기밀 정보 보호는 임기응변을 허용하지 않습니다.

이 용어들은 해당 등급으로 분류된 정보를 다루는 방식에 대한 요건을 규정합니다. 다만 기술적 계획을 위해서는 어떤 정보가 어느 위치에서 처리되는지가 더 정확히 정해져 있어야 합니다. 모바일 근무, 공유 저장소, 저장매체는 암호화 솔루션에 각기 다른 요건을 제시합니다. 따라서 제품을 선택하기 전에 사용 사례를 함께 기술합니다. 기술적 가정이 발주처의 요구 사항에 부합하도록 담당 보안 책임자를 초기 단계부터 참여시킵니다.

“NATO 등급”이라는 표현은 구체적인 견적을 내기에는 지나치게 모호합니다. 여기서 설명하는 서비스 범위는 NATO RESTRICTED와 이에 적합한 사용 사례에 한정됩니다. 이로부터 더 높은 등급에 대한 일반적인 보장이 도출되지는 않습니다. 국가 승인 역시 검토 없이 다른 체계에 그대로 적용되지 않습니다. 어떤 승인이 필요하고 이를 위해 어떤 문서가 요구되는지는 프로젝트 내에서 기록합니다. 이처럼 명확히 정해 두면 견적, 구현, 이후 검수의 근거가 분명해집니다.

승인된 제품에는 정해진 적용 범위가 따릅니다. 제품 버전, 플랫폼, 관련 사용 조건이 선택 과정의 일부입니다. 따라서 제조사나 암호화 방식을 언급하는 것만으로는 적합성을 판단하기에 충분하지 않습니다. OTOKO®는 구체적인 솔루션을 계획된 구성과 대조하여 검토하고 필요한 운영 절차를 준비하는 작업을 지원합니다. 운영 환경에 투입하기 전에는 승인 문서를 반드시 검토해야 합니다.

환경에는 그 밖에도 기기, 사용자, 관리, 커뮤니케이션 경로가 포함됩니다. 키 관리, 복구, 유지보수는 예정된 보호 수준과 맞아야 합니다. 따라서 이후 업데이트를 하거나 운영 방식이 변경되면 재평가가 필요할 수 있습니다. 인계 시에는 합의된 상태와 미해결 사항을 문서화합니다. 이는 담당 기관의 프로젝트별 승인을 대신하지 않으며, 계약된 범위 내에서 승인에 필요한 기술적, 조직적 기반을 제공합니다.

「보안심사법(SÜG)」 제10조에 따른 신원조사를 포함하는 확장 보안 신원조사(Ü3)는 개인과 특정 보안 민감 업무에 관한 것입니다. 이는 하드디스크, 소프트웨어, 클라우드에 적용되는 기술적 보안 등급이 아닙니다. 계약에서 이러한 요건을 요구하는 경우, 실제로 투입되는 인력과 예정된 접근 권한에 대해 이를 확인합니다. 또한 프로젝트 범위는 허용된 업무 및 정보 전달 경로에 부합해야 합니다. 인력에 대한 신원조사는 제품 승인이나 시스템 승인을 대신하지 않습니다.

최초 협의 단계에서는 과제 내용과 필요한 지원을 기밀로 분류되지 않은 수준으로 설명하는 것으로 충분합니다. 기밀로 분류된 문서는 일반 문의 양식, 공개 스캔 서비스, 사전에 합의되지 않은 커뮤니케이션 채널을 통해 전달되어서는 안 됩니다. 협업이 구체화되면 저희가 담당자와 허용된 전달 경로를 협의합니다. 이를 통해 규모가 작은 기업도 프로젝트를 체계적으로 준비할 수 있습니다. 요구 사항은 조직의 규모나 “군사 환경”이라는 포괄적 명칭이 아니라 프로젝트 자체에서 도출됩니다.