- 과학기술정보통신부는 국민 안전과 밀접한 민간 및 공공 시스템(SW)의 안전 확보를 위해 SW 안전 진단 및 개선 지원 사업을 추진합니다.
- 본 사업은 SW 오작동 문제 등을 사전 진단하고 개선 방안을 지원하여 잠재적 SW 안전 위협 요소를 점검하고 안전사고를 예방하는 것을 목적으로 합니다.
- 교통, 재난관리, 대민서비스 등 국민 생활·안전에 밀접한 분야의 SW를 개발, 운영 또는 유지보수하는 민간기업 또는 공공기관이 대상입니다.
- SW 공급망 보안성 영역은 민간기업만 신청 가능합니다.
- 시스템(SW) 안전성, 운영기반 안전성, 프로세스 안전성 진단 영역에서 신규 진단(총 88건 내외) 및 재진단(총 10건 내외)을 지원합니다.
- SW 공급망 보안성 진단 영역에서는 총 10건을 지원합니다.
- 진단 완료 후 1년 이내 TTA 분당시험소 계약 시 V&V 비용 할인(10%, 최대 100만원) 혜택이 있습니다.
- 시스템별 '진단 신청서'를 작성하여 이메일로 접수합니다.
- 진단 영역 복수 신청 시, TTA SW시스템안전센터로 접수합니다.
- SW 공급망 보안성 영역 단독 신청 시, KISA 보호나라 신청페이지에서 접수합니다.
- 신청 접수 기간은 1차 3.4.~3.21., 2차 3.22.~4.25., 3차 4.26.~6.16. 입니다.
- 시스템(SW)·운영기반·프로세스 안전성은 평가위원회를 통해 신청서 기반으로 평가 후 심의위원회를 통해 최종 확정합니다. (신규진단: 평가점수 70점 이상, 고득점 순 선정 / 재진단: 평가점수 70점 이상, 고득점 순 선정)
- SW 공급망 보안성은 기업 담당자 사전 인터뷰 및 KISA 내부 검토를 통해 최종 확정합니다.
- 시스템(SW) · 운영기반 · 프로세스 안전성 진단 영역
| 진단프로그램 | SW안전 신규진단 | SW안전 재진단 |
|---|---|---|
| 지원대상 | 국민 생활·안전과 밀접한 민간·공공 시스템(SW) | ’20~’24년 내 진단완료한 민간·공공 시스템(SW) |
| 기업당 최대 지원건수 | 최대 5개 진단항목 * 프로세스 안전성 영역 중 진단항목 1개 진단 必 | 최대 2개 진단항목 * 기진단완료한 진단항목에 한해 지원가능 |
| 진단기간 | 최대 15일 | |
| 모집규모 | 88건 내외 | 10건 내외 |
총 98건
※ SW안전 신규진단(시스템 및 운영기반 안전성 영역 대상) 중 현재 개발 중인 시스템의 경우, ’구축체계‘ 항목 진단 必, 운영 및 유지관리 중인 시스템인 경우, ’유지관리 및 운영‘ 항목 진단 必
※ 기진단완료 시스템의 변경이 과도하게 이루어진 경우, 재진단 신청 시 수행기관에서 신규진단으로 조정 가능
※ 진단 수행여건 등에 따라 진단항목 조정 가능
- SW 공급망 보안성 진단 영역
| 진단프로그램 | SW 공급망 보안성 진단 |
|---|---|
| 진단대상 | 국민 생활·안전과 밀접한 민간 시스템(SW) * 기업당 1개 시스템(SW)에 한함 |
| 진단내용 | 정적진단, 동적진단, SBOM 생성 및 분석, 보안체계 진단 |
| 진단기간 | 최대 15일 |
| 모집규모 | 총 10건 |
- 시스템(SW) 안전성 및 운영기반 안전성(수행기관: TTA)
| 진단영역 | 진단항목 | 세부 진단내용 |
|---|---|---|
| 시스템 (SW) 안전성 | SW품질 | ⁃ 대상SW(또는 주요 기능/모듈) 중점적 테스트 및 결함 검출 ⁃ 예외/이상상황 시나리오 테스트 및 개선사항 검출 ⁃ 오조작 유발 사용자 인터페이스 안전성 테스트 및 개선 방법 지원 |
| 소스코드 | ⁃ 소스코드 품질 룰셋* 기반 위반사항(잠재 결함) 검출 ⁃ 소스코드 메트릭 측정 * 예) MISRA-C/C++, 전자정부표준프레임워크 코딩규칙, Microsoft C# 예) Cyclomatic Complexity, Number of Call Level, Comments ※ 코드품질/안전성 룰셋을 기반으로 진단. 보안 룰셋 적용은 추가협의 필요 | |
| 안전기능 | ⁃ 위험분석, TARA(Threat Analysis and Risk Assessment) 분석 ⁃ 위험 대비 SW 안전 기능 요구사항 도출 ⁃ 안전 요구사항 대비 설계 분석 및 안전성 개선방안 지원 ⁃ 안전 표준 기반 갭(GAP) 분석 및 개선방안 지원 ⁃ 안전 산출물 작성 및 문서화 지원 | |
| 운영 기반 안전성 | DBMS | ⁃ DB와 관련 문제점, 이슈 집중 진단 및 개선지원 ⁃ DB파라미터, 테이블, 인덱스, 테이블스페이스 등 진단 및 개선방법 제시 ⁃ SQL 성능 분석(응답시간, Top-N SQL 등) 및 적절성 점검 ⁃ DB이중화, DB백업 및 복구 등 구성 적절성 진단 등 |
| WEB/WAS | ⁃ WEB/WAS 관련 문제점, 이슈 집중적으로 진단 및 개선 ⁃ 파라미터 설정(WEB/WAS, JAVA, 커널 등) 진단 및 개선지원 ⁃ 운영 상태/로그(Heap Dump, Error log 등) 분석 및 개선방법 제시 ⁃ WEB/WAS 이중화 적절성, 모니터링 적절성 진단 등 | |
| 구조 | ⁃ 시스템/서버의 자원, 구성 관련 문제점, 이슈 집중 진단 및 개선지원 ⁃ 주요 자원 사용량(CPU, Memory, Disk, Page Fault 등) 적절성 확인 ⁃ 운영체제 에러 로그, 파라미터 및 패치 설정 상태 등 점검 ⁃ 기본 이중화 상태, 동기화 구성 상태 등 점검 * 위 진단항목 이외, 요청사항이 있을 경우 협의하여 진단 가능함 ** 진단내용은 SW 규모 등에 따라 조정될 수 있음 |
- 프로세스 안전성(수행기관: NIPA)
| 진단영역 | 진단 항목 | 세부 진단내용 |
|---|---|---|
| 프로세스 안전성 | 구축 | · 프로젝트 관리 프로세스 - 프로젝트의 목표와 범위를 정의하고, 이를 달성하기 위한 계획의 수립 - 수립된 계획에 따라 프로젝트 수행 활동을 점검 및 통제 진단 - 협력업체 선정 및 관리 · 개발 프로세스 - 프로젝트 계획에 따라 고객 요구사항 추출, 분석, 설계, 구현 및 테스트 활동 수행 여부 및 산출물 검토 - 정의된 프로젝트 프로세스에 따라 작업산출물을 작성하고 유지하며, 변경사항 처리 절차와 관련사항 · 지원 프로세스 - 프로젝트의 프로세스가 프로젝트 전체 과정의 활동에 대해 적합성과 해당 작업산출물이 요구사항, 계획에 부합하는지 확인하고 검증 - 프로젝트 수행 중에 발생하는 작업산출물에 대한 단계별 추적 및 해당 산출물들의 무결성 - 프로젝트 개발 및 관리 활동의 효율적 지원을 위해 계획된 항목에 대한 데이터의 측정과 분석 · SW안전개발 프로세스 - SW안전 계획에 따라 고객 요구사항 추출, 분석, 설계, 구현 및 테스트 활동 수행 여부 및 산출물 검토 - SW위험원 분석 및 안전 무결성 등급 평가 수행 여부 및 산출물 검토 |
| 유지관리 및 운영 | · SW유지관리 프로세스 - 서비스 요청사항에 대한 식별, 영향 분석, 설계, 구현 및 테스트 활동 수행 - 성능측정, 가용성 분석, 용량분석 및 백업 절차 - 장애관리 및 형상관리 절차 여부 및 활동 수행 · 시스템운영 프로세스 - 운영유지보수 및 이관활동 점검 - 서비스 요청 처리절차 및 서비스 수준관리 활동 여부 및 절차 점검 · SW안전유지보수 - SW안전관련 운영 및 유지보수 계획 수립여부 점검 - SW안전관련 변경 및 배포활동에 관한 절차 점검 * 위 진단항목 이외, 기업 요청사항이 있을 경우, 협의하여 진단 가능함 ** 진단내용은 SW 규모 등에 따라 조정될 수 있음 |
- SW 공급망 보안성(수행기관: KISA)
| 진단영역 | 진단 항목 | 세부 진단내용 |
|---|---|---|
| SW 공급망 보안성 | 정적진단 | - 국내외 도구를 활용한 소스코드 시큐어코딩 적용 여부 * SW 진단 기준: 『정보시스템 구축·운영 지침(별표 3)』 * 모바일 SW 진단 기준 : 『모바일 전자정부 서비스 관리지침(별표 2, 3)』 |
| 동적진단 | - SW 개발보안·개발환경 진단이 필요한 기업에 방문하여 진단 및 기술지원 - 신청 서비스 대상 시나리오 기반 모의침투 테스트를 통해 보안취약점 도출 | |
| SBOM 생성 및 분석 | - 소스코드, 바이너리, 의존성 분석을 통해 구성요소를 식별할 수 있는 명세서인 SBOM 생성 - SBOM의 신뢰성 확보를 위해 정확성, 완전성 등의 유효성 검증 수행 - SW에 숨어있는 보안취약점을 탐지하고 분석을 통한 개선 조치 지원 | |
| SW 개발환경 | - SW 개발 단계별 보안 활동의 적절성 진단 및 개선 지원 - 개발 산출물 보안 적용 여부 진단 및 개선 지원 등 |