• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2015년도 추계학술발표대회
• /
• pp.832-834
• /
• 2015

최근 CCRA(Common Criteria Recognition Arrangement) 협정서 개정에 따라 공통평가기준인 CC(Common Criteria) 평가제도에 변화가 생기고 있다. 현재의 CC 평가제도가 가지는 한계를 보완하고자 PP(protection profile)를 대신하는 cPP(collaborative protection profile)가 개발되었는데, 기존의 폐쇄적으로 운영되던 PP 개발 프로세스와 달리 cPP 개발에는 CCRA 회원국의 여러 기관 및 기업이 적극적으로 개발에 참여할 수 있다. 따라서 현재 세계 각국에서 cPP 개발에 관한 논의가 활발히 진행되고 있으며 세분화된 연구도 요구되고 있다. 본 논문에서는 기존의 CC 평가제도가 가지는 한계를 살펴보고 이러한 한계를 극복하기 위한 cPP의 등장 및 개정되는 새로운 CC 평가제도의 운영을 분석한다.

• 정보보호학회논문지
• /
• 제24권1호
• /
• pp.171-182
• /
• 2014

CC는 평가보증등급에 따라 정보보호제품의 보안취약점을 최소화할 수 있도록 지원하는 제도이다. 소프트웨어 개발보안은 소프트웨어의 개발 생명주기에서 보안취약점을 발생시킬 수 있는 보안약점을 제거하는 방법이다. 하지만 CC는 정보보호제품이 인증된 시점 이전의 보안취약점에 대해선 고려하지만 인증된 시점 이후에 발생할 수 있는 새로운 보안취약점에 대해서 고려하지 않기 때문에 정보보호제품의 안전성과 신뢰성에 대한 문제가 발생할 수 있다. 또한, 국가 및 공공기관의 정보화사업에 도입되는 정보보호제품은 CC와 소프트웨어 개발보안을 모두 만족시켜야 되기 때문에 개발자, 평가자에게 부담이 된다. 따라서 본 논문은 CC에서 소프트웨어 개발보안을 활용해야하는 당위성을 검증하기 위해 CC와 소프트웨어 개발보안이 제거할 수 있는 보안약점 및 보안취약점의 상관관계를 비교하였다. 또한, CC에서 소프트웨어 개발보안을 활용하기 위한 평가방법을 제안하여 정보보호제품의 안전성과 신뢰성을 극대화하고 개발자와 평가자의 부담을 최소화하였다.

• 한국전자거래학회지
• /
• 제10권3호
• /
• pp.67-83
• /
• 2005

CC(공통평가기준: Common Criteria, ISO/IEC 15408)는 국가간에 서로 다른 평가기준을 적용하여 평가함으로써 발생되는 문제점을 해결하기 위해 1999년 6월에 발표되었으며, 현재 공식버전은 v2.2이며 드래프트 버전으로 v3.0이 나와 있다. 국내외적으로 CC기반의 평가 수요가 증가되고 있으며 이에 따라 평가시장 창출이 예상되고 실제 평가지침 및 평가활동의 자동화, 평가프로젝트의 관리가 필요하다. 본 논문에서는 평가자원(예: 제출물, 평가기준, 평가자 등)을 관리하고 평가환경에서 효율적으로 이용 가능한 CC 기반 보안평가관리시스템 ( CC-SEMS: CC based Security Evaluation Management System)을 제시하였다. CC-SEMS는 프로젝트관리. 워크플로우관리, 프로세스관리의 어플리케이션을 통합한 것이며 제출물, 평가업무 프로그램, 관리 객체, 평가워크플로우 엔진으로 구성되어 있다.

• 디지털콘텐츠학회 논문지
• /
• 제5권2호
• /
• pp.95-100
• /
• 2004

정보보호 수준을 향상시키기 위해 정보보호시스템 평가$\cdot$인증에 대한 필요성이 높아지고 있으며 선진국에서는 정보화 역기능 위험 방지를 위해 제도적 일환으로 자국의 환경에 적합한 평가$\cdot$인증제도를 마련하여 정보보호시스템을 평가해 오고 있다. 그러나 상이한 평가기준의 적용으로 인한 시간 및 비용 소모의 문제점이 발생되었으며 이를 해결하기 위한 노력으로 현재 정보보호 시스템 평가를 위한 상호인증을 위해 공통평가기준(CC : Common Criteria)과 공통평가방법론(CEM : Common Evaluation Methodology)을 사용하고 있다. 선진화된 평가제도의 조기 정착과 효율적인 평가 준비 및 수행방법을 위한 정보보호시스템 평가 참여자들의 평가기준 및 방법론에 대한 유연하고 능동적인 해석이 필요하다.

• 한국전자거래학회지
• /
• 제17권4호
• /
• pp.57-68
• /
• 2012

IT 정보보호 제품의 기능과 기술이 다양해지고 복잡해짐에 따라 제품 기능을 표준화할 필요가 생겼다. 이에 따라 2000년 정보보호 제품의 보안 기능을 표준화한 CC(Common Criteria)인증 평가제도가 국내에 도입되었다. CC인증은 정보보호 솔루션이 갖추어야 할 보안기능 요구사항과 기능 명세의 문서화에 대해 엄격한 논리적 틀을 요구한다. CC인증을 도입한 이래 10년 이상이 지나는 동안 많은 정보보호 제품이 CC인증이 요구하는 사항에 따라 기능을 개발해왔다. CC인증의 실무자들과 심사 평가자들은 CC인증이 정보보호제품에 긍정적 효과를 주고 있다고 생각한다. 따라서 CC인증이 국내의 보안 솔루션에 미친 긍정적 효과에 대해 실증적으로 증명할 필요가 있다. 본 연구는 CC인증이 요구하는 보안의 기본적 요구사항을 고려하지 않고 제품을 개발했을 경우와 고려하여 개발한 경우를 비교 분석한다. 본 연구에서는 CC인증 효과의 비교 분석을 위해 국내 보안 솔루션 벤더들을 대상으로 설문지 기법을 사용하였다. 설문지 결과를 바탕으로 CC인증의 기본적 요구사항이 보안 솔루션에 끼친 긍정적 효과를 실증적으로 분석함으로써 CC인증이 정보보호제품 자체의 보안성 강화에 긍정적인 효과를 끼치고 있음을 입증한다. 본 연구는 국내에서 CC인증 효과의 실증조사라는 점에서 그 의의를 가진다.

• 정보보호학회지
• /
• 제13권5호
• /
• pp.1-15
• /
• 2003

IT(Information Technology) 제품의 보안 기능을 평가하기 위한 서로 다른 체계를 이용함으로써 평가를 위한 이중의 비용 소요와 추가의 시간 소모 등의 문제점을 해결하기 위하여, 미국, 영국 등의 선진국들은 국제간에 상호 인정이 가능한 공통평가기준(CC : Common Criteria)에 대한 연구를 활발히 수행하고 있고, CCRA(Common Criteria Recognition Agreement)에 가입한 나라에서 평가된 제품은 다른 나라에서 재평가 과정을 거치지 않고 상호 인정하는 CCRA 라는 평가를 위한 국제 조약을 체결하여 시행 중에 있다. 그러나 CC는 다양한 보안 제품에 대하여 시행되고 있고, 표준안의 분량이 매우 많을 뿐만 아니라 복잡하며, 개발자와 평가자, 그리고 이용자 모두가 평가를 위한 기술적, 관리적, 절차적 과정의 이해가 무엇보다도 중요하다. 따라서 CC 주요 주체에 대한 평가 교육의 필요성이 매우 중요하게 대두되고 있다. 또한 우리 나라도 국제공통평가기준 인정 협정인 CCRA로의 가입을 준비중에 있고, 다양한 제품으로 평가제도의 확대를 준비하고 있다. 본 논문에서는 각 나라의 CC 교육 과정을 분석하고, 현재 CC 체제하에서 평가된 정보보호 제품들의 특성을 분석하며, 이를 바탕으로 우리의 평가 교육 현실을 살펴본 후, 국내 CC 교육 프레임워크와 실천 방안을 제시한다.

• 정보보호학회논문지
• /
• 제14권5호
• /
• pp.79-95
• /
• 2004

정보보호 제품 평가를 위한 국제 공통평가기준(CC: Common Criteria)은 국제상호인정협정(CCRA: Common Criteria Recognition Arrangement)에 가입된 국가들 간에 자국에서 평가된 제품에 대해 다른 국가에서 재평가 없이 상호인정이 가능한 평가 기준이다. 본 논문에서 우리는 국내 정보보호 제품을 분류하기 위하여 CC 체제하에 평가된 미국, 영국, 호주의 평가된 정보보호 제품을 분석하였고, CC 평가를 위한 정보보호 제품군을 정의하였다. 그리고 주요 정보보호 제품에 대한 국내외 시장 동향과 국내 산업체 의견 및 수요 조사를 위하여 설문지를 만들어서 설문을 수행하였고, 그 결과를 취합하여 분석하였다. 그 결과 우리는 향후 5년간 국내에서 우선적으로 평가가 필요한 차기 정보보호 평가대상 제품 15개를 선정하였고, 선정된 정보보호 제품에 대한 특성과 장단점을 분석하였다. 본 논문의 결과는 우리나라 실정에 적합한 정보보호 제품 개발 및 평가를 위해 활용 가능하고, 차기 평가대상 확대시 정책 자료로 활용될 것으로 기대된다.

• 융합보안논문지
• /
• 제5권4호
• /
• pp.7-18
• /
• 2005

현재, ISO/IEC SC27 WG3에서는 공통평가기준 개발위원회(CCDB)를 주축으로 CE V3.0의 개정작업을 2008년까지 국제표준을 목표로 적극적으로 진행하고 있다. 따라서 CC V3.0의 변경내용을 분석하여 국가적 차원에서 CC V2.*에서 V3.0의 변화에 철저하게 대비할 필요가 있다. 이에 따라 본 논문에서는 현재 개정 중인 CC V3.0의 개선내용을 CC V3.0 개용내용 요약, 제1부-소개 및 일반모델 개정내용, 제2부-보안기능컴포넌트의 개정내용, 제3부-보안보증컴포넌트의 개정내용 등 크게 네 개의 영역으로 나누어 정밀분석하고 CC V3.0의 개선사항 및 변경내용에 대해 상세하게 설명한다.

• 융합보안논문지
• /
• 제8권2호
• /
• pp.7-13
• /
• 2008

국내외적으로 보안제품 평가를 위해서 공통평가기준(CC)을 제정하여 제품을 평가한다. 이와 같은 기준은 제품의 복잡성과 함께 버전이 변화되어 제품 평가의 기준을 확대하고 있다. 하지만 개발자 입장에서 제품을 설계할 때 보안성 평가 지침에 적합한 형태로 접근하기가 매우 어렵다는 문제점이 있다. 이는 개발자에게 제시되는 평가기준이 불명확하기 때문이다. 이에 본 연구에서는 개발자를 위한 합성제품 평가 지침을 제시함으로써 정보보안 제품을 설계단계에서부터 보안 제품 기준을 명확히 도입할 수 있도록 방안을 제시하고자 한다.

• 한국IT서비스학회:학술대회논문집
• /
• 한국IT서비스학회 2003년도 추계학술대회
• /
• pp.467-478
• /
• 2003

국제공통평가기준(Common Criteria)2.1을 기반으로 한 국제공통평가인정협정(Common Criteria Recognition Arrangement)은 21세기 정보보호 산업 전반에 수출입 장벽 및 국제적 표준으로 자리매김 할 것이다. 이미 국제공통평가상호인정협정(CC-MRA)에서부터 적극적으로 기술을 축적하고 세계적 표준을 선도한 미국, 캐나다, 영국, 독일, 프랑스 등의 주요 선진국들은 국제공통평가인정협정 인증서발행국(CCRA-CAP)으로서의 우월적 지위를 확보한 상태이다. 이에 본 연구는 CCRA-CAP국가들에 대한 스킴(Skim) 분석을 통하여 우리나라 의 스킴 개발이 국제적인 선도국과 비교하여 어떤 차이를 보이는지와 우리나라의 문제점을 도출해보고자 한다. 이를 통하여 향후, CCRA-CAP국가로 세계적 평가, 인증체계의 선도국이 되기 위한 준비과정에서 얻을 수 있는 통찰력과 시사점을 제공하고자 한다. 본 연구에서는 여러 스킴 중 정보보호시스템 평가, 인증 제도 관련 기관 책임 및 임무에 관한 1번 스킴을 주요 논의의 대상으로 하여 분석 연구한다.