• Electronics and Telecommunications Trends
• /
• v.17 no.5 s.77
• /
• pp.89-101
• /
• 2002

이제 공통평가기준(CC)의 도입은 거를 수 없는 대세로 자리 잡고 있으며, 국내에서도 CC를 도입하기 위해 인증기관과 평가기관들이 도입을 위한 준비를 서두르고 있으나 개발자 입장에서는 아직 미흡한 실정이다. 따라서, 본 고에서는 CC를 고려하여 정보보호시스템을 개발하고자 하는 연구기관 및 업체에서 개발전략을 수립하는 데 도움이 될 수 있는 CC 관련 기술동향을 살펴보았다. 먼저, 기존 정보보호시스템 평가기준인 TCSEC과 ITSEC에 대해 간략히 살펴본 후, 국제간에 상호 인증을 받을 수 있는 정보보호시스템 공통평가기준에 대해 CC 출현 배경, CC 표준 규격, PP와 ST 개발동향, CC의 최근 표준화동향 관점에서 살펴본다. 그리고, 연구개발을 추진하는 개발자 입장에서 연구개발체계에 CC를 어떻게 적용할 것인가에 대한 방안을 제시한다. 이를 위해 먼저, CC 관련 주요 이슈에 대해 ICCC’2002를 통해 알게 된 내용을 위주로 살펴보고, 연구개발체계에 CC 도입시 개발자들이 고려해야 할 개발 보증 증거물들에 대해 살펴본다.

• Review of KIISC
• /
• v.13 no.5
• /
• pp.1-15
• /
• 2003

IT(Information Technology) 제품의 보안 기능을 평가하기 위한 서로 다른 체계를 이용함으로써 평가를 위한 이중의 비용 소요와 추가의 시간 소모 등의 문제점을 해결하기 위하여, 미국, 영국 등의 선진국들은 국제간에 상호 인정이 가능한 공통평가기준(CC : Common Criteria)에 대한 연구를 활발히 수행하고 있고, CCRA(Common Criteria Recognition Agreement)에 가입한 나라에서 평가된 제품은 다른 나라에서 재평가 과정을 거치지 않고 상호 인정하는 CCRA 라는 평가를 위한 국제 조약을 체결하여 시행 중에 있다. 그러나 CC는 다양한 보안 제품에 대하여 시행되고 있고, 표준안의 분량이 매우 많을 뿐만 아니라 복잡하며, 개발자와 평가자, 그리고 이용자 모두가 평가를 위한 기술적, 관리적, 절차적 과정의 이해가 무엇보다도 중요하다. 따라서 CC 주요 주체에 대한 평가 교육의 필요성이 매우 중요하게 대두되고 있다. 또한 우리 나라도 국제공통평가기준 인정 협정인 CCRA로의 가입을 준비중에 있고, 다양한 제품으로 평가제도의 확대를 준비하고 있다. 본 논문에서는 각 나라의 CC 교육 과정을 분석하고, 현재 CC 체제하에서 평가된 정보보호 제품들의 특성을 분석하며, 이를 바탕으로 우리의 평가 교육 현실을 살펴본 후, 국내 CC 교육 프레임워크와 실천 방안을 제시한다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2003.07a
• /
• pp.195-198
• /
• 2003

공통평가기준(CC: Common Criteria)은 1999년에 국제표준(ISO/IEC 15408)으로 채택되어 우리나라를 포함한 미국, 캐나다, 영국, 프랑스, 독일, 네덜란드 둥에서 사용되고 있는 IT제품 및 시스템의 보안성 평가기준이며, Interpretation 과정을 통하여 지속적으로 수정 및 보완되고 있다. 본 논문에서는 공통평가기준의 문제점 요청 및 Interpretation 제정 절차를 소개하고 현재 발표된 공통평가기준 버전 2.1의 Final Interpretation을 분석하였다.

• The Journal of Society for e-Business Studies
• /
• v.10 no.3
• /
• pp.67-83
• /
• 2005

Common Criteria(CC) was announced in June, 1999 in order to solve a problem which be happened by applying a different evaluation criteria among nations. Currently, a official version is v2.2 and v3.0 is a draft version. Because an evaluation demand is increased in the inside and outside of the country, an evaluation market growth is expected. Also, It needs methodology and work automation and project management for evaluation. In this paper, we propose A CC based Security Evaluation Management System(CC-SEMS) that is managing evaluation resources(deliverables , evaluation criteria, evaluators) and is useful in evaluation environment efficiently. CC-SEMS is to have integrated project management, workflow management, process management and is composed of deliverables, Evaluation Activity Program(EAP), Management Object(MO), Evaluation Database(EDB), Evaluation Workflow Engine(EWE).

• Review of KIISC
• /
• v.17 no.6
• /
• pp.9-19
• /
• 2007

미국, 독일 등 선진국을 중심으로 개발된 공통평가기준(Common Criteria, CC) 3.1이 공식 문서로 등재되어 2009년 9월부터는 기존의 CC v2.3을 완전히 대체할 것으로 예상됨에 따라 현재 우리나라 평가 완료된 CC v2.3 기반 보호프로파일은 CC 3.1 기반 보호프로파일로 개정이 필요하다. 따라서 본 논문은 CC v2.3과 v3.1에서의 보호프로파일 요구사항을 비교 및 분석하고, 보안기능 및 보증요구사항의 평가업무량 및 제출물 작성수준을 분석한다. 이러한 미국, 영국, 캐나다, 프랑스, 네덜란드 등 선진국의 주도하에 개발되고 있는 CC v3.1에 대한 분석을 통하여 국제적으로 새롭게 정립되고 있는 평가기준 및 평가방법에 대한 기술을 확보할 수 있으며, 향후 CC v3.1에 의한 평가 기반을 마련하는데 기여 할 것이다.

• Review of KIISC
• /
• v.14 no.4
• /
• pp.54-67
• /
• 2004

IT(Information Technology) 제품의 보안 기능을 평가하기 위하여 서로 다른 체계를 이용할 경우 평가를 위한 이중의 비용 소요와 추가의 시간 소모 등의 문제점을 해결하기 위하여, 미국, 영국, 호주 등의 선진국들은 국제 간에 상호 인정이 가능한 공통평가기준(CC: Common Criteria)에 대한 연구가 활발히 진행되고 있다. 현재 우리나라도 국제상호인정협정(CCRA)에 가입을 준비중에 있으며, 다양한 IT 제품으로 평가 제도의 확대를 준비하고 있다. 본 논문에서는 미국, 영국, 호주의 CC 체제 하에서 평가된 정보보호 제품들의 특성을 분석하고, 이를 근거로 우리나라 IT 제품의 보안기능 평가에 적용 가능한 분류 체계를 고찰해 본다.

• Convergence Security Journal
• /
• v.2 no.2
• /
• pp.137-142
• /
• 2002

When the Common Criteria(CC) for security system evaluation was put up, and the coming into the CCRA is promoted, the interest to the Evaluation Assurance Level(EAL) is greatly increasing. In this paper, via the comparison between the evaluation level of the exiting process evaluation criteria and the EAL of CC, the characteristics of the EAL of the CC are noted.

• Review of KIISC
• /
• v.17 no.6
• /
• pp.25-29
• /
• 2007

공통평가기준 기반으로 정보보호제품 평가를 수행하기 위해 개발자는 해당 평가보증등급에서 요구하는 평가제출물을 작성해야 한다. 본 고에서는 개발자가 실제적으로 평가제출물을 작성하는데 참조할 수 있도록 CC에서 요구되는 평가제출물을 살펴보고, 간략하게 CC V2.3과 CC V3.1간의 평가제출물 차이점을 제시하고자 한다.

• Review of KIISC
• /
• v.14 no.4
• /
• pp.68-77
• /
• 2004

국가 사회 각 분야(정부, 공공기관 및 민간기관)의 정보보호시스템에 의한 정보처리 의존도가 증가하고 있으며 정보보호 수준강화를 위한 평가업무의 수요 또한 늘어가고 있다. 이에 발맞추어 현재 정보보호시스템 평가에 대한 상호인증을 위해 공통평가기준(CC : Common Criteria)과 공통평가방법론(CEM : Common Evaluation Methodology)을 사용하고 있다. 본 논문에서는 정보보호시스템의 신뢰성의 확보와 상호인증을 위한 지침으로써 CC와 CEM에 대한 변화과정 및 특징을 분석하였으며 앞으로 이를 반영한 국제동향에 능동적인 대처와 효율적인 평가에 기여할 것으로 기대된다. 또한, 평가참여자(평가신청자, 개발자, 평가자, 감독자 등)의 역할도 변화의 흐름에 유연하게 대응해야 하며 이러한 지식을 토대로 객관적이며 체계적인 평가계획을 수립하는데 이용할 수 있을 것이다.

• Review of KIISC
• /
• v.10 no.3
• /
• pp.37-48
• /
• 2000

국제 공통평가기준(CC)은 정보보호제품의 개발·평가·사용을 위한 ISO 15048 국제 표준이다. 국제 공통평가기준의 제 2부 보안기능 요구사항은 정보보호제품의 보안 기능을 11개 클래스로 분류하였고 13개국 인증제품 상호승인 협정(MRA)에 의하여 교차 사용이 가능한 평가된 보안제품을 해설할 수 있는 공통언어로써 사용할 수 있다 보호프로파일(PP)은 특정형태의 제품군의 지녀야 할 보안 목적을 사용자 그룹에서 요구한 명세서이다. 보호프로파일은 제품군의 운영환영, 위협요소를 분석하고 보안기능 요구사항의 부분 집합들을 모아서 제품군이 목표로 하는 보안 목적들을 주장할 수 있다.