애플리케이션 보안 테스팅(AST) 통합 솔루션, Sparrow Enterprise가 CC 인증을 획득했습니다. 이번 CC인증 획득을 이끈 담당자분이 소개하는 CC인증의 A to Z를 준비했는데요! CC인증의 기본 개념부터 절차, 주요 진단 영역, 그리고 원활한 인증을 위한 준비팁까지 모두 확인해보세요.
■ CC(공통평가기준, Common Criteria)란?
CC(공통평가기준, Common Criteria)는 정보보호 제품 및 시스템의 보안성을 평가하기 위한 국제 표준(ISO/IEC 15408)입니다. 각국마다 다르던 정보 보호 시스템의 평가 방법을 국제적으로 통합하여, 국가 간 상호인증과 일관성 있는 보안 수준 평가를 가능하게 합니다.
국내에서는 국제용 CC 획득이 어려운 기업들을 위해 별도의 국내용 CC 인증 체계를 운영하고 있습니다. 국내 공공기관 납품 시 요구되는 인증은 대부분 이 국내용 CC입니다. 아래 내용은 국내용 CC를 기준으로 설명합니다.
■ CC 인증 절차
CC 인증은 인증기관이 직접 평가하는 방식이 아닙니다. 인증기관이 지정한 전문 평가기관이 실질적인 평가 업무를 담당하며, 전체 절차는 다음과 같습니다.
■ CC 인증을 위해 꼭 알아야 할 주요 용어 및 TIP
CC 인증을 처음 준비하시는 분들이 꼭 알아두어야 할 주요 용어들을 정리했습니다. 미리 숙지해두시면 인증 과정에서 훨씬 수월하게 진행하실 수 있습니다.
|
📌CC인증을 위해 알아두어야 할 주요 용어 ☑️ TOE: 평가 대상 제품·시스템 |
인증기관과 평가기관에서는 ST(보안 목표 명세서) 문서를 가장 중점적으로 검토하므로, 이 문서 작성에 특히 많은 시간과 노력을 투자하는 것이 성공적인 인증의 핵심입니다. 대부분 기업들은 평가기관과 협업하여 인증을 진행하는데, 평가기관은 단순한 평가 역할뿐만 아니라 컨설팅 기능도 함께 수행하기 때문에 긴밀한 소통과 협력이 매우 중요합니다.
CC 인증을 원활하게 받기 위한 가장 중요한 포인트는 제품 기획 및 개발 단계에서부터 미리 준비하는 것입니다. 스패로우의 경우, 제품 기획 초기부터 보안요구사항을 최우선 과제로 설정하고 개발을 진행했으며, 이러한 사전 준비 덕분에 실제 평가 과정에서 큰 어려움 없이 인증을 완료할 수 있었습니다.
■ 보안 요구 사항
보안 요구 사항은 국가·공공기관에서 도입하는 정보보호제품이 반드시 충족해야 할 최소 보안기능 및 시험기준을 의미합니다. IT보안인증사무국 공식 웹사이트(www.itscc.kr)의 자료실에서 국가용 보안요구사항, 작성 가이드, 보호프로파일, 해설서 등을 PDF 및 한글파일로 무료 다운로드할 수 있습니다. 특히 해설서는 CC 인증 준비 단계에서 참고하면 매우 유용합니다. 이러한 보안요구사항을 기준으로 제품을 개발한다면 인증 과정에서 큰 어려움 없이 진행할 수 있을 것입니다.
■ CC인증 과정에서 평가하는 주요 진단 영역과 방법
CC 인증 과정에서 평가하는 주요 진단 영역과 방법은 다음과 같습니다. 주요 평가 항목으로는 CCE와 CVE, 그리고 소스코드 보안 약점(CWE)가 포함됩니다.
| 구분 | 정의 | 진단방법 | 개선방법 |
| CCE |
시스템/소프트웨어의 설정 및 구성상 취약점 |
시스템 설정값 진단(권한, 접근 등) | 관리자에 의한 환경설정 변경 |
| CVE |
하드웨어/소프트웨어의 보안 취약점 및 결함 |
보안 취약점 진단 도구 및 리포트 | 제조사 공식 패치 적용 |
|
소스코드 보안약점 |
개발단계 소프트웨어 약점 유형 | 소스코드 취약점 분석 및 점검 | 개발자 소스 코드 수정 |
1️⃣CCE
CCE의 경우 평가기관에서 자동화 스크립트를 실행하여 취약점을 발견하더라도, 환경설정 수정 등의 간단한 조치로 평가기간 내에 충분히 대응할 수 있습니다. 반면 CVE나 소스코드 보안약점(CWE)의 경우에는 사전 준비가 되어 있지 않으면 평가기간 내에 수정을 완료하지 못할 위험이 있습니다.
2️⃣CVE
CVE 취약점은 대부분 오픈소스 라이브러리에서 발견됩니다. 취약점이 개선된 최신 버전으로 단순히 업데이트하면 해결될 것이라고 생각할 수 있지만, 의존성(Dependency) 문제로 인해 제품이 정상적으로 동작하지 않을 수 있습니다. 따라서 개발 단계에서부터 취약점이 있는 버전을 사전에 식별하고 안전한 버전으로 업데이트하는 것이 필요합니다.
3️⃣소스코드 보안약점(CWE)
소스코드 보안약점은 반드시 개발 초기 단계에서 해결해야 개발 비용과 시간을 크게 절약할 수 있습니다. 제품이 완성된 후 소스코드를 수정하려면 예상치 못한 버그나 기능 오류 등의 위험이 따를 수밖에 없습니다. 이러한 문제를 예방하기 위해서는 스패로우와 같은 시큐어 코딩 도구의 활용이 필수적입니다. 시큐어 코딩 도구들은 개발자가 놓치기 쉬운 보안 약점을 자동으로 탐지하고 코드 작성 단계에서부터 보안성을 확보할 수 있게 해줍니다. 특히 CC 인증에서 요구하는 기준에 맞는 보안 코딩을 체계적으로 지원하므로, 인증 준비 과정에서 발생할 수 있는 시간 지연과 추가 비용을 현저히 줄일 수 있습니다.
■ 성공적인 CC 인증을 위한 전략
국내용 CC 인증은 국제 표준을 따르면서도 국내 환경에 맞게 운영되는 인증 제도로, 공공기관 납품 시 필수 요건입니다. 성공적인 인증 획득을 위해서는 평가 과정 이해, 문서 준비, 그리고 개발 초기부터의 보안요구사항 반영이 핵심입니다. 특히 보안 취약점(CVE, CWE) 대응과 외부 라이브러리 의존성 관리는 평가 기간 내 해결이 어려우므로, 개발 단계부터 체계적인 사전 준비가 반드시 필요합니다. 또한 개발 초기부터 보안 마인드셋을 확립하고, 평가기관과의 긴밀한 협력을 통해 진행 과정에서 발생할 수 있는 문제들을 사전에 해결하는 것이 중요합니다. 뿐만 아니라 개발 단계부터 시큐어 코딩 도구를 활용한 체계적인 개발 보안 활동도 반드시 수행해야 합니다.
CC 인증 과정은 복잡하고 까다로울 수 있지만, 충분한 준비와 올바른 접근 방법을 통해 성공적으로 완료할 수 있습니다. 스패로우도 이러한 접근법을 통해 CC 인증을 원활히 획득할 수 있었습니다. 이 글이 CC 인증을 준비하시는 분들에게 실질적인 도움이 되기를 바라며, 앞으로도 스패로우는 국내외 고객이 요구하는 보안 표준과 인증을 충족하는 동시에 더욱 안전한 소프트웨어 개발 환경을 제공하기 위해 노력하겠습니다.
💡CC 인증 획득으로 제품의 보안성과 안전성을 갖춘 Sparrow Enterprise가 궁금하신 분들은 링크를 통해 자세히 확인해보세요!
개인정보 침해신고센터: (국번없이)118 (privacy.kisa.or.kr)