“국제기관 검증 통해 우려 불식” 독일 소속 E&E사 착수한 상태 OS·단말기 등 7개 레벨 진행예정

[바르셀로나(스페인)=정윤희 기자] 화웨이가 5G 장비에 대한 국제보안인증을 올 가을 획득해 미국을 비롯한 국내외서 제기되는 보안 우려를 불식시키겠다는 계획을 밝혔다.

하지만 화웨이가 진행 중인 CC인증이 자체 보안수준에 대한 평가라는 점, 장비사 중 유일하게 CC인증을 신청했다는 점에서 화웨이 장비 보안을 둘러싼 논란은 가라앉지 않고 있다. 국제 공통평가기준(CC, Common Criteria) 검증 기관으로부터 검증을 받음으로써 화웨이 장비에 대한 보안검증을 맡고 있는 미구엘 바농 에포시&에스프리(E&E) 대표는 26일(현지시간) 스페인 바르셀로나 MWC2019에서 우리나라 기자들과 만나 “현재 화웨이는 레벨4로 5G 장비에 대한 검증을 진행 중”이라며 “레벨4는 업계에서 통상적으로 획득할 수 있는 가장 높은 레벨”이라고 말했다.

국제 공통평가기준(CC, Common Criteria) 검증 기관으로부터 검증을 받아 보안에 대한 국제적인 우려를 없애겠다는 설명이다.

독일 데크라(Dekra) 소속의 E&E사는 화웨이와 스페인 정부의 의뢰를 받아 검증에 착수한 상태다.

CC인증은 총 7개 레벨로 이뤄지며, 유무선 통신장비 뿐만 아니라 운영체제(OS), 단말기 등 다른 분야에도 적용된다. 통신장비는 통상 유럽에서는 레벨4, 미국와 우리나라에서는 레벨2를 만족하면 된다. 레벨4에서는 장비의 내부 설계, 인터페이스, 소스코드 분석 등을 진행한다. 국제인증이기 때문에 유럽에서 인증을 받으면 우리나라와 미국 등 다른 나라에서도 효력이 생긴다.

결과는 올해 가을께 나올 예정이다. 화웨이는 3~4개월 전 5G 상용장비가 출시되자마자 CC인증 절차에 착수했다. 화웨이는 5G 장비에 대한 인증은 이번이 처음이지만, LTE 장비에 대해서는 매년 CC인증을 갱신하고 있다.

바농 CEO는 “화웨이는 4G LTE 장비부터 5G장비에 이르기까지 CC인증을 의뢰한 유일한 회사”라며 “삼성전자, 노키아, 에릭슨 등 다른 장비사들은 한 번도 CC인증을 요청한 적 없다”고 말했다.

화웨이 5G 장비의 대부분은 우리나라에 구축돼있다. LG유플러스가 서울, 수도권에 구축한 5G 기지국의 95%가 화웨이 장비다.

그럼에도 우리나라 정부가 아닌 스페인 정부가 CC인증을 신청한 것에 대해 유영민 과학기술정보통신부 장관은 “우리 정부는 개별 기업에 대한 보안인증을 하지 않는다”며 “대신 국가는 보안에 대한 엄격한 기준을 요구하고 있으며, 통신기업은 그 기준에 따라 장비를 결정하게 될 것”이라고 말했다.

CC인증은 장비사가 정부에 인증을 의뢰하면서 연구소를 선정하면, 연구소가 보안 수준을 검증한 뒤 이 결과를 정부에 제출한다. 최종 인증서를 발급하는 것은 정부다.

과기정통부는 화웨이만 유일하게 CC인증을 신청했다는 것에 대해서도 “우리나라뿐만 아니라 주요 국가에서는 민간 이통사의 통신장비에 보안인증을 요구하는 제도를 가지고 있지 않으며, 민간 이통사가 자체 검증을 거쳐 장비를 도입한다”고 밝혔다.

또, 화웨이가 받고 있는 CC인증은 ST(Security Target) 방식으로, 화웨이가 자체적으로 설정한 보안수준에 대해 평가하는 것이라고 설명했다. 특정 국가에서 요구하는 보안수준을 평가하는 PP(Protection Profile) 방식이 아니라는 의미다.

일각에서는 이미 상용 장비가 납품돼 구축이 진행된 상황에서 CC인증 결과가 나오더라도 보안 검증이 늦었다는 비판도 있다.

화웨이 보안 논란은 MWC 현장에서도 제기됐다. 궈핑 화웨이 회장은 MWC 기조연설에서 “화웨이는 과거에도 미래에도 백도어를 하지 않는다”고 강조했지만 세계이동통신사업자협회(GSMA) 이사회에서는 화웨이와 관련한 갑론을박이어진 것으로 전해졌다.