상하이방

2019년에 들어서서 중국정부의 외국기업에 대한 네트워크 안전법의 집행이 강화됨에 따라 중국에 진출한 한국기업들도 네트워크 안전법 대응에 적극 나서고 있다. 지난 5월29일, 한국인터넷진흥원, KOTRA, 상해•화동 한국 IT기업 협의회는 한국 기업의 중국 네트워크 안전법 대응을 위한 설명회를 상하이에서 개최했다.
올해 5월13일에 보안등급 2.0표준이 발표된 후 많은 한국기업들은 보안등급 취득 당위성을 인식하고 2.0표준이 실시 전에 보안등급을 받기 위해 준비하고 있다. 우리 한국기업들이 어떻게 하면 보안등급을 효율적으로 받을지에 대해 최근 한국 네트워크 운영자들의 이슈가 되고 있다.
보안등급 정식 명칭은 ‘정보시스템 보안등급 보호 비안(备案, 서류신청) 증명’이며 보안등급을 받는 기본 절차는 아래와 같다.

①등급확정, 보안등급 신청
•해당 시스템 등급확정 보고서 작성 및 보안등급 비안 신청서 공안국에 제출
•공안국 등급확정 심사가 통과되면 보안등급 심사업무 진행

②시스템 현황분석 및 보강작업
•심사기관과 컨설팅업체를 선정
•심사기관의 1차 심사를 통해 시스템 보강방안 작성
•시스템 보강작업 실시 및 관리제도 업데이트 작업 진행

③보안등급 심사 실시
•국가에서 지정한 보안등급 심사기관이 보안등급 정식 심사 실시
•심사기관에서 시스템 심사결과에 의해 <보안등급심사보고서>를 작성

④보안등급 비안 증서 발급
•공안국에서 심시기관이 제출한 합격된 <보안등급심사보고서>에 의해 업체에 보안등급 증서 발급.

현재 보안등급 신청업무는 일반적으로 보안등급 심사기관과 컨설팅업체를 통해 진행되는데 비용을 절감하면서 빠른 시일 내에 보안등급을 획득하려면 심사기관과 컨설팅업체를 신중하게 선택하는 작업이 최우선이다.
상하이는 현재 공안부에서 지정한 심사기관이 총5개(上测, 软测, 网综所, 公安三所, 交大评测)가 있는데 각 기관마다의 심사비용과 업무방식이 모두 다르다.

보안등급 심사항목은 총 290개 항목이 포함되는데 그 중 기술항목이 136개이고 관리 심사 항목이 154개이다. 심사기관의 1차 보안심사를 받은 후 신청업체는 네트워크 보안등급 요구에 맞게 시스템 보강 및 관리제도 개선작업을 진행해야 하는데 이 부분은 회사 자체가 진행하기는 난이도가 높다. 왜냐하면 전문 보안기술이 필요할 뿐만 아니라 70여개의 관리제도 서류를 작성해야 하기 때문이다. 현재 대부분 기업들은 컨설팅회사를 통해 이 작업을 진행하고 있다. 

상하이 5개 심사기관은 공공기관의 성격을 띤 사업단체(事业单位)로서 원칙적으로 보안등급 심사업무 이외의 기타 관련 업무를 진행해서는 안된다. 그리하여 각 심사기관은 컨설팅업체를 몇 개 개발해 공동으로 보안등급 업무를 추진하고 있으며 심사기관은 보안등급 심사업무 위주로 진행하고 컨설팅업체는 고객유치, 보안등급 받을 시의 업무지원 등 업무를 담당한다.
보안등급 비안 등록업무는 정상으로 3~4개월 시간이 소요된다. 하지만 공안기관, 심사기관, 신청업체, 컨설팅사 등 여러 기관, 업체가 공동으로 진행하다 보니 실제로 더 이상 시간이 걸리는 경우가 대부분이다. 특히 올해 중국 창립 70주년을 맞이하면서 9월부터 1개월간 공안기관의 보안등급 접수업무가 지연될 것이라는 전문가의 의견이다. 이에 대비해 보안등급 2.0표준이 정식 실시 전 보안등급을 받기 위해 여러 한국 업체들은 속도를 내고 있다.

김용수(AZ 글로벌 팀방)
네트워크안전법 컨설팅 전문회사
www.azglobal.cn
master@azglobal.cn