암호모듈 검증제도는 「사이버안보 업무규정」 제9조와 「전자정부 시행령」 제69조 등에 따라 비밀로 분류되지 않은 중요 자료를 보호하기 위해 국가·공공기관에서 도입하는 암호모듈의 안전성과 구현 적합성을 검증하는 제도입니다.
암호모듈은 소프트웨어, 하드웨어, 펌웨어 또는 이들을 조합한 형태로 구현될 수 있으며, 만족하는 보안요구사항에 따라 보안수준 1부터 4까지 부여되며, 가장 높은 단계가 보안수준 4입니다. 보안수준 3이상의 암호모듈은 물리적 침투 탐지 등 고수준의 보안기능을 제공합니다.
검증필 암호모듈은 기본적인 암·복호화 기능 뿐만 아니라 암호가 안전하게 사용될 수 있도록 중요보안매개변수 관리 등 추가적인 보안기능도 탑재하여 정보의 유출, 위·변조, 훼손 등을 방지하기 위한 기밀성·무결성·인증·부인방지 등의 기능을 제공합니다.
암호모듈 시험·검증은 국제표준에 기반한 암호모듈 시험요구사항(KS X 24759:2015)에 따라 보안요구사항(KS X ISO/IEC 19790:2015) 만족 여부를 확인하는 과정입니다. 암호모듈 시험·검증에는 국제표준 이외에도 별도 공지한 시험방법론 등이 적용될 수 있습니다. 세부 절차는 「암호모듈 시험 및 검증지침」을 적용합니다.
※ 암호모듈 검증제도 관련사항은 ‘자주 묻는 질문’을 참고하시고. 국가정보원 111 콜센터를 통해 문의하시기 바랍니다.
국가정보원은 아래와 같은 제품에 대해서는 국가·공공기관 도입기준으로 검증필 암호모듈 탑재를 필수로 요구하고 있습니다.
검증필 암호모듈 탑재가 필수인 제품 유형 들의 도입기준 상세 사항은 ‘보안적합성 검증’ 페이지에서 확인할 수 있습니다. 아울러 각급기관에서 자체 규정·방침에 따라 검증필 암호모듈 탑재를 별도로 요구하는 경우가 있으니 이에 대해서는 해당 기관을 통해 안내를 받으시기 바랍니다.
| 분류 | 제품군 | 비고 |
|---|---|---|
| 정보보호시스템 유형 | DB암호화 | 상세 도입 기준은 반드시 보안적합성 검증제도 참고 |
| 통합인증(SSO) | ||
| 문서 암호화(DRM 등) | ||
| 가상사설망(VPN) | ||
| 소프트웨어기반 보안USB | ||
| 호스트자료 유출방지 | ||
| 양자암호통신장비 유형 | 양자키분배장비 | 보안기능확인서 신청 시 적용 권고 상세 도입 기준은 반드시 보안적합성 검증제도 참고 |
| 양자키관리장비 | ||
| 양자통신암호화장비 | ||
| 암호가 주 기능인 제품 유형 | 메일/구간/디스크·파일 암호화 | |
| 하드웨어 구간 보안 토큰 | ||
| 기타 암호화 |
※ 정보보호시스템 등 보안기능이 탑재된 IT제품 유형의 도입 기준은 일부 예시만 표시한 것이므로, 상세사항은 반드시 ‘보안 적합성 검증’ 페이지에서 확인하시어 준비하시기 바랍니다.
국가·공공기관은 운용 중인 암호모듈의 검증효력이 만료되거나, 개발업체의 사정으로 더 이상의 유지보수 또는 기술지원이 불가할 경우, 해당 기관의 책임 하에 암호모듈의 안전성을 확인하고 운용해야 합니다.
암호모듈 개발업체가 검증효력이 만료되기 전에 암호모듈의 형상을 수정·보완하여 재검증을 신청하는 경우, 검증필 암호모듈 목록이 갱신되므로 업데이트 된 암호모듈로 교체 운용하는 것을 권고합니다.
※ 시험기관은 신청기관의 제출물에 대한 수정·보완을 요청할 수 있습니다.
※ 시험기관은 원활한 시험 수행과 제출물의 이해를 위하여 신청기관에 시험환경 지원과 설명회 개최를 요청할 수 있습니다
※ 시험기관은 계약 전 시험이 가능하지 않다고 판단할 경우, 시험계약을 거부할 수 있습니다.
※ 시험기관은 신청기관이 특별한 사유 없이 제출물 보완을 지연하는 등 시험을 계속 진행할 수 없다고 판단되는 경우 시험계약을 중지할 수 있습니다.
※ 시험기관은 암호알고리즘 구현 적합성 검증을 위한 자동화 시험결과를 신청기관에 요청할 수 있습니다.
※ 시험기관은 신청기관의 암호모듈 개발 환경 보안관리 실태를 점검할 수 있습니다.
※ 신청기간은 암호모듈 검증효력 연장을 위해 재검증을 신청할 경우 검증효력 만료 6개월 이전에 신청해야 합니다.
※ 검증필 암호모듈에 심각한 취약성이 발견된 경우 시험기관의 요청에 의해 재검증이 수행될 수 있습니다. 이때 신청기관은 해당 취약점을 도입기관에 즉시 고지하여야 하며, 취약점이 보완될 때까지 암호모듈 검증효력이 중지될 수 있습니다.
※ 시험기관은 암호모듈 형상 변경이 일정 범위를 벗어나거나 운영환경 등 여타 상황에 따라 재검증 시험으로는 안전성 제공이 어렵다고 판단될 경우 신규 시험으로 처리할 수 있습니다.
※ 암호모듈 형상 변경 범위에 따라 검증효력 유효기간 연장 여부가 결정되며, 기타 자세한 사항은 ‘암호모듈 시험 및 검증지침’을 참고하시기 바랍니다.
암호모듈 시험기관은 현재 총 5개 기관입니다.
※ 암호모듈 검증제도 관련사항은 ‘자주 묻는 질문’을 참고하시고, 시험기관을 통해 안내 받으시기 바랍니다.
| 시험기관명 | 주소 및 연락처 | ||||||||
|---|---|---|---|---|---|---|---|---|---|
공공시험기관 |
|||||||||
 |
|
||||||||
 |
|
||||||||
민간시험기관 |
|||||||||
 |
|
||||||||
 |
|
||||||||
 |
|
||||||||
