공통 기준(Common Criteria, ISO/IEC 15408, 테스트 방법론은 ISO/IEC 18045에 명시됨)은 IT 제품의 보안을 평가하기 위한 국제 표준입니다. 제조사는 자사 제품이 무엇을 보호하며, 어떤 공격자를 차단해야 하는지 명시합니다. 이후 독립적인 시험 기관이 해당 주장을 검증하고, 인증 기관이 인증서를 발급합니다. 정부, 신원 확인, 결제, 자동차 분야의 구매자들은 수십 년 동안 이 표준을 활용해 왔습니다.

EUCC는 EU 사이버보안법에 따른 규정 (EU) 2024/482에 명시된 유럽 공통 기준(Common Criteria) 제도입니다. 이 제도는 2025년 2월 27일부터 적용되며, 이전에는 SOG-IS 협정을 통해 연계되었던 개별 국가별 제도를 EU 전역에서 인정받는 단일 제도로 대체합니다. 이 제도의 기반이 되는 표준은 동일합니다. 변경된 점은 시험소의 인증 방식, 인증서에 기재되는 보증 내용, 그리고 인증서 발급 후 이행해야 할 의무 사항입니다.

아니요. 국가 인증 제도는 2025년 2월 27일을 기해 신규 신청을 중단했으며, 2026년 2월부터는 인증서 발급을 아예 할 수 없게 되었습니다. 유럽에서 발급되는 모든 새로운 공통 기준(Common Criteria) 인증서는 EUCC 인증서입니다. 이미 발급된 인증서는 유효하며, 해당 인증서를 발급한 제도의 규정에 따라 제한적인 유지 관리가 여전히 가능합니다.

이 인증서는 유효 기간이 만료될 때까지 유효합니다. 신제품, 새 버전 또는 갱신을 위해 새로운 인증서가 필요할 때는 EUCC에서 발급받게 됩니다. 기존 인증서는 EUCC가 추가한 내용과 대조하여 검토를 마친 후 이전할 수 있습니다. 실제 작업은 대개 인증 획득 후 이행해야 할 새로운 의무 사항과, 최초 평가 이후 변경된 최신 기술 문서를 다루는 데 있습니다.

이는 AVA_VAN 등급에 대응합니다. ‘상당(Substantial)’은 AVA_VAN.1 및 2에 해당하며, ‘높음(High)’은 AVA_VAN.3, 4, 5에 해당합니다. 차이점은 제품이 어떤 공격자를 대상으로 테스트되는지에 있으며, 이에 따라 테스트의 심도뿐만 아니라 테스트 수행이 허용되는 주체도 달라집니다. ‘높음’ 등급의 경우, 테스트를 수행하는 연구소는 국가 당국의 승인을 받아야 하며, 해당 당국이 인증서 발급을 지원합니다.

네, 표준 및 유럽 외 지역의 인증 체계에서도 마찬가지입니다. EUCC에 따라 귀사의 인증서에는 AVA_VAN 수준과 연계된 ‘상당(substantial)’ 또는 ‘높음(high)’ 등급이 표기되며, EAL 등급도 함께 기재될 수 있습니다. 고객사나 조달 문서에 여전히 EAL 등급이 요구되는 경우, 당사가 이를 EUCC의 해당 등급에 매핑하는 데 도움을 드릴 수 있습니다.

기술 도메인은 특정 제품 범주에 적용되는 공통 규칙집으로, 공격의 등급 지정 및 적용 방식을 다룹니다. EUCC는 SOG-IS에서 정의한 두 가지 항목, 즉 스마트 카드 및 유사 장치와 보안 박스가 장착된 하드웨어 장치를 별도로 관리합니다. AVA_VAN.4 또는 5 등급 인증을 획득한다는 것은 일반적으로 기술 도메인이나 인증된 보호 프로파일 내에서 작업함을 의미하므로, 높은 등급을 목표로 한다면 이 부분을 조기에 확정해야 합니다.

아닙니다. 어떤 시험소도 달리 말해서는 안 됩니다. 키사이트는 공인된 ITSEF입니다. 저희가 평가를 수행하고 평가 기술 보고서를 작성합니다. 인증서는 인증 기관에서 발급하며, 국가 당국도 높은 수준에서 관여합니다. 저희는 전 과정에 걸쳐 해당 기관과 협력하며, 귀사를 대신해 기술적 협의 과정을 처리해 드립니다.

해당 제도의 의무를 계속 이행하는 한 최대 5년까지 유효합니다. 의무를 이행하지 않거나 인증된 제품에서 심각한 취약점이 발견될 경우, 인증서가 정지되거나 취소될 수 있습니다.

대부분의 팀이 이 부분을 과소평가합니다. 인증을 받은 제품에서 새로운 취약점이 발견되는지 주시하고, 이를 처리하며, 해당 인증 제도의 기한 내에 인증 기관에 보고해야 합니다. 또한 변경 사항이 보안 주장에 영향을 미칠 경우 재평가를 요청해야 합니다. 인증은 더 이상 단순히 통과하고 끝내는 것이 아닙니다. 향후 5년 동안 인력과 예산을 투입해야 하는 지속적인 과정입니다.

도움이 되기는 하지만 모든 것을 다 다루지는 않습니다. EUCC 인증을 취득하면 귀사의 제품이 공통기준(Common Criteria) 평가에서 실제로 다루는 CRA 의무 사항을 준수한 것으로 간주되며, 관련 증거 자료도 상당 부분 중복됩니다. 그러나 제조업체로서 CRA가 요구하는 나머지 사항, 특히 기술 문서, SBOM, 보고 의무(취약점이 적극적으로 악용되고 있을 때 제공해야 하는 조기 경보 포함)는 포함되지 않습니다. 두 가지를 차례로 진행하는 것보다 함께 계획하는 것이 비용 면에서 더 효율적입니다. 당사의 EU 사이버 복원력법(EU Cyber Resilience Act) 보안 평가 서비스를 확인해 보십시오.

사전 평가는 정식 캠페인에 앞서 실시하는 테스트로, 문제를 수정하는 데 드는 비용이 적을 때 이를 파악하기 위한 것입니다. 이 과정은 필수 사항은 아닙니다. 특히 첫 인증이나 새로운 설계의 경우, 인증 일정을 차질 없이 진행하는 데 있어 우리가 아는 가장 신뢰할 수 있는 방법입니다.

아래 계층의 인증 결과를 반복하지 않고 이를 기반으로 하는 평가 방식: 인증된 칩 위의 플랫폼, 인증된 플랫폼 위의 애플리케이션. 이는 처음부터 다시 시작하는 것보다 훨씬 비용이 적게 듭니다. 단, 한 가지 조건이 있습니다. 바로 해당 계층이 아래 계층의 인증서와 함께 제공된 지침을 따라야 한다는 점입니다. 이러한 프로젝트가 지연될 때, 그 원인은 거의 항상 여기에 있습니다.