KISA 100% 악성코드 탐지율 인증 —
시큐레터 2019 국내 최초 · TTA 43.28초 · 해석 완전 가이드

보안 솔루션 평가에서 "100%"라는 숫자는 흔하지 않다. 시그니처 기반 AV는 원리상 100%가 불가능하고, 샌드박스는 회피 기법에 취약하다. 그럼에도 시큐레터 MARS 플랫폼은 2019년 KISA 정보보호제품 성능평가에서 국내 최초로 악성파일 탐지율 100%를 달성했다^[1]. 2022년에는 APT 대응장비 성능평가에서도 위협 탐지율 100%를 받았고^[2], TTA GS 악성문서 진단 성능평가에서는 43.28초의 진단 속도를 인증받았다. 하지만 이 숫자들을 마케팅 구호로만 볼지, 실제 기술력의 증거로 볼지는 KISA 평가 제도의 실제 구조와 국제 인증과의 차이를 이해해야 판단할 수 있다. 이 글은 제도의 메커니즘, 시큐레터 인증 이력, 국내외 인증 비교, 100% 수치의 비판적 해석, 공공 조달 실무 의미까지 중립적으로 정리한다.

법적 근거와 목적

한국인터넷진흥원(KISA) AI보안산업본부가 운영하는 정보보호제품 성능평가 제도는 국내 보안 솔루션의 실제 운영 성능을 측정하는 공식 제도다. CC(Common Criteria) 인증이 "보안기능 적합성"을 평가하는 반면, 성능평가는 "운영환경에서 유해트래픽 탐지·차단율, 네트워크/시스템 처리율 등 실제 성능"을 측정한다는 점이 결정적 차이다^[5].

보안뉴스 2024.4.25 KISA 관계자 설명을 그대로 인용 — "정보보호제품 성능평가는 정보보호제품의 유해 트래픽 탐지·차단율 또는 네트워크 처리율 등 성능을 측정하는 제도이며, CC는 보안기능 적합성을 검증하는 제도."^[5]

평가 4대 영역

KISA 공식 설명에 따르면 평가는 4개 영역으로 구성된다^[6].

1. 일반기능 처리성능 — 네트워크/시스템 트래픽 처리율
2. 보안기능 처리성능 — 공격 트래픽/악성코드 탐지·차단율
3. 효율성 — CPU·메모리 점유율
4. SSL 가시성 (2023 추가) — 암호화 트래픽 대응 능력

제도의 연혁

• 2020.12.24 — KISA 보도자료 "리눅스·모바일 기반 안티바이러스 제품 성능평가 추진" — 평가 대상 지속 확대^[7]
• 2021 — 성능평가 지원사업 공모 시작
• 2023 — SSL 가시성 등 신규 항목 포함, 4대 영역 체계화
• 2024 — 무료 컨설팅 지원 확대 (중소 보안기업 대상)^[5]

평가 대상별 샘플 구성

KISA 성능평가는 평가 품목별로 다른 데이터셋을 쓴다. 공식 절차 페이지에 명시된 샘플셋은 다음과 같다^[6]:

• PC 악성코드 데이터셋 — AV 제품 평가용
• APT 대응장비용 비실행형 문서 악성코드 데이터셋 — MARS 같은 CDR·리버스엔지니어링 제품 평가용
• 소스코드 보안약점 진단도구 데이터셋 — DevSecOps 도구 평가용

평가 절차의 공식 정의

KISA 정보보호산업진흥포털의 공식 설명 — "정보보호제품이 운영환경에서 정상 및 공격트래픽에 적절히 대응하는지 정도를 성능평가 기준에 따라 측정하여 결과서 제공."^[6]

국제 벤치마크와의 주기 차이

KISA 평가는 샘플 수와 갱신 주기를 공개하지 않지만, 국제 시험은 공개 관행이 있다. KISA 산하 보호나라(boho.or.kr) 공지에 인용된 AV-TEST 사례:

"악성앱에 대한 탐지율은 측정시점을 기준으로 최근 4주간 발견된 869개의 샘플을 통해 진행됨." — 보호나라^[8]

AV-TEST는 격월~분기별로 수천~수만 샘플을 갱신하며 연속성을 가진다. KISA 평가는 평가 당시 제출된 고정 샘플셋 기반이라 구조적 차이가 있다. 이 차이는 나중에 "100% 해석"을 논할 때 중요해진다.

2019 — 국내 최초 악성파일 탐지율 100% 달성

시큐레터 MARS 플랫폼이 2019년 KISA 성능평가에서 국내 최초로 악성파일 탐지율 100%를 달성했다^[1]. "국내 최초"라는 수식어가 중요한 이유는 당시까지 KISA 성능평가에서 탐지율 100%를 받은 국내 벤더가 없었기 때문이다. 비실행형 문서 악성코드 대상 평가라는 점이 시큐레터의 리버스엔지니어링 기반 접근의 기술 우위를 증명한 사건이었다.

2022 — APT 대응장비 성능평가 위협 탐지율 100%

2022년 데이터넷 NGSV 컨퍼런스에서 시큐레터가 공개한 인증 결과^[2]:

"KISA 정보보호 제품 인증 APT 대응장비 성능평가에서 MARS의 위협 탐지율은 100%, TTA 악성문서 진단 성능평가에서 진단속도 43.28초."

TTA GS 인증 — 43.28초의 의미

TTA GS 인증은 실제 운영 환경에서의 진단 속도를 측정한다. 43.28초는 시큐레터 MARS 엔진이 1건의 악성문서 분석에 소요한 시간이다^[3]. 샌드박스 기반 분석이 수분~십수분 걸리는 것과 비교하면 수십 배 빠른 속도다.

2025.12 Ensecure v2 공식 자료에 업데이트된 수치는 12.027초로 더 빨라졌다. 이는 "industry-leading response time"이라는 표현과 함께 TTA 인증 문구에 포함돼 있다.

주요 경영진 발언 — 공식 인용

임차성 시큐레터 대표, 2022.2.7 보안뉴스 인터뷰^[9]:

"MARS 플랫폼은 KISA 성능평가 테스트 조건에서 악성 탐지율 100%, 진단속도 43.28초(GS인증), 보안성 검증(국내 CC인증), 중소벤처기업부 우수연구개발 기업 선정."

추가 인증·평가

• CC 국내용 인증 — 공공기관 납품 요건 충족
• 중소벤처기업부 우수연구개발 기업 선정
• Gartner Market Guide for CDR 등재 — 글로벌 40여 개 벤더 중 하나로 인정^[3]
• 2023.8 — 코스닥 기술특례상장 (리버스엔지니어링 기반 APT 방어 인정)

시큐레터의 특허(KR102472523B1·KR102470010B1)와 분기보고서(KIND 공시 20231113000852 등)에 일관되게 기술된 차별점^[10]:

어셈블리 레벨 리버스 엔지니어링

파일의 가장 최소 단위인 어셈블리 명령어 수준에서 보안상 취약점을 탐지한다. 고수준 언어에서 숨기기 쉬운 로직도 어셈블리에서는 노출된다. 예를 들어 매크로 코드가 난독화되어 있어도 최종 실행될 명령어 패턴은 다르다.

리버싱 엔진 자동화

기존 리버스엔지니어링은 전문 분석가의 수작업이었다. 시큐레터는 이 과정을 자동화했다. 그래서 1건당 43.28초 → 12.027초로 단축 가능한 규모의 처리가 이뤄진다. 데이터넷 2023.7 보도 — "기존 샌드박스 기반 행위 분석과 달리 비실행(static) 수준에서 12초 내외 진단."^[11]

결정론적 접근의 오진·과탐 최소화

행위 기반 탐지는 확률적 판단(Heuristic) 요소가 있어 오탐·과탐이 발생한다. 시큐레터의 어셈블리 레벨 판정은 결정론적이다. Platum 2020년 보도 — "오진·과탐 최소화가 리버스엔지니어링 기반 접근의 핵심 장점."^[12]

TTA GS인증 — 1등급과 2등급

TTA(한국정보통신기술협회)의 GS(Good Software) 인증은 1등급과 2등급으로 구분된다^[13]:

구분	기준	공공조달 효익
1등급	모든 평가 항목 국제표준(ISO/IEC 25023·25041) 부합 · 품질평가 80점 이상 · 치명결함 없음	중소기업간 경쟁 물품 계약이행능력 심사 가점 · 다수공급자 계약 시 시험성적서 제출 면제
2등급	품질평가 60% + 업무적합성 40% 합산 기준 충족 · 시험 난이도 완화	기본 신인도 가점

TTA 공식 소개 — "GS인증제도는 SW 품질 경쟁력 향상 및 유통 활성화를 위해 2001년도부터 시행된 제도. 문서심사만으로 인증을 부여하는 타 인증제도와는 달리 실제 운영환경과 유사한 테스트환경에서 인증을 부여."^[13]

CC (Common Criteria) 인증

CC는 ISO/IEC 15408 국제표준에 근거한다. 국내는 IT보안인증사무국(itscc.kr) 주관. 국내용 CC와 국제용 CC로 구분된다^[14].

• 국내용 CC — 공공기관 납품 필수 요건. 국정원 보안적합성 검증과 병행 절차
• 국제용 CC — CCRA(Common Criteria Recognition Arrangement) 회원국 상호 인정. 해외 시장 진출용
• 평가보증등급(EAL) — EAL1~EAL7. 국내 도입 대다수 제품은 EAL1~EAL4

스패로우 CC 가이드 — "국내용 CC 인증은 국제 표준을 따르면서도 국내 환경에 맞게 운영되는 인증 제도로, 공공기관 납품 시 필수 요건."^[15]

CSAP — 클라우드 서비스 보안인증

클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률에 근거한 인증. SaaS 형태의 보안 솔루션이 공공기관에 도입되려면 CSAP이 필요하다.

IoT 보안인증

정보보호산업진흥포털(ksecurity.or.kr/kisis/subIndex/160.do)에서 IoT 제품의 정보보호 인증기준 적합 시험을 수행한다.

AV-TEST / AV-Comparatives — 연속 트랙

독일 AV-TEST와 오스트리아 AV-Comparatives는 격월~분기별 Real-World Protection Test를 수행한다. 수천~수만 샘플을 매 라운드 갱신하며 연속성을 가진다. 국내 제품 중 시큐리온(온백신)이 AV-TEST 100% 23회 연속 획득 기록이 있다^[16]. 안랩 V3는 AV-Comparatives · SE Labs 등 해외 인증 중심 트랙을 운영한다^[17].

NSS Labs / ICSA Labs — 독립 테스트

미국 NSS Labs는 네트워크 장비·EDR·NGFW 독립 성능테스트를 수행했으나 2020년 파산 후 CyberRatings.org로 이관됐다. ICSA Labs는 방화벽·안티멀웨어·안티스팸 지속 시험. 국내 벤더의 NSS/ICSA 참여는 매우 제한적이다.

Gartner Magic Quadrant / Market Guide

Gartner는 Market Guide for CDR을 정기 발간하며 글로벌 40여 개 벤더를 분류한다. 소프트캠프는 Gartner CDR 벤더로 등재됐으며^[18], 시큐레터도 2025 Market Guide에 등재됐다고 공식 자료에 기재된다^[3].

국내 vs 국제 인증의 보완 관계

축	국내 (KISA/TTA/CC)	국제 (AV-TEST/AV-Comparatives/NSS)
주 목적	공공 조달 · 국내 기술 육성	마케팅 · 글로벌 비교
샘플 갱신	평가 차수별 (비공개)	월/분기 고정 주기
활용	국가계약법 가점 · 국정원 보안적합성	글로벌 인지도 · 해외 영업
한계	국제시장 인지 낮음	국내 조달 인정 안 됨

평가 샘플 100% ≠ 실세계 100%

KISA 성능평가 샘플셋은 KISA가 평가 시점에 준비한 고정 악성코드 집합이다. 100% 달성은 "그 샘플셋에 대한 탐지"를 의미하며 다음 한계를 동반한다:

• 제로데이 변종·신종 회피 기법의 포함 여부 불확실
• 업데이트 주기가 AV-TEST처럼 월 단위가 아님
• 제품별 평가 시점이 다르므로 벤더 간 교차 비교 제한적

업계 전문가의 우려

보안뉴스 2026.3.24 리포트 "무료 백신이면 충분하다(?)"가 지적한 본질적 문제^[19]:

"개별 단말의 기본 악성코드 탐지 수준과 기업용 유료 솔루션의 행위 기반 탐지 · 익스플로잇 방지 · 애플리케이션 제어는 근본적으로 다른 층위."

이는 단일 수치(탐지율)만으로 제품 가치를 판단하는 함정을 암시한다. 지니언스 APT 분석팀의 실전 인용 — "msc 파일의 경우 Anti-Malware 시그니처 탐지율이 저조한 상태."^[20] 시그니처 기반 탐지율의 구조적 한계를 보여주는 실전 데이터다.

"100%" 마케팅의 국제적 해석

AV-TEST·AV-Comparatives도 특정 라운드에서 100% Protection Rate를 다수 벤더가 동시 달성한다. 국제 학계·업계 주류 입장:

• 100%는 라운드 스냅샷 — 연속 라운드의 평균치가 중요
• 지속성·일관성 — 수 분기 연속 유지 여부
• 오탐율(False Positive Rate) — 100%와 함께 봐야 하는 숫자
• Performance Impact — 높은 탐지율이 시스템 성능 희생으로 이어지지 않는가

시큐레터 관점의 유리/불리 분석

관점	유리	불리
기술 근거	국내 최초 100% · APT 대응장비 100% · 리버스엔지니어링 결정론	AV-TEST 같은 지속 트랙 부재
비교 가능성	국내 공공 조달에서 명확한 우위	글로벌 벤더와의 직접 비교 어려움
해석 프레임	비실행형 문서 특화 → 일반 AV와 다른 영역	일반인은 "AV 100%"로 오해 가능

중립적 결론: 시큐레터 100%는 KISA 평가 샘플 기준이며 비실행형 문서 악성코드 영역에서 입증된 기술력이다. "모든 악성코드 100% 차단"으로 확대 해석하는 것은 부적절하며, "비실행형 문서 위협에 대한 구조적 강점"으로 해석하는 것이 정확하다.

법적 근거

• 국가를 당사자로 하는 계약에 관한 법률 시행규칙 별표 1 — 계약목적물과 관련된 인증 가점^[21]
• 조달청 물품구매적격심사 세부기준 — 신인도 가점 0.75점 (2021.9.27)
• 조달청 2026.4.6 개정 — 다수공급자 2단계 경쟁 시 신인도·기술인증 가점 1.0점^[22]
• 2025.6.10 — 조달청 물품구매기준 신인도 심사항목 신설·조정

가점 체계 (다수공급자 2단계 경쟁 기준)

인증	가점
품질보증조달물품	1.25점 (물품구매 적격심사)
기술인증 (GS·NEP·NET·CC)	0.5~1.0점
신인도	0.75~1.0점

실질적 중요도

• 공공 납품 필수 조건 — 국정원 보안적합성 검증(→ CC인증 기반) 없이는 공공기관 납품 불가^[23]
• KISA 성능평가 — 가점은 작지만, 제안서 "기술성" 평가 시 탐지율·성능 수치의 직접 증빙으로 활용
• TTA GS 1등급 — 다수공급자 계약 시험성적서 면제 + 계약이행능력 심사 가점

벤더	주요 제품	공개된 국내 인증	KISA 100% 언급
시큐레터	MARS · SLF · SLE · SLCDR	KISA 성능평가(2019·2022) · CC · TTA GS · 43.28초 진단	○ 다수 공개 (2019 · 2022)
소프트캠프	Shieldex · Document Security V6.0	GS 1등급 · Gartner Market Guide CDR 등재	공개 확인 안 됨
지란지교시큐리티	스팸스나이퍼 + SaniTOX CDR	CC인증 다수	공개 확인 안 됨
누리랩	루페 CDR	-	공개 확인 안 됨
시큐리온	온백신	AV-TEST 100% 23회 (국제)	해당 없음 (AV-TEST 트랙)

공개 자료 전수 조사 기준, 국내 비실행형 문서 악성코드 대상 KISA 성능평가 "탐지율 100%"를 명시적으로 보도한 사례는 시큐레터가 가장 반복적으로 언급된다(2019 최초 · 2022 APT 대응장비). 타 CDR·문서보안 벤더는 GS인증·CC·Gartner 등재로 차별화하며 KISA 탐지율 100%를 전면에 내세운 사례는 제한적이다. 단, 각 벤더 보도자료 전수 수집은 본 조사 범위 밖임을 명시한다.

"100%"는 마케팅 구호가 아니라 공식 평가 기관의 측정 결과다. 시큐레터의 KISA 2019 국내 최초 100%, 2022 APT 대응장비 100%, TTA 43.28→12.027초 진단 속도는 공개된 공식 수치다. 이 수치가 나올 수 있는 배경은 리버스엔지니어링 기반 분석의 구조적 접근이다.

동시에 이 수치를 해석할 때는 맥락을 함께 봐야 한다. KISA 평가 샘플 기준이며, 비실행형 문서 악성코드 영역이며, 연속 트랙 인증(AV-TEST 방식)과는 다른 구조다. 단일 수치를 넘어 "어떤 평가에서 어떤 접근으로 받은 결과인지"를 이해하는 것이 도입 의사결정의 기본이다.

공공·금융 조달에서 KISA·TTA·CC의 삼각 인증은 진입 자격과 기술 신뢰의 공동 근거다. 시큐레터가 이 세 인증을 모두 보유하고 Gartner 등재까지 병행한 것은 드문 구성이다. 인증 평가를 하는 구매자는 이 조합의 의미를 정확히 읽고, 100% 수치의 유효 범위를 이해한 뒤 조직 실제 환경에서의 PoC로 최종 검증하는 것이 표준 접근이다.