최저가 낙찰제 금지로 성능 경쟁… 2019년까지 8100억 투입
정보보호 산업을 육성하고 사이버 안심국가를 실현하겠다는 K-ICT 시큐리티 발전전략에서 특히 주목되는 부분은 산업 활성화에 직접적인 도움을 줄 수 있는 '최저가 낙찰제 금지' 및 '보안성 지속 서비스 대가' 신설, 지급이다.
그간 기업은 물론이고 정부 기관까지 개인정보 유출이나 사이버 테러 등 일단 '사고'가 발생해야 보안시스템 도입의 필요성을 자각하는, 소극적이고 수동적인 보안 태세로 일관해 왔다. 관련 업계는 보안 투자에 인색한 국내 분위기 때문에 사이버 방어에 대한 제 값을 받질 못했다. 시스템을 뚫고 들어오려는 해커 범죄집단의 기술은 갈수록 지능화하는데, 보안 업계는 기술개발 투자 여력이 많지 않았다. 때문에 외국 기업과의 기술격차마저 벌어지는 상황이다. 회사를 정상 유지하기 위해 업계는 한정된 물량의 공공기관 발주 사업에 몰려들었고, 급기야 저가 출혈경쟁이 만연한 상황이 됐다.
이번에 미래부가 추진하는 정책은 최소한 공공분야에서만큼이라도 보안 투자에 적극 나서고, 예산을 넉넉하게 배정해 보안 시스템 구매 물량에 대한 '제 값'을 주겠다는 내용을 담고 있다. 이러한 방침은 현 정보보호 업계의 '영세 경영 악순환' 고리를 끊고 산업 경쟁력을 키울 수 있는 단초가 될 것으로 보인다. 현재 국내 보안업체의 매출은 절반 가까이 공공부문에서 나오고 있기 때문에 공공 구매가 정상화 되는 것만으로 관련 산업에 미치는 영향이 적지 않다.
이를 위해 미래부는 먼저 보안성 지속 서비스 대가를 예산 항목에 신설해 업체에게 별도 지급키로 했다. 보안성 지속 서비스란 매일, 매시각 공격 패턴이 달라지는 침해 상황을 반영해 보안 시스템을 끊임없이 업그레이드 하고 항상 최신의 기술로 사이버 방어 체계를 유지할 수 있도록 하는 서비스다. 일반 소프트웨어나 IT시스템의 경우 제품의 결함이나 업그레이드에 대한 유지보수 조치가 중심이지만 정보보호 제품은 해킹이나 악성코드 등 외부요인에 대한 '사후 대응' 조치가 중심이기 때문에 별도의 비용이 수반된다. 이에 정보보호 시스템 구축과 유지보수 외에 별도로 보안성 지속 서비스 대가를 신설, 지급해 최신의 보안 상태를 유지토록 하겠다는 얘기다.
정한근 미래부 정보보호정책관은 "기존 제품 유지보수료 외에 별도로 10% 가량의 추가 서비스료를 받을 수 있을 것"이라면서 "정부 공공기관이 보안성 지속 서비스의 필요성을 자각하고 예산 편성을 할 수 있도록 '정보보호 서비스 대가 산정 가이드라인'을 마련해 보급할 예정"이라고 설명했다.
미래부는 정보화 사업 시행지침에 보안성 지속 서비스 대가에 대한 예산 편성 내용을 반영하는 한편, 기획재정부와 협의해 내년 예산안 편성 지침에도 관련 내용이 포함될 수 있도록 추진하고 있다.
최저가 낙찰제 등 기존 가격경쟁 중심의 정보보호 제품 시장을 성능 중심의 시장으로 전환하겠다는 것도 이번 발전전략의 핵심 내용이다. 한국인터넷진흥원을 통해 매년 보안제품을 품목별로 선정, '정보보호 성능평가'를 실시하고 이를 우수제품 선별 기준으로 정부 기관에 제시하겠다는 것이다. 업체간 가격경쟁 대신 기술 경쟁을 유도해 업계 자생력을 키우고 궁극적으로 국가 사이버 대응 역량을 배양하겠다는 의도다.
정현철 인터넷진흥원 침해사고분석단장은 "공공기관이 정보보호 제품을 구매하고 시스템을 구축할 때는 '가격'이 구매 결정 요소가 아니라 '성능'이 판단 기준이 되어야 한다. 이는 국가 사이버 안보를 위해서도 꼭 필요한 부분"이라면서 "그간 성능평가 결과에 따른 입찰, 계약 과정에 대한 기초 작업을 해 왔고 올해부터 본격 확대해 실시할 것"이라고 강조했다.
현재 인터넷진흥원은 백신 등 두 종류의 보안 제품에 대해 시범적으로 성능평가 선별기준을 마련, 올해 안에 본격 성능평가를 시행할 계획이다. 성능평가 결과는 조달시 발주기관에 제공해 우수제품 선택을 유도한다는 방침이다. 성능평가 대상 제품 역시 매년 확대해 나갈 계획이다.
다만 정부의 이번 전략은 가이드라인 등 법적 강제력이 없는 '권고조치' 수준이어서 이행력에 의문이 든다는 지적도 나온다. 실제로 미래부가 소프트웨어 산업 발전을 위해 앞서 시행하고 있는 소프트웨어 유지보수요율 인상 정책의 경우 가이드라인에 그쳐 시행 공공기관이 많지 않은 상황이다. 정한근 국장은 "비록 가이드라인이지만, 수요 기관이 이를 지킬 수 있도록 다각적으로 노력하겠다"면서 "공공기관 경영평가에 정보보호 투자 및 성능평가, 보안성 지속 서비스 대가 지급 등의 요소를 반영해 자율적으로 준수할 수 있도록 유도하겠다"고 강조했다. 이어 그는 "현재 국회에 계류중인 정보보호산업진흥법 입법을 통해 별도 예산 편성 등 강력한 정책 뒷받침이 되도록 최선을 다하겠다"고 덧붙였다.
강은성기자 esther@
그간 기업은 물론이고 정부 기관까지 개인정보 유출이나 사이버 테러 등 일단 '사고'가 발생해야 보안시스템 도입의 필요성을 자각하는, 소극적이고 수동적인 보안 태세로 일관해 왔다. 관련 업계는 보안 투자에 인색한 국내 분위기 때문에 사이버 방어에 대한 제 값을 받질 못했다. 시스템을 뚫고 들어오려는 해커 범죄집단의 기술은 갈수록 지능화하는데, 보안 업계는 기술개발 투자 여력이 많지 않았다. 때문에 외국 기업과의 기술격차마저 벌어지는 상황이다. 회사를 정상 유지하기 위해 업계는 한정된 물량의 공공기관 발주 사업에 몰려들었고, 급기야 저가 출혈경쟁이 만연한 상황이 됐다.
이번에 미래부가 추진하는 정책은 최소한 공공분야에서만큼이라도 보안 투자에 적극 나서고, 예산을 넉넉하게 배정해 보안 시스템 구매 물량에 대한 '제 값'을 주겠다는 내용을 담고 있다. 이러한 방침은 현 정보보호 업계의 '영세 경영 악순환' 고리를 끊고 산업 경쟁력을 키울 수 있는 단초가 될 것으로 보인다. 현재 국내 보안업체의 매출은 절반 가까이 공공부문에서 나오고 있기 때문에 공공 구매가 정상화 되는 것만으로 관련 산업에 미치는 영향이 적지 않다.
이를 위해 미래부는 먼저 보안성 지속 서비스 대가를 예산 항목에 신설해 업체에게 별도 지급키로 했다. 보안성 지속 서비스란 매일, 매시각 공격 패턴이 달라지는 침해 상황을 반영해 보안 시스템을 끊임없이 업그레이드 하고 항상 최신의 기술로 사이버 방어 체계를 유지할 수 있도록 하는 서비스다. 일반 소프트웨어나 IT시스템의 경우 제품의 결함이나 업그레이드에 대한 유지보수 조치가 중심이지만 정보보호 제품은 해킹이나 악성코드 등 외부요인에 대한 '사후 대응' 조치가 중심이기 때문에 별도의 비용이 수반된다. 이에 정보보호 시스템 구축과 유지보수 외에 별도로 보안성 지속 서비스 대가를 신설, 지급해 최신의 보안 상태를 유지토록 하겠다는 얘기다.
정한근 미래부 정보보호정책관은 "기존 제품 유지보수료 외에 별도로 10% 가량의 추가 서비스료를 받을 수 있을 것"이라면서 "정부 공공기관이 보안성 지속 서비스의 필요성을 자각하고 예산 편성을 할 수 있도록 '정보보호 서비스 대가 산정 가이드라인'을 마련해 보급할 예정"이라고 설명했다.
미래부는 정보화 사업 시행지침에 보안성 지속 서비스 대가에 대한 예산 편성 내용을 반영하는 한편, 기획재정부와 협의해 내년 예산안 편성 지침에도 관련 내용이 포함될 수 있도록 추진하고 있다.
최저가 낙찰제 등 기존 가격경쟁 중심의 정보보호 제품 시장을 성능 중심의 시장으로 전환하겠다는 것도 이번 발전전략의 핵심 내용이다. 한국인터넷진흥원을 통해 매년 보안제품을 품목별로 선정, '정보보호 성능평가'를 실시하고 이를 우수제품 선별 기준으로 정부 기관에 제시하겠다는 것이다. 업체간 가격경쟁 대신 기술 경쟁을 유도해 업계 자생력을 키우고 궁극적으로 국가 사이버 대응 역량을 배양하겠다는 의도다.
정현철 인터넷진흥원 침해사고분석단장은 "공공기관이 정보보호 제품을 구매하고 시스템을 구축할 때는 '가격'이 구매 결정 요소가 아니라 '성능'이 판단 기준이 되어야 한다. 이는 국가 사이버 안보를 위해서도 꼭 필요한 부분"이라면서 "그간 성능평가 결과에 따른 입찰, 계약 과정에 대한 기초 작업을 해 왔고 올해부터 본격 확대해 실시할 것"이라고 강조했다.
현재 인터넷진흥원은 백신 등 두 종류의 보안 제품에 대해 시범적으로 성능평가 선별기준을 마련, 올해 안에 본격 성능평가를 시행할 계획이다. 성능평가 결과는 조달시 발주기관에 제공해 우수제품 선택을 유도한다는 방침이다. 성능평가 대상 제품 역시 매년 확대해 나갈 계획이다.
다만 정부의 이번 전략은 가이드라인 등 법적 강제력이 없는 '권고조치' 수준이어서 이행력에 의문이 든다는 지적도 나온다. 실제로 미래부가 소프트웨어 산업 발전을 위해 앞서 시행하고 있는 소프트웨어 유지보수요율 인상 정책의 경우 가이드라인에 그쳐 시행 공공기관이 많지 않은 상황이다. 정한근 국장은 "비록 가이드라인이지만, 수요 기관이 이를 지킬 수 있도록 다각적으로 노력하겠다"면서 "공공기관 경영평가에 정보보호 투자 및 성능평가, 보안성 지속 서비스 대가 지급 등의 요소를 반영해 자율적으로 준수할 수 있도록 유도하겠다"고 강조했다. 이어 그는 "현재 국회에 계류중인 정보보호산업진흥법 입법을 통해 별도 예산 편성 등 강력한 정책 뒷받침이 되도록 최선을 다하겠다"고 덧붙였다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
