[로이슈 김영삼 기자] 정부가 공공기관 해킹 방지를 위해 도입한 영상정보처리기기(CCTV) 보안 인증 제도가 극심한 심사 정체와 기술적 결함에 가로막혔다.

이에 내년 봄부터 전국 공공기관의 CCTV 신규 설치 및 교체 사업이 전면 중단되거나, 규정을 위반한 제품을 납품해야 하는 초유의 ‘물류 대란’이 현실화될 것이라는 우려가 커지고 있다.

살제로 지난 5월, 한국영상보안산업협동조합 등 국내 물리보안을 대표하는 4개 협단체 관계자 30여 명은 긴급 간담회를 열고 정부의 비현실적인 제도 운용을 강하게 규탄했다. 업계는 당장 내년으로 다가온 인증 만료 일정과 함께 현장의 실정을 전혀 모르는 탁상행정이 국내 보안 산업 생태계를 고사시키고 있다고 목소리를 높였다.

■ 연간 20만 대 새 수요 있는데… 시험기관 심사는 ‘수십 건’ 겉돌아

업계에 따르면 현재 전국 공공기관에 설치되어 운영 중인 CCTV는 무려 200만 대가 넘는다. 여기에 매년 추가되거나 교체되는 신규 수요만 연간 10만~20만 대에 달할 정도로 공공 조달 시장의 규모는 막대하다.

하지만 국가정보원이 2024년 4월부터 의무화한 ‘보안기능 확인서’의 발급 속도는 이 같은 시장의 수요를 전혀 따라가지 못하고 있다. 당장 내년 3월 31일이면 기존 공공 조달의 버팀목이었던 ‘TTA 인증’ 모델의 95%(약 6,300여 개 제품)가 만료되어 시장에서 퇴출당할 위기다.

CCTV 업계는 이러한 ‘인증 절벽’의 원인으로 “심사 속도가 너무 느리다”고 입을 모은다.

인증 심사 대행을 맡은 한국정보통신기술협회(TTA)가 매달 처리하는 인증 건수는 수십 건 수준에 불과하기 때문이다. 국정원이 비판을 의식해 지난 3월 한국정보보안기술원(KOIST)을 인증 대행 기관으로 추가 지정했으나, 여전히 이곳을 통한 인증 실적은 미미한 상태다.

실제로 제도 시행 후 2년이 지난 지금까지 새 인증을 받은 제품은 고작 IP 카메라 126개에 불과하다. 전국 1,000여 개에 달하는 CCTV 제조업체들은 “내년 4월부터 공공기관에 CCTV를 정상적으로 설치하는 것 자체가 불가능하다. 결국 규정을 위반한 불법 제품이라도 쓰라는 것인가”라며 극도의 불안감을 호소하고 있다.

이에 대해 한국정보통신기술협회(TTA) 관계자는 "업체에서 시험기관 확대와 2년정도 인증유예를 해달라는 정부에게 요청하고 있다는 말을 들었지만 저희도 민간협회라 이에 대한 결정권한이 없다"며 "이미 제도변경에 대해 2년전에 업체를 대상으로 설명회와 보안기능시험 제도 시행된다고 공표가 됐고 이에 맞춰 우리 협회는 인증과 시험을 접수대로 진행하고 있다"고 반박했다.

하지만 업계 관계자는 "내년 3월부터 국가정보원 인증으로 바꿔는데 3년정도의 기간을 줬지만 하드웨어와 소프트웨어 개발에 시간에 2년정도가 들어가다노보니 인증과 물리적으로, 시간적으로 맞지 않게 됐다"며 "이에 업계에서는 물량을 6000천대를 올렸는데 물리적으로 시간이 안돼 2년정도 인증을 연장해 주고 시험도 간소화 시켜주길 간절히 바라고 있다"고 강조했다.

■ 보안 강화하려다 호환성 붕괴… 연결하면 화면 안 나오는 ‘황당한 역설’

더 치명적인 문제는 기술적 결함이다. 간신히 국정원의 새 보안 인증을 통과한 카메라를 조달 시장에 납품하더라도, 정작 현장에 있는 기존 영상저장장치(NVR)나 관제 소프트웨어(VMS)와 연동이 되지 않는 황당한 일이 벌어지고 있다. 새 인증을 받은 카메라를 연결하면 화면이 아예 출력되지 않거나 영상 검색이 불가능한 장애가 발생한다.

이러한 ‘먹통 현상’의 원인은 국정원이 보안 검증 과정에서 제조사에 상관없이 장비를 연동해 주던 국제 표준 규격(OnVIF)의 핵심 신호들을 강제로 차단하도록 요구했기 때문이다. 국정원은 해킹 경로를 차단하겠다며 카메라 자동 탐지 통로(Discovery Port) 등을 막았다. 결과적으로 장비 간의 상호 인식 자체를 불가능하게 만든 셈이다.

한 보안 전문가는 “보안을 강화하려고 인증을 받은 제품이 정작 그 인증 때문에 기존 시스템과 연동되지 않는 역설적인 상황이벌어지고있다”며 “인증 설계 단계에서 현장 표준과의 하위 호환성을 전혀 검토하지 않은 결과”라고 꼬집었다.

카메라만 인증을 받아도 이를 받아줄 NVR과 VMS가 인증을 갖추지 못하면 시스템 전체가 마비되는 구조다. 업계는 공공 안전망의 공백과 중소기업의 줄도산을 막기 위해 정부와 국정원이 TTA 인증 유효기간을 최소 1~2년 이상 추가 연장하고, 현실적인 시험기관 확충과 기술 규격 재검토에 즉각 나서야 한다고 요구하고 있다.

이에 공공 CCTV 시장에 진출하려는 중소·영세 영상보안 업체들이 과도한 보안인증 비용과 산발적인 제도 운영으로 인해 심각한 경영난을 호소하고 있다.

정부의 보안 강화 정책 취지에는 공감하지만, 현장의 실정을 고려하지 않은 인증 체계가 영세 기업들의 시장 진입을 막는 기술 장벽으로 작용하고 있다는 지적이다.

23일 영상보안 업계에 따르면, 공공기관 납품을 위한 NVR(네트워크 비디오 레코더) 한개 모델의 보안인증을 취득하는 데 들어가는 실제 총비용은 최소 2,000만 원에서 많게는 3,000만 원에 달하는 것으로 나타났다.

단순 공식 시험 수수료 외에도 사전 준비 과정에서 발생하는 비용 부담이 막대하기 때문이다. 업체들은 TTA(한국정보통신기술협회) 등 본시험 탈락에 따른 리스크를 줄이기 위해 자체 검증용 보안 취약점검 툴을 임대·이용하고 있으며, 이 사전 검증 툴 비용으로만 회당 400만~500만 원을 추가 지출하고 있다.

이뿐만이 아니다. 컨설팅비용, 보안 취약점 패치 개발비에 더해, 일부 인증기관의 '일수 계산식' 수수료 체계도 도마 위에 올랐다. 사전 인증부터 본 인증까지심사 기간 동안 '하루 100만 원' 꼴의 심사비가 책정돼, 심사 기간이 40일로 늘어나면 순수 인증 비용만 4,000만 원에 육박한다는 것이 업계의 증언이다.

A사 관계자는 "NVR 모델 하나를 인증받는 데 컨설팅과 사전 툴 임대, 심사 수수료까지 합치면 2,000만원에서 4,000만원이 우습게 깨진다"며 "신제품을 출시할 때마다 이 정도 예산을 감당할 수 있는 영세업체는 거의 없다. 공공 CCTV 시장에서 살아남기 위해 안간힘을 쓰고 있지만, 중구난방식 인증 가격 체계에 정부는 손을 놓고 있는 꼴"이라며 분통을 터뜨렸다.

업계에서는 정부의 보안 규제 강화 속도에 비해 인증 기관들의 운영 방식은 '구시대적 백일몽'에 머물러 있다고 입을 모은다.

인증기관마다 제각각인 수수료 산정 기준과 기하급수적으로 늘어나는 소요 비용을 표준화하고, 영세 기업을 위한 실질적인 수수료 감면 및 사전 검증 지원책 마련이 시급하다는 목소리가 높아지고 있는 것.

공공 CCTV 업계 관계자는 "보안성 확보는 당연히 중요하지만, 현행 인증제도는 영세기업의 줄도산을 부르는 불합리한 구조"라며 "정부는 보안 정책을 강화하는 만큼 현실을 반영한 인증 체계 개편과 비용 지원책을 하루빨리 마련해야 한다"고 촉구했다.

김영삼 로이슈(lawissue) 기자 yskim@lawissue.co.kr