- 국정원, DDoS 대응 장비 ‘별도 지정제품’ 등재키로, CC 없이도 공공사업 참여 가능

국가기관이 분산서비스거부(DDoS) 공격 대응 시스템을 긴급히 도입할 수 있도록 하기 위해 국가정보원이 빨라도 3~4개월은 걸리는 국제공통평가기준(CC) 평가·인증 조건을 풀기로 했다.

14일 국가정보원과 관련 업계에 따르면, 국정원은 현재 시장에 공급되고 있는 DDoS 대응시스템을 ‘별도 지정제품’으로 분류키로 해, 국가·공공기관에 암호기반제품 이외에는 CC인증을 받은 제품만 납품할 수 있도록 한 정보보호 제품 도입기준에서 사실상 제외했다.  

최근 발생한 DDoS 공격으로 청와대와 국방부, 행정안전부 전자민원(G4C), 국회 등 주요 국가기관 인터넷 사이트가 공격 대상이 되면서 CC인증 없이도 DDoS 대응시스템이 국가기관에 납품될 수 있도록 국정원이 자격조건을 완화해 빠르게 대응체계를 구축할 수 있도록 한 것이다.

이 소식이 알려지면서 DDoS 대응 전용 시스템을 공급하고 있는 국·외산 보안업체들은 국가정보원 IT보안인증사무국에 ‘별도 지정제품’ 신청을 준비하고 있다.

지난 5월 21일 국정원은 CC인증제품과 암호지정제품, 그리고 보안기능이 단순하거나 국가기관에 시급히 도입해야 하는 제품에 별도 지정제품으로 국가·공공기관이 도입할 수 있는 정보보호 제품 기준을 세분화했다.   

이에 따라 최근 발생한 DDoS 대란으로 긴급히 대응체계를 수립하려는 공공 시장에 다양한 DDoS 대응시스템이 공급될 수 있게 됐다.

현재 시장에 공급되고 있는 DDoS 대응 전용 장비 중 CC인증을 획득한 장비는 나우콤의 ‘스나이퍼 DDX’가 유일하다.

LG CNS가 공급 중인 ‘세이프존 XDDoS’와 모젠소프트가 공급 중인 ‘리오레이’ 제품은 현재 CC평가계약을 맺고 평가를 수행 중인 상태다.

하지만 이들 업체들도 CC평가를 중단하고 국정원에 자사 제품을 별도 지정받기 위해 신청서를 낼 것으로 보인다.

또한 라드웨어, 시스코시스템즈, 아버네트웍스, 인트루가드와 오는 하반기 DDoS 대응 전용 제품을 출시할 예정이었던 시큐아이닷컴까지 가세할 것으로 예상된다.

이들 업체가 국정원에 ‘별도 지정제품’을 신청하면 일단 목록에 등재한 후 우선적으로 DDoS 대응 관련 공공 사업에 참여할 수 있도록 한 뒤, 국가보안기술연구소에서 보안성 시험을 거칠 것으로 알려졌다.

이들 장비가 설치되는 시점에 해당 시스템 환경을 대상으로 보안적합성 검증도 실시하게 된다.

이에 따라 이달 초 조달청에서 행정안전부 전자정부지원사업으로 발주, 오는 23일 입찰을 개시할 예정인 ‘DDoS 대응체계 구축 사업’에는 CC인증 또는 평가계약된 제품 이외에 별도 지정된 DDoS 대응 장비들은 모두 참여하게 될 것이란 전망이 나오고 있다.

이 사업을 주관하고 있는 한국정보보호진흥원(KISA) 관계자는 “국정원이 DDoS 대응 제품을 별도 지정제품 목록으로 등재하도록 방침을 정한 것에 따라 이 사업 자격조건을 CC인증 장비로 한정했던 제안요청서(RFP)를 수정 공고하도록 조달청에 요청했다”고 말했다.

보안업계는 국가기관이 다양한 DDoS 대응 장비를 활용해 신속하게 DDoS 공격 방어체계를 수립할 수 있도록 한 이번 국정원 방침에 대체로 환영하는 분위기이다.

하지만 일각에서는 이같은 정부 차원의 급박한 신속한 후속조치 시행 방침에 우려를 나타내는 목소리도 나오고 있다. “급히 먹는 밥이 체할 수 있다”는 것.

한 업계 관계자는 “DDoS 공격 대란이 벌어진 후 정부는 긴급예산을 편성해 국가·공공기관이 서둘러 DDoS 대응 제품 설치를 추진하도록 유도하고 있는데, 제대로 보안성과 성능·기능을 검증하지 않는다면 나중에 더 큰 문제가 발생할 수 있다”며, “이를 막기 위해서는 제품 간 BMT(성능비교테스트)를 반드시 실시해 어느정도 옥석을 가려 국가기관에 도입할 수 있도록 해야 한다”고 강조했다.

한편, DDoS 공격 발생 이틀째인 지난 9일 국무총리실 주재로 열린 12개 부처 사이버테러 긴급 관계부처 차관회의에서 정부는 200억원의 추가예산을 편성해 연내 보건의료, 교육, 과학, 에너지, 증권, 특허, 관세, 방위산업, 국회 등 9개 분야에 DDoS 공격 대응 장비를 설치한다는 계획을 발표한 바 있다.

<이유지 기자> yjlee@ddaily.co.kr