CC인증 이란?

CC인증 관련 이미지

 

CC인증은 Common Criteria의 약어로 정보보호 제품의 우수성 척도를 의미합니다. 컴퓨터 보안을 위한 국제 표준으로 ISO/IEC 15408 이며, IT 제품이나 정보 시스템에 대해 정보 보안평가 인증을 위한 평가 기준이 됩니다. 정식 명칭은 국문으로 정보기술 보안평가를 위한 공통평가기준, 영문으로 Common Criteria for Information Technology Security Evaluation 이며, ISO / IEC 15408 표준 이름은 Evolution criteria for IT security JIS X 5070 으로 정보기술 평가기준 입니다. CC보안인증의 등급은 EAL1 (Evaluation Assurance Level)부터 EAL7까지 분류할 수 있으며, EAL7 등급은 핵무기 등 최고등급의 안정성이 요구되는 제품에서 사용될 수 있는 등급 수준을 의미합니다. 

 

CC인증 등급별 주요내용 및 국내, 국제용 인증평가 제출물 정리표

 

CC인증 목적은 네트워크나 정보보호제품에 대한 구매 이전에 해당제품에 대한 보안기능 보증에 대한 공통 요구사항 평가 결과를 확인하여 보안적으로 문제가 없는지 얼마나 인증기간이 남았는지 등에 대한 정보를 제공하는데 있습니다.

 

CC인증은 국내 CC인증과 국제CC인증으로 구분됩니다. 국내CC인증은 CCRA에서는 인정되지 않고 국내에서만 인정되고, 인증기관인 ITSCC를 통해 절차에 따라 등록되며, 유효기간은 3년입니다. 국제CC인증은 CCRA를 통해 절차에 따라 등록되며, 인증 유효기간은 5년입니다. CCRA는 Common Criteria Recognition Arrangement 의 약어로 CC인증서를 상호인정하기 위한 공통평가기준 상호인정협정을 의미합니다. 회원국으로는 호주, 캐나다, 프랑스, 독일, 인도, 이탈리아, 일본, 말레이시아, 네덜란드, 뉴질랜드, 노르웨이, 싱가포르, 스페인, 스웨덴, 터키, 미국, 어스트리아, 체코, 덴마크, 에티오피아, 핀란드, 그리스, 헝가리, 인도네시아, 이스라엘, 파키스탄, 폴란드, 카타르, Slovak Republic, 영국, 한국으로 구성되어 있습니다. 우리나라는 2006년 5월 CCRA 인증서 발행국 지위로 가입을 하였습니다.

 

국내 CC인증의 경우에는 IT보안인증사무국 웹 사이트를 통해서 IT제품에 대한 인증정보를 확인할 수 있고, 국제CC인증 제품의 경우에는 CCRA 홈페이지를 통해 확인할 수 있습니다. 국내CC인증의 평가 신청은 IT보안인증사무국 홈페이지에서 소개되는 평가기관(한국인터넷진흥원, 한국시스템보증, 한국아이티평가원, 한국정보통신기술협회, 한국정보보안기술원, 한국기계전기전자시험연구원) 중 선택하여 평가를 진행할 수 있습니다.

 

민간기관이나 개인사용 목적으로 구매 시, CC인증 제품 구매 여부는 강제성이 없으나 국가 및 공공기관에서 네트워크나 정보보호제품을 도입하고자 하는 경우, 국가정보원의 보안적합성 검증 절차를 따라 CC인증 된 제품을 구매하여야 하며, 제품의 인증만료일을 꼭 확인하실 것을 권고합니다.