공통 평가 기준 (Common Criteria)
한 줄 정의: IT 제품의 보안 기능과 그 신뢰 수준을 표준화된 방법으로 평가·인증하기 위한 국제 표준(ISO/IEC 15408)입니다.
쉽게 풀면
보안 제품이 '얼마나 믿을 만한가'를 나라마다 제각기 평가하면 서로 인정하기 어렵습니다. 공통 평가 기준은 전 세계가 합의한 공통의 잣대로 보안 제품을 시험하고 등급을 매기는 국제 규격입니다. 여기서 받은 인증은 협약을 맺은 여러 나라에서 서로 인정됩니다.
왜 중요한가
공통 평가 기준은 보안 제품의 신뢰성을 객관적·국제적으로 검증하는 기준으로, 특히 공공·국방 조달에서 제품 선정의 근거가 됩니다. 평가 대상·요구사항·신뢰 등급을 정형화해 제품 간 비교를 가능하게 합니다.
논문에서는 이렇게 쓰입니다
"해당 방화벽 제품은 공통 평가 기준에 따라 EAL4 등급 인증을 획득하여, 정부 조달 요건을 충족하였다."
조금 더 깊게 보면
공통 평가 기준의 핵심 개념으로는 평가 대상(TOE), 특정 제품군에 요구되는 보안 요건 묶음인 보호 프로파일(PP), 제조사가 자기 제품의 보안 주장을 담은 보안 목표 명세(ST)가 있습니다. 신뢰 수준은 평가 보증 등급(EAL) 1에서 7까지로 표현되며, 숫자가 높을수록 더 엄격하고 형식적인 검증을 거쳤음을 뜻합니다. 다만 높은 등급이 '더 안전한 제품'을 뜻하는 것이 아니라 '보안 주장이 더 엄밀히 검증되었음'을 뜻한다는 점이 중요합니다.
주의할 점
EAL 등급이 높다고 제품 자체가 더 안전한 것은 아니며, 어디까지나 '명시된 보안 주장이 얼마나 엄밀히 검증되었는가'의 척도입니다. 평가 범위(TOE) 밖의 부분은 인증이 보장하지 않는다는 점도 유의해야 합니다.