KISA 수수료 체계 변경...민간 평가기관과 비용격차 더 벌어져
국내에서 CC인증평가를 수행하고 있는 곳은 한국정보보호진흥원(KISA)과 민간평가기관인 한국산업기술시험원(KTL) 및 한국시스템보증(KOSYAS) 등 3개소로, 이들이 인증평가를 해주고 받는 수수료는 큰 차이가 있다. 국내 인증의 경우 KISA에 비해 KTL과 KOSYAS의 수수료가 4배 가량 비싼 것으로 알려지고 있다.
KISA의 정보보호시스템 평가/인증지침에 따른 평가수수료 산정방식에 의하면, EAL4 등급의 CC인증 평가 시 고급기술자와 초급기술자 1명씩을 투입해, 6개월 간 평가한다 했을 때 약 1억 1천만원 정도의 비용이 산정된다. 이 비용은 대기업 신청자들에 해당하는 금액이고, 중소기업의 경우는 다르다. 중소기업 할인 혜택에 의해 약 2560만원의 수수료만 내면 된다. 또한 국제 인증보다 평가 기간이 짧은 국내 인증을 받고자 하는 중소기업의 경우 1500만원 정도의 수수료를 내면 된다.
이에 비해 KTL에서 국제 인증(6~7개월 소요 기준) 평가를 받을 때는 약1억 1천만원이, 국내 인증( 4~5개월 소요 기준) 평가를 받을 때는 6000~7000만원이 든다. 또 KOSYAS에서는 국제 인증 평가 시 1억 1천만원이, 국내 인증 평가 시 8000~9000만원이 든다.
KISA의 수수료가 두 민간기관보다 저렴한 것은 공공기관인 KISA에서 인증평가를 받을 경우 업체들은 중소기업 할인 혜택을 받을 수 있기 때문이다. 이처럼 수수료가 차이남에 따라 보안업체들은 너도나도 KISA에서 인증 받기를 원하고 있는데, 문제는 KISA의 인증 적체 현상이다. 빨리 인증을 받고 영업에 나서야 하는데 KISA의 인증 적체는 심각하고, 그렇다고 다른 민간기관을 선택하자니 비싼 수수료가 아까운 게 현 보안업체들의 고민이다.
정부가 두 민간기구에 CC인증을 맡긴 것은 바로 KISA의 인증 적체 현상을 해소하기 위해서였는데 수수료를 차등화 함으로써 보안업체들을 고민에 빠트린 셈이다. 정부의 의도는 비싼 급행료를 주고라도 빨리 인증을 받고 싶은 업체들은 민간 평가기관을 이용하라는 것이며, 동시에 민간기관의 수익성도 보장해주자는 것으로 풀이된다. 그러나 정부의 이런 의도는 당초 제2, 제3의 평가기관 설립취지인 '인증적체 해소'보다는 새로 생긴 민간기관의 수익성 확보에 더 급급함으로써 논란의 여지를 남기고 있다.
인증평가는 공공성을 우선 고려해야 하는 사업인 만큼 '3개 기관 모두의 수수료 체계를 동등하게 해야 옳다'는 지적을 받고 있는 것이다. 수수료 차등화가 자칫 돈 많은 업체들의 급행료로써 시장 선점을 좌우할 수도 있다는 우려를 깔고 있는 지적이다. 중소기업 할인 혜택을 두 민간 평가기관에도 적용해서 중소기업들에게는 똑같은 수수료를 받아야 한다는 것이다.
실제로 KTL의 경우는 국제CC인증 평가를 받을 때 해외규격 인증에 대한 산자부 지원을 받을 수 있다는 점을 내세우고 있으며, 중소기업에 대한 수수료 지원 방안을 현재 중기청과 협의 중이라고 밝혔다.
한편 현재 KISA는 13개 평가반을 운영하는데 비해, 한국시스템보증은 2개의 평가반을 운영 중이다. 또 KTL은 1개의 평가반을 운영하고 있으며 올해 내에 3~4개의 평가반을 추가한다는 목표를 세우고 있다. 두 민간평가기관들은 KISA에 대기하고 있는 제 품의 적체 현상 해소에 공동 대응하고, 평가기관의 내부 역량을 키우는데 집중한다는 계획이다.
한국시스템보증의 경우 KISA와 국내 인증 수수료차이가 4배 이상 나는 것을 고려, 국제 인증평가에 집중한다는 계획이다. KISA의 경우 국내/국제 CC 상관없이 인증 평가를 받기 위해선 많은 기간을 기다려야 하는데 국제CC인증을 받고자 하는 업체들이 신속히 인증을 받아 해외 진출을 할 수 있도록 돕는다는 게 한국시스템보증의 설명이다.
이 밖에도 KISA가 EAL1~EAL7 등급의 CC인증 평가를 수행할 수 있는 반면, 민간 인증평가기관들은 EAL4등급 이하의 인증평가만 수행할 수 있다. 따라서 향후 KISA의 경우 EAL5등급 이상의 고등급 국내/국제 인증에 주력할 것으로 예상된다.
관련기사
김정은 기자
jekim@itdaily.kr