EAL 숫자가 높으면 모든 보안 기능도 더 강하다고 할 수 있을까

EAL은 CC 평가의 보증 요구 수준을 가리키는 용어이지 암호 강도나 모든 보안 기능의 점수가 아닙니다. 제품마다 TOE, 보안 요구, 운영 가정이 다르면 숫자 하나만으로 전체 우열을 정할 수 없습니다.

비교할 때는 먼저 두 제품의 대상·기능·가정을 맞추고, 각자의 평가 증거가 요구사항에 어떻게 대응하는지 확인해야 합니다. 이 글은 현행 CC 패키지의 세부 구성표를 대신하지 않습니다.

EAL은 기능의 세기가 아닙니다

‘EAL4가 EAL2보다 높으니 제품 A가 모든 면에서 더 안전하다’는 결론은 숫자가 답할 수 있는 질문을 넘어섭니다. EAL은 Evaluation Assurance Level의 약어로, 평가에서 요구하는 보증에 관한 분류입니다. 제품이 어떤 암호를 쓰는지, 암호키가 몇 비트인지, 특정 공격을 얼마나 버티는지를 직접 나타내는 숫자는 아닙니다. 같은 제품에서도 평가한 기능과 보증 근거의 조합을 살펴야 하며, 숫자만으로 실제 운영의 위험을 계산할 수 없습니다.

두 제품의 숫자보다 먼저 범위를 맞춥니다

교육용 가상 비교를 해 보겠습니다. 장치 A는 EAL4라고 표시됐고 네트워크 관리 인터페이스를 포함합니다. 장치 B는 EAL2이며 물리 버튼 인증 기능만 평가했습니다. 숫자만 보면 A가 높지만, 두 제품이 같은 위협과 기능을 대상으로 했는지는 아직 모릅니다. 구매자가 원격 관리 세션 보호를 원한다면 B의 더 낮은 숫자보다 해당 기능이 평가 범위에 있는지가 우선 질문입니다. 반대로 A의 평가 환경 가정이 실제 운영에 맞지 않는다면 높은 보증 분류도 현재 배치에 그대로 적용되지 않습니다.

1. 인증서에서 평가 대상과 정확한 버전을 대조합니다.
2. 각 ST가 주장하는 기능과 요구를 같은 비교 축에 놓습니다.
3. 사용자·관리자·운영환경에 관한 가정과 제외 범위를 읽습니다.
4. EAL과 함께 어떤 보증 요구와 증거가 평가됐는지 원문에서 확인합니다.
5. 조직의 위협과 실제 배치가 평가 가정에 맞는지 판단하고, 차이는 별도 위험으로 남깁니다.

자료의 시기와 범위를 지킵니다

NIST CSRC Glossary의 EAL 항목은 약어와 용어 출처를 안내하지만 상세 정의를 그 페이지 하나로 모두 제공하지 않습니다. NIST IR 6462는 1999년의 COTS 보호 프로파일 지침으로 CC의 프로파일과 평가 문서가 어떤 역할을 할 수 있는지 역사적으로 설명합니다. 이 오래된 자료를 현행 CC:2022의 EAL 패키지 표나 인증 규칙으로 읽으면 안 됩니다. 따라서 여기서는 EAL을 보증 관련 분류로만 소개하고, 구체 등급의 구성은 현재 적용되는 인증 체계와 평가 자료에서 직접 확인하도록 범위를 제한합니다.

회상 연습: 숫자만으로 내릴 수 없는 결론

교육용 문제입니다. 서로 다른 Security Target을 가진 장치 X는 EAL4, 장치 Y는 EAL2입니다. ‘X가 모든 보안 기능에서 더 강하다’고 말하기 전에 평가 대상과 Security Target의 어떤 내용을 비교해야 하나요?

정답은 평가 대상·버전과 각 ST의 보안 기능·운영 가정입니다. 그런 다음 비교하려는 위험에 필요한 기능이 평가 범위에 있는지 확인해야 합니다. EAL 숫자는 그 검토의 출발점이지 보안 기능 전체를 한 줄로 세우는 점수가 아닙니다.