CC(Common Criteria) 인증 소개

1. CC(Common Criteria) 인증 목적? CC(Common Criteria) 인증은 IT 제품(하드웨어, 펌웨어, 소프트웨어)의 보안 기능성과 평가 과정에서 그 제품들에 적용되는 보증수단에 대한 공통의 요구 사항들을 제시함으로써, 독립적으로 수행된 보안성 평가의 결과들을 비교할 수 있도록 한다. 평가결과는 소비자가 IT 제품이 그들의 보안 요구를 충족시키는지 결정하는 데 도움을 줄 수 있다. 2. CC(Common Criteria) 인증관련 국내 관계 규정2.1. 법적근거2.1.1. 정보화촉진기본법 제15조 제15조 (정보보호시스템에 관한 기준고시등) ① 정보통신부장관은 관계기관의 장과 협의하여 정보보호시스템의 성능과 신뢰도에 관한 기준을 정하여 이를 고시하고, 정보보호시스템을 제조하거나 수입하는 자에 대하여 이 기준의 준수를 권고할 수 있다. ② 정보통신부장관은 유통중인 정보보호시스템이 제1항의 규정에 의한 기준에 미치지 못할 경우에 정보보호시스템의 보완 기타 필요한 사항을 권고할 수 있다. ③ 제1항의 규정에 의한 기준고시와 제2항의 규정에 의한 권고 기타 필요한 사항은 대통령령으로 정한다. 2.1.2. 정보화촉진기본법시행령 제16조 제16조 (정보보호시스템의 보완등) ① 정보통신부장관은 법 제15조 제1항의 규정에 의한 정보보호시스템의 성능과 신뢰도에 관한 기준을 정하거나 법 제15조 제2항의 규정에 의한 기준에의 합치여부를 평가 또는 인증하는 업무에 관한 세부사항을 정할 때에는 관계기관의 장과 미리 협의하여야 한다. 이 경우 관계기관의 장은 인증하는 업무에 관한 세부사항을 정하여 정보통신부장관에게 통보함으로써 협의에 갈음할 수 있다. ② 정보통신부장관은 정보보호시스템을 제조하거나 수입하고자 하는 자가 정보통신망이용촉진및정보보호등에관한법률 제52조의 규정에 의한 한국정보보호진흥원(이하 이 조에서보호진흥원이라 한다)의 장에게 동시스템이 법 제15조제1항 후단의 규정에 의한 기준에 합치하는지의 확인을 요청하는 경우 보호진흥원의 장으로 하여금 당해 정보보호시스템을 조사 또는 시험평가하게 할 수 있다. ③ 제2항의 규정에 의한 조사 또는 시험평가를 요청하는 자는 정보통신부장관이 정하는 수수료를 보호진흥원의장에게 납부하여야 한다. 2.1.3. 정보통신망 이용촉진등에 관한 법률 제52조 제52조(한국정보보호진흥원) 제3항 제4호에‘정보보호시스템의 연구•개발 및 시험•평가’, 제5호에 ‘정보보호시스템의 성능과 신뢰도에 관한 기준 제정 및 표준화 지원’등에 관한 사항을 규정 2.2. 평가기준 정보보호시스템 공통평가기준(정보통신부 고시 2005-25호) 2.3. 평가•인증지침 정보보호시스템 평가•인증지침(정보통신부 고시 2005-24호) 3. CC(Common Criteria) 인증관련 국내 기관과 역할

구 분	주관기관	주요 역할
정책기관	정보통신부	• 정보보호시스템 평가 관련 법 • 제도 정비 • 평가관련 기준 및 지침 고시 • 평가관련 정책 수립 • 정보보호시스템 개발자에 대한 평가기준 준수 권고
인증기관	국가정보원 IT보안인증사무국	• 인증업무 수행 관련 규정 수립 및 시행 • 인증서 발급 • 평가기관의 평가업무 감독 • 인증제품에 대한 사후관리 • 국제상호인정협정 관련 정책결정
평가기관	한국정보보호진흥원 보안성평가단	• 평가업무 수행 관련 규정 수립 및 시행 • 정보보호제품 평가 시행 • 평가방법론 및 기술개발 • 평가기준 개발 및 발간 • 국제상호인정협정 관련 연구 및 활동

[ 표 1 : CC(Common Criteria) 인증관련 국내 기관과 역할 ]4. CC(Common Criteria) 인증 등급별 산출물 소개

구 분	주관기관	주요 역할
EAL1	설치지침서	안전한 방식으로 TOE 가 설치되고 있음을 보장하도록 요구하기 위해 설치 절차 , 설치대상 시스템의 최소 요구사항 등을 서술
	기능명세서	TOE 의 모든 보안기능 , TSF 외부 인터페이스의 사용 목적 및 방법 서술
	일치성 분석서
	설명서	- 관리자설명서 : TOE 를 안전하게 관리하기 위해 - 전반적인 TOE 의 이해와 개념 등에 대해 설명 - 사용자설명서 : TOE 를 안전하게 사용하기 위해 - 관련 사항들과 사용 방법 등에 대해 설명
EAL2	EAL1 에서 요구하는 문서	N/A
	형상관리 문서	형상관리 관련 표준정책 , 절차 등을 상세히 서술
	배포문서	TOE 가 생산되어 사용자에게 배포시 무결성을 유지하기 위해서 진행되는 과정을 설명
	기본설계서	서브시스템에 대한 정의와 목적 , 제공하는 보안기능성 등을 서술
	시험서	시험계획과 시험절차 , 시험결과를 서술
	취약성분석서	TOE 가 의도된 환경 내에서 결함 및 약점이 존재하는지 취약성 분석을 서술
EAL3	EAL2 에서 요구하는 문서	N/A
	개발보안문서
EAL4	EAL3 에서 요구하는 문서	N/A
	검증명세서	보안기능을 구체적으로 표현하며 보안기능 요구사항을 구현하는지에 대해 서술
	상세설계서	보안 모듈의 인터페이스 , 모듈간의 상호관계 및 모듈과 인터페이스간의 상호관계를 정의하고, 모듈이 TOE 보안기능 요구사항을 반영하도록 서술
	보안정책모델명세서	TOE 자원에 대한 접근을 관리하는 보안정책의 특성을 정의하여 TSP 모델을 제공하고, 기능명세와 TSP 모델간의 일치성을 입증
	생명주기 정의문서	개발 및 유지 동안에 규칙적이고 체계적인 관리를 위해 사용된 보안대책과 정의된 개발도구를 서술
	개발도구 문서
	오용분석서	설명서 서술의 일관성, TOE 의 가능한 모든 운영모드의 서술 여부 확인 등 오용분석 결과를 서술
EAL5 EAL6 EAL7	EAL4 에서 요구하는 문서	N/A
	구조명세서
	비밀채널 분석서	보안정책을 위반 또는 우회하는 방법을 사용하여 특정 정보를 전송하는 임의의 비밀 채널이 존재하는지를 분석

[ 표 2 : CC(Common Criteria) 인증 등급별 산출물 소개 ]

5. CC(Common Criteria) 인증과 보안적합성검증 연관성 국내 관공서에 보안 제품을 납품하기 위해서는 국정원의 보안적합성 검증을 거쳐야 한다. 2007년 현재를 기준으로 보안적합성 검증을 통과하기 위해서는 CC 인증을 반드시 획득하여야 한다.

자료 등급	주관기관
가	유출 또는 손상되는 경우 각급 기관의 업무 수행에 중대한 장애를 초래하거나 개인 신상에 심각한 영향을 줄 수 있는 전산 자료
나	유출 또는 손상되는 경우 각급 기관의 업무 수행에 장애를 초래하거나 개인 신상에 영향을 줄 수 있는 전산 자료
다	유출 또는 손상되는 경우 각급 기관의 업무 수행 및 기관의 신뢰도에 경미한 영향을 줄 수 있는 전산 자료

[ 표 3 : 국가 정보 보안 기본 지침 제 31조 제 2항에 따른 자료 등급 ]

CC 인증 등급	보안 적합성 보안 등급	설 명
EAL 4	가	자료 등급 가 등급으로 분류된 국가정보통신망 소통 자료를 보호할 수 있는 수준임
EAL 3	나	자료 등급 나 등급으로 분류된 국가정보통신망 소통 자료를 보호할 수 있는 수준임
EAL 2	다	자료 등급 다 등급으로 분류된 국가정보통신망 소통 자료를 보호할 수 있는 수준임

[ 표 4 : CC 인증과 보안 적합성 검증 등급간 호환성 ]

6. CC(Common Criteria) 인증 국제 효력 국내에는 보안적합성 검증이 있듯 각 나라마다 관공서에 납품하기 위해 거쳐야하는 제도가 존재한다. 이때 제도에서 기본으로 요구하는 것이 CC 인증이다. CC 인증 회원국은 발행국과 수용국으로 분류되며 발행국에서 발행된 CC 인증은 발행국과 수용국에 동일하게 효력을 가진다.

구 분	설명	가입국명	가입년도
인증서 발행국 (12개국)	자국의 인증서를 타 회원국이 인정	미국	1998
		캐나다
		영국
		랑스
		독일
		호주	1999
		뉴질랜드
		일본	2003
		네덜란드	2006
		노르웨이
		한국
		스페인
인증서 수용국 (12 개국 )	인증서발행국의 인증서 인정	이탈리아	2000
		그리스
		핀란드
		이스라엘
		스웨덴	2002
		오스트리아
		터키	2003
		헝가리
		체코	2004
		싱가폴	2005
		인도
		덴마크	2006

[ 표 5 : CC 인증 회원국 분류 ]

7. CC 인증에 대한 의견 CC 인증을 획득하기 위해서는 많은 리소스가 투입된다. 개발 비용 이외에 평가 비용이 더 추가가 되는 것이다. 작은 업체가 수익이 보장되지도 않은 상태에서 보안 제품 개발 비외 인증 비용을 들이면서까지 CC 인증을 취득하기란 회사의 사활을 걸어야할 수도 있다. 이를두고 업계에서는 특정 분야에 대한 진입장벽으로 보는 견해도 있고 사실 그러하기도 하다. 
반면 CC 인증 이전엔 보안 제품을 구매한 소비자가 그 제품에 대한 여러가지를 위험을 책임져야 했다. 시장 경제에서 보면 이상한 구조인 것이다. 제품을 만든 회사에서 자신들의 제품에 대해 공인된 검증을 거쳐 시장에 내놓고 소비자는 안심하고 제품을 구매하서 사용하여야 하는 것이 시장 경제에 맞는 것이다. 올바른것 만이 살아남는것이 시장은 아니지만 세계적인 흐름이 제품을 만든 회사가 제품에 대한 보증을 책임져야하는 것이고 이는 현재 보안 제품에 국한하고 있지만 점차 확대되어 모든 소프트웨어/하드웨어에 적용될 것으로 판단된다.@