KCMVP : 국가·공공기관 암호모듈의 안전성을 검증하는 제도

KCMVP(Korea Cryptographic Module Validation Program, 암호모듈 검증제도)는 국가·공공기관 정보통신망에서 중요 정보를 보호하기 위해 사용하는 암호모듈의 안전성과 적합성을 검증하는 제도입니다. 이 글에서는 KCMVP의 검증 체계, 근거와 대상, 주요 특징, 보안적합성 검증과의 차이를 정리합니다.

1. 주제

KCMVP(Korea Cryptographic Module Validation Program, 암호모듈 검증제도)

2. 개요

국가·공공기관망에서 정보 유출과 시스템 마비 같은 위협을 방지하기 위해 암호모듈 검증이 요구됩니다.

암호모듈(Cryptographic Module)은 암호 알고리즘과 키 생성 같은 보안 기능을 구현한 하드웨어·소프트웨어의 집합이며, 이를 안전하게 구현했는지 국가가 확인하는 제도가 KCMVP입니다.

3. 개념

• 국가·공공기관 정보통신망에서 중요 정보 보호를 위해 사용되는 암호모듈에 대한 안전성 및 적합성 검증제도임

4. 개념도

5. 주요기술

검증 단계	내용
시험 신청·계약	개발업체가 시험기관에 시험을 신청하고 시험 계약을 맺음
시험 수행	시험기관이 암호모듈을 시험하고 그 결과를 국가정보원에 전달함
검증 심의	국가정보원이 시험 결과를 심의하고 심의 결과를 통보함
목록 등재·공개	검증을 통과한 암호모듈을 검증필 암호모듈 목록으로 공개함

근거 및 대상

구분	내용
근거	전자정부법 시행령
대상	암호가 적용된 제품 유형, 정보보호 시스템 유형 등

6. 주요특징

특징	설명
국가 운영	국가정보원이 제도를 운영하며, 시험은 KISA(한국인터넷진흥원), 국가보안기술연구소 등 지정된 시험기관이 수행함
표준 기반	KS X ISO/IEC 19790(암호모듈 보안 요구사항) 등 표준을 기반으로 검증함
사용 의무	국가·공공기관이 도입하는 암호 기능 보안제품은 검증필 암호모듈을 탑재해야 함
보안 강화	검증을 통해 기밀성, 무결성, 가용성을 확보함

7. KCMVP와 보안적합성 검증 비교

구분	KCMVP	보안적합성 검증
목적	공공기관망 보안성 강화	제품 보안성 검증
대상	암호화 기능을 수행하는 모듈	정보보호 제품(네트워크 장비 등)
검증기관	국가정보원(시험: KISA, 국가보안기술연구소 등)	국가정보원(시험: KTL, KISA 등 시험기관)
적용	국가·공공기관 시스템	네트워크, 서버 보안 등
결과물	검증필 암호모듈 목록 등재	보안적합성 검증 결과 또는 시험성적서

8. 기술동향·개선사항·활용

• 국제 표준화와 최신 암호 기술 동향을 반영해 KCMVP 검증 기준을 지속적으로 갱신할 필요가 있음
• 검증필 암호모듈은 국가·공공기관용 DB, 문서, 메일, 파일 암호화 같은 보안 제품에 활용되며, 시험기관 지정 현황은 바뀔 수 있음(기준일: 2026-10-16)

용어 설명

• KCMVP(Korea Cryptographic Module Validation Program, 암호모듈 검증제도) : 국가·공공기관에서 쓰는 암호모듈의 안전성과 적합성을 검증하는 제도
• 암호모듈(Cryptographic Module) : 암호 알고리즘과 키 생성 같은 보안 기능을 구현한 하드웨어·소프트웨어의 집합
• 국가정보원 : 제도를 운영하고 검증 결과를 심의하는 국가 기관
• KISA(Korea Internet & Security Agency, 한국인터넷진흥원) : 인터넷과 정보보호를 맡는 국내 기관
• KS X ISO/IEC 19790 : 암호모듈의 보안 요구사항을 정한 표준
• 보안적합성 검증 : 정보보호 제품이 국가·공공기관 망에 적합한지 확인하는 제도
• 기밀성·무결성·가용성(CIA) : 정보를 허가된 사람만 보고(기밀성), 바뀌지 않으며(무결성), 필요할 때 쓸 수 있게(가용성) 하는 보안의 세 요소
• KTL(Korea Testing Laboratory, 한국산업기술시험원) : 제품의 시험·인증을 맡는 기관

참고 출처

• 바이라인네트워크, 암호모듈 검증 시험기관 확대 (2017.3)
• 바이라인네트워크, 암호모듈 검증(KCMVP) 시험기관 확대, KISA 국내 보안업체 암호모듈에 첫 시험 (2018.12)
• 바이라인네트워크, 네트워크·정보보호제품 시험성적서 발급제도 시행 (2016.12)