각에서는 CSAP 없이 국정원 절차만으로 공공 진입이 가능해지는 것 아니냐는 해석이 나오지만, 정부 측은 공식적으로 확정된 안은 없다는 입장을 유지하고 있다. 특히 전문가들은 공공 클라우드 부문에서 국정원 보안 절차를 하나의 개념으로 단순화해 해석하는 것은 부적절하다고 지적한다. 국정원의 '보안적합성 검증'과 '보안성 검토'는 적용 대상과 목적이 다른 별개의 절차로, 이를 CSAP와 동일선상에서 혼용할 경우 제도 취지가 왜곡될 수 있다는 설명이다. 한 클라우드 보안 분야 전문가는 "보안적합성 검증과 보안성 검토는 개념적으로 다르며 이를 마치 하나의 인증처럼 해석해 CSAP를 조정해선 안된다"며 "CSAP를 대체하는 구조로 제도가 개편된다면 기존 인증을 취득한 기업들에 대한 역차별 논란이 불가피하다"고 설명했다. 국내 CSP·SaaS 업계 엇갈린 시선…글로벌 기업 문턱 논란도 양 부처의 제도 논의가 알려지자 업계 내 이해관계도 뚜렷하게 갈리고 있다. 국내 클라우드 서비스 기업(CSP)들은 수년간 막대한 비용을 투입해 CSAP 요건에 맞춘 인프라를 구축해 온 만큼, 제도 변화가 자칫 형평성 문제로 이어질 수 있다는 우려를 내놓고 있다. 한 클라우드 업계 관계자는 "CSAP가 사실상 공공시장 진입의 허들 역할을 해왔는데 제도 구조가 바뀔 경우 기존에 투자한 기업들은 억울할 수밖에 없다"며 "기업들과 충분한 논의 없이 방향이 정해지는 것은 바람직하지 않다"고 말했다. 특히 글로벌 클라우드 사업자의 공공시장 진입 문턱이 낮아질 가능성에 대한 경계도 나온다. CSAP 조정 논의가 과기정통부가 아닌 국정원 중심의 절차로 이동할 경우 기존 CSAP 취득 여부와 별개로 외국계 사업자가 국정원의 보안 인증만으로 공공부문 접근성이 높아질 수 있다는 우려에서다. 반면 서비스형 소프트웨어(SaaS) 업계 일각에서는 공공시장 진입 기회가 확대될 수 있다는 기대도 감지된다. 다수 SaaS 기업이 외산 클라우드 인프라 위에서 서비스를 운영하는 만큼, 제도 장벽이 완화되면 공공 레퍼런스 확보와 사업 확장에 도움이 될 수 있다는 판단이다. 또 CSAP 인증과 사후 평가에 대한 부담을 덜 수도 있다는 시각도 존재한다. 다만 업계 전반에서는 제도 변화 효과를 과대평가해서는 안 된다는 목소리가 우세하다. 이미 지속적으로 CSAP 중·상등급 실증이 지연돼 온 상황에서 인증 체계 조정만으로 공공 클라우드 도입이 단기간에 활성화되기는 어렵다는 지적이다. 더욱이 새로운 보안 체계가 본격화되기 전까지 사업자는 물론 클라우드 도입 수요가 있는 공공기관 역시 혼란을 빚을 수 밖에 없을 것으로 전망된다. 클라우드 업계 관계자는 "CSAP와 국정원 보안 절차를 어떻게 조정하느냐는 단순한 인증 문제가 아니라 공공 클라우드 정책 방향 전반과 맞닿아 있다"며 "최근 국가정보자원관리원 화재 이후 공공 디지털 인프라의 민간 클라우드 이용 활성화가 논의되는 시점에서 제동이 걸릴 것 같아 우려된다"고 말했다. 이어 "정부가 충분한 의견 수렴과 명확한 공공 클라우드 보안 기준을 제시해 시장 혼란을 최소화해야 한다"고 강조했다.

2025.12.16 10:26한정호 기자

"기업 리스크 관리, 보안 역량 핵심으로 부상"

한국정보보호학회 보안거버넌스연구회 및 정보보호교육연구회(KIISC CGSA)는 4일 오후 김앤장 법률사무소에서 송년 세미나를 개최했다. 이날 세미나에서는 ▲기업 전반의 리스크 관리 간소화(Streamline Risk Management Across Your Enterprise) ▲디지털 월렛의 글로벌 시장 진출을 위한 전략 ▲사이버 모의훈련을 통한 보안 거버넌스 역량 강화 방안 등 3가지 핵심 주제를 바탕으로 심도 깊은 논의가 이뤄졌다. 최근 쿠팡, 통신사 등에서 잇단 침해사고가 발생하고 대규모 유출 피해로 이어지고 있는 상황이다. 이에 기업 전반의 리스크 관리는 핵심 보약 역량으로 부상했다. 김주형 퀄리스코리아 이사 이런 내용을 중심으로 발표를 진행했다. 이어 심재훈 호패 대표는 '디지털 월렛의 글로벌 시장 진출을 위한 전략'을 주제로 발표했다. 그는 디지털 월렛(지갑)의 시대가 부상하고 있으며, 디지털 월렛의 뛰어난 보안성 등에 대해 소개했다. 아울러 주요국의 디지털 신원 증명 동향도 발표했다. 심 대표는 "한국은 월렛 기반 금융을 가장 빨리 실현할 수 있는 국가"라며 "문제는 국제 변화를 많이 감지하고 있지 못한다. 국제 월렛표준이 국내에 어떻게 적용될 수 있는지 정립이 필요하다"고 강조했다. 안상용 김·장 법률사무소 GRC 컨설턴트은 사이버 모의 훈련을 통한 보안거버넌스 역량 강화 방안에 대해 발표했다. 안 컨설턴트는 김앤장 법률사무소에서 보안 컨설팅을 담당하고 있는 전문 컨설턴트다. 그는 최근 사이버 사고 현황 및 대응 이슈에 대해 소개하고, 사이버 모의 훈련이 중요한 이유, 그리고 이를 통한 보안 거버넌스를 강화할 수 있는 전략에 집중했다. 안 컨설턴트는 "올해는 다수의 사이버 침해 사고가 발생했으며, 다양한 공격 표면, 다양한 공격 방식을 통해 이뤄졌다. 심지어 일정 규모 인프라를 갖춘 기업이 공격을 당했다는 것이 올해 화두"라고 진단했다. 안 컨설턴트는 올해 발생한 사이버 사고 대응 시 공통적인 이슈 사항으로 ▲경영진 의사결정 오랜 시간 소요 ▲실무자급 판단 근거 부재로 사고처리 시간 과대 소요 ▲오염범위 등 조사 피해 평가 오래 걸림 ▲오염 등 판단 프로세스 모호 ▲감지부터 초기 대응 취약 ▲조사 평가 범위 파악 역량 취약 ▲최초 경험 및 개인역량 의존 등의 문제를 제기했다. 그는 "김·장 법률사무소에서는 디도스, 해킹메일, 웹해킹 등 사이버 위기 상황을 기업이 보유한 사고 대응계획의 정상 작동 여부 점검하기 위한 모의 훈련을 제공하고 있다"며 "사이버 모의 훈련을 설계하는 단계에서도 정책, 프로세스 등 거버넌스 요소를 포함하는 것이 중요한 관점이다"고 강조했다.

2025.12.04 18:23김기찬 기자

지마켓, 도용 의심 사고 피해고객 전원 환불 보상 결정

지마켓은 지난달 29일 발생한 도용 의심 사고 관련, 피해 고객 전원에게 피해금액에 대한 전액 환불 보상을 결정했다. 이번 조치는 고객 불편을 최소화하기 위한 목적이다. 또 지마켓은 수사기관과의 협조를 통해 원인 규명 등 철저한 조사도 함께 진행할 계획이다. 보상은 피해 고객 전원이 대상이다. 지마켓은 무단 결제 정황이 확인된 고객 전원에게 보상 방법을 안내하고, 수사기관 신고도 적극 지원할 계획이다. 피해 고객에게는 고객 보호를 위해 도의적 차원의 선보상을 진행하면서, 적극적인 신고를 권유해 도용범죄 근절에 나서겠다는 것이다. 지마켓은 이번 사고를 외부에서 불법 수집한 개인정보를 활용해 로그인한 뒤 결제한 수법으로, 여러 사이트에서 동일한 계정을 사용하는 관행을 악용한 전형적인 '도용범죄'로 추정하고 있다. 지마켓은 추가적인 피해를 막기 위해 선제적인 보안 강화 대응책도 마련했다. 우선 최근 한 달 이내 비밀번호를 변경하지 않은 고객 전원을 대상으로 비밀번호 변경 권고 캠페인을 진행 중이다. 로그인 화면 내 개별 안내 메시지와 고객센터 공지를 통해 비밀번호를 최신 상태로 유지하도록 안내하고, 안전한 비밀번호 생성 방식도 함께 제공한다. 추가 인증 절차도 확대한다. 로그인 시 아이디, 패스워드 외에 2단계 인증을 설정할 수 있도록 권고하는 팝업을 노출한다. 환금성 상품권 등 민감도가 높은 일부 상품군에는 강화된 본인확인 절차가 도입된다. 지마켓 관계자는 “고객의 안전한 쇼핑 환경 보장을 최우선으로 삼고, 도용·피싱 등 2차 피해가 재발하지 않도록 보안 강화에 더욱 만전을 기울이겠다”고 말했다.

2025.12.03 22:06백봉삼 기자

보안 인증 받은 쿠팡, 과징금 얼마나 나올까

대한민국 국민 65%에 달하는 개인정보 유출 사고가 발생한 쿠팡의 제재 수위에 대한 관심이 모아지고 있다. 보안의 기본이라고 할 수 있는 퇴사자 권한 관리가 유출사고의 원인으로 지목되고 있는 데다, 정부에서도 엄정 제재, 징벌적 손해 배상에 대한 목소리가 높아지고 있기 때문이다. 현행 기준에 따르면 매출액 기준 최대 3%에 달하는 과징금이 부과될 수 있어 쿠팡은 최대 1조원대 과징금 철퇴를 맞을 가능성도 있다. 2일 업계에 따르면 쿠팡은 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사에 임하고 있다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당) 분석에 따르면 이번 유출사고는 퇴사자 인증키를 퇴사 즉시 수거하지 않고 방치한 데 원인이 있는 것으로 알려졌다. 직원이 퇴사를 하면 회사 내부 데이터나 서버, 네트워크에 접근하지 못하도록 권한을 수거해야 하는데 그렇지 못한 것이 화근이 된 것이다. 다만 현재 회사는 무단 접근 경로를 차단하고 내부 모니터링을 강화하는 조치를 취했다. 개인정보보호위원회(개보위) 등 조사 당국에 따르면 정부는 쿠팡의 대규모 개인정보 유출로 민·관 합동 조사단을 꾸리고 본격적인 조사에 착수한 것으로 알려졌다. 개보위는 보안 조치 의무를 위반한 사실이 확인된 경우에는 엄정한 제재를 적용하겠다고 밝혔다. 이재명 대통령도 이날 쿠팡 개인정보 유출사고와 관련해 "쿠팡 때문에 우리 국민의 걱정이 많다"며 "처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다. 관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서달라"고 지시했다. 쿠팡, 최대 1조원 이상 과징금…최대 부과 가능성 낮아 조사 당국과 정부는 쿠팡에 대한 고강도의 제재 수위를 논하는 것으로 알려졌다. 현행법상 개인정보 유출 시 관련 법을 위반한 기업에는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 지난해 쿠팡의 매출액이 41조원이 넘는 만큼 1조원 이상의 과징금이 부과될 수 있다는 계산이 나온다. 다만 과징금 선정 절차는 사고와 관련 없는 매출은 제외하기 때문에 최대 과징금이 부과될 가능성은 낮다. 개보위에 따르면 과징금 선정은 우선 전체 매출액에서 사고와 관련 없는 매출액을 제외한 후, 과징금 선정 기준에 따라 기준금액을 정한다. 특히 기준금액 선정 이후에는 2차례에 걸쳐 조정에 들어간다. 여러 감경 사유를 따져보고 해당 사항이 있는 경우 과징금을 깎아준다. 대표적으로 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 보유하고 있는 기업의 경우 현행법상 과징금의 최대 50%까지 감경받을 수 있다. 이에 쿠팡은 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 취득한 기업이기 때문에 과징금을 최대 50% 감경받을 수 있다. 앞서 쿠팡은 지난 2021년 ISMS-P 인증을 획득한 이후 지난해 갱신까지 마친 상태로, 유효한 ISMS-P 인증을 보유하고 있다. 이에 현행법에 따라 과징금 감경 혜택을 받을 수 있는 것이다. 단, 감경 비율은 특정 위반 행위의 내용, 기업의 협조 정도, 시정 노력 등 여러 요소를 종합적으로 고려해 최종 결정된다. 해당 감경 제도로 우리카드는 과거 인천영업센터 가맹점주 개인정보 유용사건으로 부과된 과징금을 50% 감경받아 130억원만 부과된 바 있다. 1차, 2차 조정(감경) 절차 이후에는 중대성 판단을 하게 되는데, 중대성은 매우 중대함, 중대함, 보통, 약함 등 4단계로 구성된다. 가장 높은 '매우 중대함'으로 중대성이 판단된다고 하더라도 기준금액 내에서 과징금이 결정된다. 실제 역대 최대 과징금이 부과된 SK텔레콤 해킹 사태 당시 개보위는 이런 과정을 거쳐 1천348억원의 과징금을 부과했다. SK텔레콤의 무선통신사업 매출 약 13조원을 기준으로 하면 최대 3천831억원의 과징금이 부과될 수 있지만, 기준금액 설정에 따라 제재 수준이 낮아졌다. 그러나 쿠팡의 ▲지난해 매출이 SK텔레콤보다 높은 점 ▲유출 규모가 방대한 점 ▲5개월간 피해 사실을 인지하지 못한 점 등을 고려하면 SK텔레콤보다 높은 역대 최대 규모를 경신할 금액의 과징금이 선정될 가능성이 크다. 개보위 관계자는 "과징금 산정 과정에서 기준금액을 정한 이후 들어가는 감경 절차에 ISMS-P 인증 등이 감경 조항에 포함돼 있다"면서도 "과징금 산정 규모와 관련해서는 예단할 수 없고, 미리 언급할 수 없다"고 일축했다. 염흥열 순천향대 정보보호학과 명예교수는 "현행 과징금 부과 체계는 관련 분야 매출의 3%를 기준으로 산정하지만, 가감하는 조정절차가 있다. 조사 과정에 성실하게 임했는지, 피해자 구제에 적극적으로 했는지 등의 사항을 따져보고 가중하거나 감경해 과징금을 산정한다"며 "다만 정부나 대통령이 얘기하는 징벌적 과징금의 경우는 현재 법 개정 등 논의할 사항이 남아있다. 이번 쿠팡의 경우는 현 절차에 따라 산정되겠지만, 향후에는 개보위 TF에서 논의됐던 과징금 선정 관련 인센티브 제공, 징벌적 과징금 등 가감 조정절차의 방향성에 대해서 인식할 필요는 있다"고 밝혔다.

2025.12.02 18:19김기찬 기자

쿠팡 대규모 개인정보유출로 ISMS-P 실효성 또 도마

롯데카드에 이어 쿠팡에서 초대형 개인정보 유출 사고가 발생하면서 정보보호·개인정보보호 관리체계(ISMS-P) 인증제 실효성 논란이 더욱 거세지고 있다. 롯데카드는 ISMS-P 인증을 획득한 지 이틀만에 침해사고를 겪었고, 쿠팡은 2021년 최초 인증 획득 후 갱신까지 마친 상태였다. 1일 업계에 따르면 쿠팡은 최초 ISMS-P 인증 획득 이후 지난해 3월 갱신을 완료한 상태였으나, 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사 중이다. 쿠팡은 올해 6월 24일부터 개인정보에 외부 접근이 이뤄진 것으로 추정하고 있다. 그러나 개인정보 유출을 인지한 시점은 지난달 18일로, 현재 경찰청, 한국인터넷진흥원(KISA), 개인정보보호위원회 등에 신고를 마친 상태다. 침해사고의 원인은 퇴사자 인증키 방치가 지목된다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당)은 1일 "쿠팡 로그인 시스템 토큰 생성에 필요한 서명 정보를 담당하던 직원이 퇴사했음에도 권한을 삭제하거나 갱신하지 않고 방치해 퇴사한 내부 직원이 이를 악용한 것"이라고 분석했다. 회사는 무단 접근 경로를 차단했으며, 무단 접근 경로를 차단하고 내부 모니터링을 강화했다는 것이 쿠팡 측 설명이다. ISMS-P는 기업이 정보보호와 개인정보 보호를 위한 관리체계를 일정 수준 이상 갖추고 있음을 정부가 인증하는 제도다. 보안 정책 수립 여부, 기술적·관리적 통제, 보안 교육, 점검 체계 등을 평가한다. 그러나 롯데카드 사태 때부터 이번 쿠팡까지 ISMS-P 인증을 받은 기업들의 잇단 침해사고가 터져 나오면서 인증 자체의 실효성에 대한 실효성 논란이 불거지고 있다. 상시적인 검증 체계도 없고 형식적인 문서적 검사에 그치는 것이 아니냐는 지적이 나오는 것이다. ISMS-P 인증을 주관하는 한국인터넷진흥원(KISA)의 원장을 지낸 이원태 국민대 특임교수 역시 이번 사태를 계기로 ISMS-P 인증 체계에 대한 지적을 자신의 SNS에 남겼다. 그는 "쿠팡은 정부가 인증하는 정보보호 관리체계(ISMS-P)를 취득하고 갱신까지 한 기업이었다"며 "인증을 받고도 기본적인 퇴사자 권한 관리조차 작동하지 않았다는 사실은, 현재의 제도가 실질적 방어력보다는 문서와 절차를 맞추는 '보안 극장(Security Theater)'에 불과함을 여실히 보여준다"고 비판했다. 이 교수는 현행 ISMS-P 등 문서 중심 인증 체계를 실시간 행위 기반 모니터링 중심으로 전환할 것을 주문했다. ISMS-P 인증이 실효성 논란을 빚자 개인정보보호위원회는 이를 개선하겠다고 밝혔다. 송경희 개인정보보호위원회 위원장은 지난달 5일 서울 종로구 정부서울청사에서 열린 '출입기자단 브리핑'에서 현재 유효기간이 3년인데, 1년마다 모의해킹 중심 현장 심사를 하고 문제가 있으면 인증을 취소하겠다고 말했다. 또 예비심사제도 새로 도입하고 공공기관도 ISMS-P 인증 의무화를 단계적으로 추진하겠다고 밝혔다. 현재 2억에 불과한 관련 예산도 내년에는 증액할 예정이다.

2025.12.01 22:35김기찬 기자

한컴오피스 AI 패키지, GS인증 1등급 획득…공공 AX 속도

한글과컴퓨터(한컴)가 핵심 인공지능(AI) 제품을 통합한 올인원 패키지의 공공 확산 기반을 마련했다. 한컴은 자사 '한컴오피스 AI 패키지'가 한국정보통신기술협회(TTA)로부터 소프트웨어 품질인증(GS) 1등급을 획득했다고 1일 밝혔다. 이번에 인증을 획득한 한컴오피스 AI 패키지는 기존의 설치형 SW인 '한컴오피스 2024'를 중심으로 문서 작성에 특화된 AI 도구인 '한컴어시스턴트', 클라우드 기반의 '한컴오피스 웹'을 하나의 통합 패키지로 재구성한 신규 제품군이다. 이는 한컴이 추진 중인 AI 기반 업무 혁신 전략의 일환으로, 공공기관과 기업이 기존의 업무 환경을 유지하면서도 최신 AI 기술을 즉시 도입해 활용할 수 있도록 설계됐다. 패키지의 핵심인 한컴어시스턴트는 사용자가 자연어로 명령하면 문서 초안 작성, 요약, 교정, 서식 변경 등을 자동으로 수행하는 AI 에이전트다. 이번 패키지 구성을 통해 공공기관은 별도의 복잡한 시스템 구축 없이도 익숙한 한컴오피스 환경 안에서 AI를 활용해 업무 생산성을 획기적으로 높일 수 있게 됐다. 또 한컴오피스 웹이 포함돼 있어 시간과 장소에 구애받지 않는 유연한 근무 환경을 지원한다. 한컴은 이를 통해 온프레미스 중심이었던 공공 행정 업무를 클라우드와 AI가 결합된 하이브리드 환경으로 전환하는 데 속도를 낼 계획이다. GS인증은 국제 표준을 기준으로 SW의 기능적합성, 신뢰성, 보안성 등을 종합 평가하는 국가 인증 제도다. 1등급을 획득한 제품은 공공기관 우선구매 대상 기술개발제품으로 지정돼 정부·공공기관 도입이 수월해진다. 김연수 한컴 대표는 "이번 GS인증은 우리의 AI 기술력이 공공 업무 환경에서 요구하는 엄격한 안정성과 보안 기준을 충족했음을 입증한 것"이라며 "검증된 한컴오피스 AI 패키지를 통해 공공기관의 AI 전환(AX)을 지원하고 B2G 시장에서의 리더십을 더욱 공고히 하겠다"고 밝혔다.

2025.12.01 17:04한정호 기자

Prev 1 2 3 Next