중소기업이 MLPS 2.0(중국 등급보호제도)을 도입할 때 겪는 4가지 난관

MLPS 2.0(중국 등급보호제도)이 2019년 정식 시행된 이후 지금까지, 베이징의 많은 중소기업이 고객이나 발주처로부터 ‘등급보호 통과’를 요구받고 있습니다. 직접 자료를 찾아보고 나서야 이 일이 생각보다 훨씬 복잡하다는 것을 알게 됩니다. 등급 지정과 신고를 하려면 주관 부처를 찾아가야 하고, 격차 분석은 전문 기관에 의뢰해야 하며, 개선 작업에는 장비 구매와 시스템 업그레이드가 필요하고, 평가에도 별도 비용을 지불해야 합니다. 계산해 보면 적지 않은 기업이 예산 초과가 심각하다는 사실을 발견합니다. 오늘은 개념 이야기는 접고 실무만 말씀드리겠습니다.

난관 1: 등급 지정 및 신고 — 시스템이 중요하다고 생각해도, 실제로는 주관 기관이 결정한다

등급보호의 첫 단계는 등급 지정입니다. 기업이 스스로 시스템이 몇 급에 해당하는지 판단한 뒤 공안에 신고하면 되는 것처럼 들리지만, 실제로는 그렇지 않습니다. 실무에서는 등급을 지나치게 높게 잡는 것이 가장 흔한 실수입니다. 많은 기업이 시스템이 중요하고 인원도 많다고 판단해 곧바로 3급으로 신고했다가 개선과 평가 비용이 두 배로 뛰는 경우가 있습니다. 반대로 대량의 사용자 데이터를 다루는 업무 시스템을 2급으로 정했다가 주관 부처 심사에서 반려되어 등급을 다시 정하게 되고, 그전까지의 작업이 헛수고가 되는 기업도 있습니다.

실무 권장 사항은 이렇습니다. 정식 등급 지정 전에 먼저 《네트워크 보안 등급보호 등급 지정 가이드》의 요구 사항을 참고해 시스템이 수행하는 업무 유형, 침해 대상, 영향 정도라는 세 가지 요소를 명확히 정리해야 합니다. 기업 내부에서 판단이 어렵다면 평가 자격을 갖춘 기관에 의뢰해 비공식 평가를 한 번 받아보는 것이 좋습니다. 이는 곧바로 신고한 뒤 등급 재지정을 요구받는 것보다 훨씬 수월합니다. 등급 지정 신고 자료에는 시스템 토폴로지도, 비상 대응 계획, 데이터 자산 목록이 포함되며, 자료가 불완전하면 반려가 반복됩니다.

난관 2: 격차 분석 — 기준과 대조해 점검하는 것은 쉽지만, 실제로 돈이 들어갈 부분을 찾아내는 것은 어렵다

등급보호 요구 사항의 기술적·관리적 통제 항목을 받으면, 기업 IT 담당자는 보통 먼저 자체 점검을 한 차례 진행합니다. 서버 패치 적용 여부, 로그 보관 여부, 비밀번호 정책 준수 여부 같은 표면적인 항목은 통과하기 쉽습니다. 그러나 실제로 평가 통과를 가로막는 것은 대개 구조적인 결함입니다. 예를 들어 핵심 스위치가 플로우 로그를 지원하지 않거나, 접근 통제 시스템이 없거나, 보안 영역 경계에 침입 탐지 장비가 배치되지 않은 경우입니다.

격차 분석 보고서의 품질은 이후 개선 예산을 좌우합니다. 대충 만든 기관은 문제만 나열하고 비용은 산정하지 않아, 기업이 보고서를 들고 경영진 승인을 받으러 갔다가 예산이 부족하다는 것을 뒤늦게 알게 됩니다. 전문적으로 작성된 보고서는 ‘필수 개선’, ‘권장 개선’, ‘선택적 최적화’로 층을 나눠 기업이 단계별로 투자할 수 있게 합니다. 한 가지 짚고 넘어가면, 격차 분석은 일회성 작업이 아닙니다. 개선 후에는 재평가가 필요하며, 개선이 미흡하면 평가 기관이 ‘부적합’ 보고서를 발급해 기업의 인증 취득에 영향을 줍니다.

난관 3: 개선 작업량 — 장비를 제대로 사고 시스템 업그레이드를 마쳐도, 관리 제도가 진짜 함정이다

기술적 개선은 상대적으로 계량화하기 쉽습니다. 방화벽, 로그 감사, 배스천 호스트, 취약점 스캐닝 도구 등은 시장 견적이 명확합니다. 하지만 MLPS 2.0의 관리 제도 요구 사항은 많은 기업을 당황하게 만듭니다. 2급 시스템은 정보 보안 관리 제도 체계 구축을 요구하고, 3급은 완전한 보안 정책 문서, 비상 대응 계획, 점검 기록, 인원 보안 교육 기록을 요구합니다. 많은 중소기업에는 전담 보안 엔지니어가 없어, 제도 문서를 인터넷 템플릿에서 그대로 베껴 내용이 전혀 맞지 않거나, 대행 기관에 작성을 맡기지만 평가 때 전문가가 세부 사항을 묻는 순간 드러나게 됩니다.

난관 4: 평가 비용 — 저가 낙찰 뒤에는 이중 청구가 숨어 있을 수 있다

등급보호 평가 시장의 견적은 편차가 큽니다. 2급 시스템 평가는 3만 위안 이내로 제시하는 곳도 있고, 8만 위안 이상을 제시하는 곳도 있습니다. 낮은 가격이 반드시 함정은 아니지만, 다음 항목이 포함되는지 반드시 확인해야 합니다. 최초 평가 불합격 후 재평가 비용, 개선 기간의 현장 기술 지원 비용, 보고서 발급 후 신고 동행 서비스 등입니다. 일부 기관은 낮은 가격으로 계약한 뒤 평가 과정에서 ‘고위험 취약점이 발견되어 개선이 필요하다’는 이유로 기업에 추가 비용을 요구하고, 그렇지 않으면 합격 보고서를 발급하지 않습니다.

3급 시스템 평가 비용은 보통 12만~25만 위안이며, 차이는 주로 시스템 복잡도에 따라 달라집니다. 또한 개선 기간의 서비스 중단 시간도 고려해야 합니다. 평가는 보통 1~2일이 걸리며, 이 기간에는 시스템이 점검에 협조해야 하고 업무가 중단되어서는 안 됩니다. 일부 기업은 야간 평가를 선택하는데, 사전에 직원에게 알리고 데이터 백업을 철저히 해야 합니다.

흔한 오해: ‘등급보호를 받으면 안전해진다’는 착각

등급보호는 인증서 한 장으로 해결되는 문제가 아닙니다. 평가 합격은 특정 시점에 시스템이 기준 요구 사항을 충족했다는 것만 의미하며, 사이버 위협은 매일 진화합니다. 많은 기업이 인증서를 받은 뒤 보안 장비 전원을 내리고 ‘임무 완료’라고 생각하는데, 이것이 가장 큰 오해입니다. MLPS 2.0 자체가 기업에 취약점 스캐닝, 보안 교육, 비상 훈련을 정기적으로 실시하도록 요구하며, 지속적인 투자가 핵심입니다.

또 다른 흔한 오해는 ‘내부망 시스템은 등급보호를 받을 필요가 없다’는 것입니다. 시스템이 업무 데이터, 사용자 정보 또는 재무 데이터를 담고 있다면 인터넷에 노출되어 있는지와 무관하게 등급 지정 신고가 필요합니다. 한 제조업 기업은 생산 내부망이 인터넷과 격리되어 있어 등급보호가 필요 없다고 판단했다가 주관 부처의 불시 점검에 적발되어 절차를 소급해 밟아야 했고, 데이터 흐름까지 설명하라는 요구를 받아 오히려 개선 비용이 더 커졌습니다.

100인 규모 기업 참고 방안: 2급 시스템은 어떻게 준비할까

베이징의 직원 100명 규모 중소기업을 예로 들면, IT 인프라에는 보통 물리 서버 또는 가상화 플랫폼 2~3대, 핵심 스위치, 행위 관리 또는 방화벽, 사무 네트워크와 업무 시스템 네트워크의 구역 분리가 포함됩니다. 이 규모에서 2급 등급보호를 진행한다면 두 단계로 나눠 진행하기를 권장합니다.

1. 1단계: 등급 지정 신고 + 격차 분석(2~3주). 평가 자격을 갖춘 기관에 연락해 시스템 등급 지정 신고를 완료하고, 완전한 격차 분석을 의뢰해 개선 목록을 받습니다. 이 단계의 비용은 대략 1.5만~3만 위안입니다.
2. 2단계: 기술 개선 + 제도 정비(4~8주). 격차 분석 결과에 따라 필요한 장비를 구매합니다. 권장 목록에는 로그 감사 시스템, 배스천 호스트, 차세대 방화벽 또는 통합 위협 관리 장비가 포함됩니다. 관리 제도는 템플릿을 참고해 맞춤 작성할 수 있지만, 반드시 기업의 실제 업무 프로세스에 맞게 수정해야 합니다. 개선이 끝나면 평가 기관을 예약해 정식 평가를 진행합니다.

전체 비용 예상: 평가 비용 4만~8만 위안, 기술 개선 투자 8만~15만 위안, 관리 제도 및 교육 1만~2만 위안입니다. 기업이 IT 운영 아웃소싱 단계에서 이미 기본 보안 장비를 도입했다면 개선 비용을 더 줄일 수 있습니다.

보안 장비에 반복적으로 투자하고 싶지 않은 기업이라면 보안 역량과 네트워크 인프라를 패키지로 구매하는 방안도 고려할 수 있습니다. Siwenlide가 제공하는 네트워크 장비 패키지 서비스는 계약 기간 내 장비 제공을 포함하며, IT 운영 아웃소싱 팀이 기업의 등급보호 개선 전 과정 관리를 지원해 자체 팀을 구성할 때 생기는 시행착오를 줄여줍니다. 관심이 있으시면 먼저 저희 기술 컨설턴트에게 문의해 현재 IT 환경에서 등급보호 통과까지 얼마나 남았는지 확인해 보시기 바랍니다.