NVR/VMS 국정원 보안요구사항 V3.0 인증 가이드: 영상보안 제품의 보안적합성 검증 전략

2026.04.01
국정원 보안요구사항 보안요구사항 V3.0 NVR 보안인증 VMS 보안인증 영상정보처리기기 보안기능확인서 KCMVP 보안적합성 검증 영상보안

2024년 4월부터 NVR(네트워크 비디오 레코더)과 VMS(영상관리시스템)를 공공기관에 납품하려면 국정원 보안적합성 검증을 반드시 통과해야 한다. 중국산 CCTV의 해킹과 백도어 위협이 사회적 이슈로 부각되면서, 영상정보처리기기가 국정원 보안요구사항 V3.0의 신규 제품군으로 추가된 것이다.

2026년 국내 보안시장이 10조 6,082억 원 규모로 성장할 것으로 전망되는 가운데, 영상보안 분야는 가장 빠르게 인증 수요가 증가하는 영역이다. 이 글에서는 NVR/VMS 제조사가 보안요구사항 V3.0 인증을 준비하기 위해 알아야 할 모든 것을 다룬다. 인증 체계의 구조, NVR/VMS에 적용되는 보안기능 요구사항, 보안기능확인서 발급 절차와 비용, 그리고 실무 체크리스트까지 정리한다.

NVR/VMS에 보안적합성 검증이 의무화된 배경

영상보안 위협의 현실

공공기관의 CCTV 인프라는 국가 안보와 직결된다. 정부청사, 군사시설, 교통 인프라에 설치된 영상장비가 해킹당하면, 실시간 영상 유출은 물론 녹화 데이터 탈취, 시스템 무력화까지 이어질 수 있다. 실제로 중국산 IP카메라와 NVR에서 백도어가 발견된 사례가 잇따르면서, 영상정보처리기기의 보안성 검증이 시급한 과제로 떠올랐다.

V3.0에서 영상정보처리기기가 추가된 이유

국정원 보안요구사항 V2.0에는 영상보안 제품에 대한 규정이 없었다. V3.0에서 IP카메라, NVR, VMS가 신규 제품군으로 추가되면서, 2024년 4월부터 이들 제품에 대한 보안적합성 검증이 본격 시행되었다. 이는 단순한 제도 확대가 아니라, 공공기관 영상 인프라를 체계적으로 보호하겠다는 국가 차원의 의지 표명이다.

NVR/VMS 제조사에 미치는 영향

공공기관 납품을 목표로 하는 NVR/VMS 제조사라면 선택의 여지가 없다. 보안기능확인서를 취득하지 못하면 공공시장 진입 자체가 불가능하다. 보안뉴스 조사에 따르면 71.4%의 업체가 보안기능확인서 신청을 계획하고 있어, 인증 경쟁이 치열해지고 있다.

국정원 보안요구사항 V3.0의 구조와 NVR/VMS의 위치

보안요구사항 V3.0 개요

국가용 보안요구사항은 국정원이 국가 및 공공기관에 도입되는 보안 제품의 안전성을 검증하기 위해 수립한 기준 문서다. 국가정보원법 제4조, 전자정부법 제56조, 사이버안보 업무규정 제9조에 근거한 법적 구속력을 가진다. 국가정보원이 총괄하고, 국가사이버안보센터(NCSC)와 국가보안기술연구소(NSR)가 실무를 담당한다.

V3.0은 크게 공통보안요구사항과 제품별 보안요구사항 두 축으로 구성된다. 모든 제품은 공통보안요구사항을 충족해야 하고, 여기에 자사 제품군의 제품별 보안요구사항이 추가된다.

NVR/VMS는 어디에 해당하는가

NIS 보안요구사항 목록에서 V3.0은 34종의 제품군을 정의하는데, NVR과 VMS는 영상정보처리기기 제품군에 속한다.

제품군포함 제품
침입차단/방지침입차단시스템(FW), 웹방화벽(WAF), DDoS 대응장비, IPS, 무선IPS
구간보안VPN, 망간자료전송, 무선랜 인증, NAC
엔드포인트안티바이러스, MDM, 랜섬웨어 대응, OS 접근통제
네트워크 장비L3 이상 스위치, 라우터, SDN 장비
영상정보처리기기IP카메라, NVR, VMS
신규 제품군양자암호통신장비

NVR/VMS는 CC인증 대상이 아닌 보안기능확인서 대상 제품이다. 이 점이 인증 전략 수립의 출발점이 된다. CC인증 대상인 침입차단시스템 등 21종과 달리, NVR/VMS는 상대적으로 간소한 보안기능확인서 절차를 통해 인증을 받게 된다.

NVR/VMS에 적용되는 7대 보안기능 요구사항

V3.0의 보안기능 요구사항(SFR)은 7개 영역으로 나뉜다. 각 항목에는 "필수", "조건부 필수", "선택"의 준수 수준이 지정되어 있다. NVR/VMS 제조사가 각 영역에서 구체적으로 무엇을 구현해야 하는지 살펴보자.

1. 식별 및 인증 (Identification & Authentication)

NVR/VMS에 접근하는 관리자와 운용자를 정확히 식별하고, 정당한 사용자만 시스템에 접근하도록 해야 한다.

NVR/VMS는 다수의 원격 사용자가 동시 접속하는 환경이므로, 세션 관리와 동시 접속 제한도 고려해야 한다.

2. 접근통제 (Access Control)

NVR/VMS는 녹화 영상이라는 민감 데이터를 다루므로, 역할별 접근통제가 특히 중요하다.

공공기관의 경우 건물별, 부서별로 영상 접근 권한을 세분화해야 하는 요구가 빈번하므로, 유연한 RBAC 구조가 필수다.

3. 암호화 및 데이터 보호

NVR/VMS에서 가장 기술적으로 까다로운 영역이다. 영상 데이터의 전송과 저장 모두 암호화로 보호해야 한다.

중요: DES, AES는 KCMVP 검증 대상이 아니다. 국제적으로 널리 쓰이는 AES라도, 국내 공공기관 납품용 NVR/VMS에는 ARIA 또는 SEED를 사용해야 한다. 현재 NVR/VMS는 KCMVP 검증필 암호모듈 탑재가 직접적으로 요구되는 3종(VPN, 보안USB, 자료유출방지)에는 해당하지 않지만, 암호화 구현 시 KCMVP 검증필 암호모듈을 활용하면 인증 심사에서 유리하다.

4. 감사기록 (Audit)

누가 언제 어떤 영상에 접근했는지, 시스템 설정을 누가 변경했는지 추적할 수 있어야 한다.

NVR/VMS는 대용량 영상과 함께 감사 로그도 장기간 보관해야 하므로, 저장 공간 설계 시 감사기록 용량도 반드시 산정해야 한다.

5. 보안관리 (Security Management)

보안정책을 설정하고 관리하는 기능이다. NVR/VMS의 관리 인터페이스 자체가 보안적으로 안전해야 한다.

6. 자체보호 (Self-Protection)

NVR/VMS의 보안 기능(TSF) 자체가 공격으로부터 보호되어야 한다.

NVR은 하드웨어 장비이므로 물리적 보안(하드디스크 직접 탈취 대응)도 고려해야 하며, VMS는 소프트웨어이므로 설치 환경의 OS 보안과 연계한 자체보호 설계가 중요하다.

7. 영상정보 보호 (V3.0 신규 — NVR/VMS 핵심 요구사항)

V3.0에서 영상정보처리기기 전용으로 추가된 요구사항이다. NVR/VMS 인증의 핵심 차별점이다.

NVR/VMS의 인증 경로: 보안기능확인서

NVR/VMS는 CC인증 대상이 아닌 보안기능확인서 대상 제품이다. CC인증보다 절차가 간소하고 기간이 짧아 실무적으로 더 접근하기 쉽다.

보안기능확인서 발급 5단계

  1. 문서 제출: 제조사가 5가지 문서를 준비하여 제출한다.
    • 제품설명서 — NVR/VMS의 하드웨어/소프트웨어 구성, 지원 카메라 프로토콜 등
    • 보안기능 구현명세서 — 7대 보안기능이 어떻게 구현되었는지 상세 기술
    • 보안기능 운용설명서 — 관리자/운용자가 보안기능을 설정하고 사용하는 방법
    • 시험결과서 — 자체 시험을 통해 보안기능이 정상 동작함을 입증
    • 취약점 개선 내역서 — 알려진 취약점에 대한 대응 내역
  2. 보안기능 시험: 한국시스템보증(KOSYAS) 등 공인시험기관이 보안기능 시험을 수행한다. 소요 기간은 약 30일이다.
  3. 결과 확인: 국가보안기술연구소(NSR)가 시험결과를 검토한다.
  4. 확인서 발급: 국가정보원 검토 후 보안기능확인서를 발급한다.
  5. 사후관리: 제품 변경 시 동일성 확인(311만 원, 3일 소요) 또는 재시험이 필요하다.

NVR/VMS 보안기능확인서 비용과 유효기간

보안뉴스 보도에 따르면 시험 비용은 제품 유형에 따라 다르다.

구분비용비고
IP카메라1,490만 원중소기업 20% 할인 적용 가능
NVR/VMS (저장 · 관리 제품)1,630만 원중소기업 20% 할인 적용 가능
동일성 확인311만 원3일 소요, 제품 변경 시

유효기간은 보안요구사항 V3.0 적용 시 5년, 기본 보안요구사항(V2.0) 적용 시 2년이다. V3.0 기준으로 인증받는 것이 유효기간 측면에서 절대적으로 유리하다.

CC인증과 보안기능확인서 비교 — NVR/VMS는 어디에 해당하는가

구분CC인증보안기능확인서
대상침입차단시스템 등 21종 정보보호제품네트워크 장비, NVR/VMS, IP카메라 등
국제 인정CCRA 회원국 상호인정국내 한정
평가 기간수개월~1년 이상약 30일 (시험 기간)
유효기간신규 5년, 기존 3년V3.0 적용 시 5년, V2.0 적용 시 2년
비용상대적으로 높음NVR/VMS 기준 1,630만 원
NVR/VMS 해당✕✓

NVR/VMS 제조사는 보안기능확인서 경로로 인증을 추진해야 한다. KISIA 보안적합성 검증 안내 페이지에서 제품군별 인증 유형을 확인할 수 있다.

NVR/VMS 인증을 위한 필수 기술 구현 사항

보안요구사항 V3.0 인증을 통과하려면 단순히 기능을 갖추는 것이 아니라, 요구사항에서 정의한 수준으로 구현해야 한다. NVR/VMS 제품 개발 시 중점적으로 구현해야 할 기술 요소를 정리한다.

1. 영상 전송 구간 암호화

2. 녹화 영상 무결성 보장

3. 사용자 인증 및 접근통제 체계

4. 감사 로깅 및 중앙 관리

5. 자체보호 및 펌웨어 보안

NVR/VMS 제조사를 위한 인증 준비 체크리스트

인증 준비를 시작하는 NVR/VMS 제조사 실무자를 위해 핵심 체크리스트를 정리한다.

사전 점검

기술 구현

문서 준비

일정 및 비용 계획

V2.0에서 V3.0으로의 전환 — NVR/VMS 관점에서 달라진 점

항목V2.0V3.0
영상보안 제품미포함IP카메라/NVR/VMS 보안적합성 검증 시행
접근통제제품 자체 구현만 허용외부 디렉토리 서비스(AD 등) 활용 허용
전송 데이터 보호기본 암호화 요구syslog over TLS/DTLS 명시적 요구 추가
보안기능확인서 유효기간2년V3.0 적용 시 5년으로 확대
패스워드 정책기준 모호"좌우로 연속한 문자/숫자 4개 이상" 명확화

NVR/VMS 제조사에게 가장 중요한 변화는 명확하다. V2.0에서는 인증 대상조차 아니었지만, V3.0에서는 의무 인증 대상이 되었다는 것이다. V3.0 기준으로 인증받으면 유효기간 5년이라는 이점도 있으므로, 처음부터 V3.0 기준으로 준비하는 것이 합리적이다.

앞으로의 전망 — NVR/VMS 보안 인증 시장

결론: NVR/VMS 제조사, 지금 V3.0 인증을 시작해야 하는 이유

국정원 보안요구사항 V3.0은 NVR/VMS 제조사에게 위기이자 기회다. 핵심을 정리하면 다음과 같다.

첫째, 2024년 4월부터 NVR/VMS는 공공기관 납품 시 보안기능확인서가 의무다. 인증 없이는 시장 진입 자체가 불가능하다. 둘째, NVR/VMS는 보안기능확인서 경로로 인증을 받으며, 시험 기간 약 30일, 비용 1,630만 원 수준이다. V3.0 기준 적용 시 유효기간 5년이라는 이점이 크다. 셋째, ARIA/SEED 기반 암호화, RBAC, 영상 무결성 검증, 감사 로깅 등 핵심 기술 요소를 정확히 구현해야 한다.

인증 수요가 폭발적으로 증가하고 있는 지금, 시험기관 대기 시간은 점점 길어지고 있다. 기술 보완에 3~6개월, 시험에 1개월이 걸린다면, 지금 시작해야 올해 안에 인증을 취득할 수 있다. NVR/VMS 제조사라면, V3.0 인증 준비를 더 이상 미루지 말라.

참고 자료