개념
이 레슨이 서 있는 자리
모듈 25 레슨 7에서 GS인증이 조달 시장에서 갖는 무게를 다뤘다. 직접구매 대상이 되면 계약 상대·대금 결정·회수·실적 인정이 어떻게 달라지는지를 표로 비교했고, 그것이 "공공 조달 시장의 입장권"에 가깝다고 했다.
그 레슨이 왜 유리한가 에 답했다면, 이 레슨은 그 유리함을 실제로 발동시키는 절차 다. 인증서를 받아 놓고 등록을 하지 않아 아무 일도 일어나지 않는 회사가 실제로 있다.
그리고 하나 더 — 인증은 특정 버전에 대한 것이므로, 제품이 계속 바뀌는 동안 인증을 어떻게 유지할지가 남는다. 이것이 이 모듈의 마지막 주제다.
직접구매 대상이 되는 조건 — 숫자를 정확히
제도의 골격은 법과 고시에 있다. 「소프트웨어 진흥법」 제54조가 상용 소프트웨어 직접구매의 근거이고, 구체적 기준은 과기정통부 「소프트웨어사업 계약 및 관리감독에 관한 지침」 제7조가 정한다.
| 축 | 기준 |
|---|---|
| 대상 사업 | 소프트웨어사업으로서 총사업규모 3억 원(VAT 포함) 이상 |
| 대상 소프트웨어 | 그 사업에서 쓰이는 상용SW 중 가격 5천만 원 이상 이고, ① 국가종합전자조달시스템 종합쇼핑몰 등록 제품이거나 ② GS·CC·NEP·NET·국가정보원 검증/지정 제품 |
| 다량 구매 | 1개 가격이 5천만 원 미만이라도 동일 SW 다량 구매로 총액이 5천만 원을 초과하면 5천만 원 이상으로 간주 |
| 품목 내 혼재 | 한 품목에 여러 제품이 있고 그중 하나라도 직접구매 대상이면 그 품목은 직접구매 대상 |
| SaaS | "정보시스템이나 응용프로그램 등 소프트웨어를 제공하는 서비스"도 직접구매 대상에 포함 |
두 숫자(3억 / 5천만)가 함께 걸린다는 점이 중요하다. GS인증만 있으면 자동으로 직접구매가 되는 것이 아니고, 사업 규모와 제품 가격 요건을 동시에 넘어야 한다. 그래서 소액 제품을 가진 회사는 인증의 효과를 다른 경로(종합쇼핑몰 등록, 우선구매)에서 먼저 본다.
제외 경로도 알아 둘 필요가 있다. 같은 지침 제8조는 직접구매 대상에서 제외할 수 있는 경우를 두고 있다.
- 민간투자형 소프트웨어사업(법 제40조)에 해당하는 경우
- 국가계약법 시행규칙 제84조 · 지방계약법 시행규칙 제87조의 제외 사유에
해당하는 경우
→ 이때는 조달청 등 검토기관에 미리 검토를 요청해야 하고,
제외하는 경우 그 사유를 발주계획서와 입찰공고문에 명시해야 한다공급사 입장에서 이 조항은 공고문 읽기의 체크포인트 다. 발주기관은 직접구매 대상 사업을 발주할 때 지침 별지 제2호서식의 "직접구매 대상 상용소프트웨어 구매계획"을 작성해 발주계획서·입찰공고문에 포함하게 되어 있다. 그 서식이 보이지 않거나 제외 사유가 적혀 있으면, 우리 제품이 통합 발주에 묶인다는 신호다.
나라장터 등록 — 제3자단가계약
인증서를 실제 매출로 바꾸는 첫 단계가 조달 등록이다. 흔히 쓰이는 형태가 제3자단가계약 이다.
제3자단가계약
여러 수요기관이 공통으로 필요한 물자에 대해 조달청이 미리 단가를 정해
계약을 체결해 두고, 각 수요기관이 직접 납품요구와 대금지급을 하는 방식
→ 등록되면 종합쇼핑몰에서 수요기관이 곧바로 구매할 수 있다GS인증을 받으면 인증기관이 조달 등록 절차를 안내해 주는 경로가 있다. 등록 의사를 밝히면 목록에 올릴 수 있도록 조달청 쪽 절차로 연결되는 방식이다. 그래서 인증 완료 시점에 "등록까지 갈 것인지"를 결정해 두고 상담에서 물어 두는 것 이 실무의 순서다.
정보보호 SW에는 제도 변화가 하나 있었다. 과거에는 CC인증을 받은 정보보호 SW만 단가계약 신청이 가능했는데, 규정 개정으로 GS인증만 받아도 단가계약 신청이 가능 해졌다. 보안 제품을 만드는 회사에게는 인증 전략 자체가 달라지는 변화다.
등록 이후로 이어지는 제도도 몇 갈래 있다.
| 제도 | 성격 |
|---|---|
| 종합쇼핑몰 등록 | 수요기관의 구매 창구에 제품이 노출된다 |
| 우수조달물품 지정 | 조달청이 지정하는 별도 트랙. 심사 기준이 따로 있다 |
| 중소벤처기업부 우선구매·성능보험 | 기술개발제품 우선구매 대상, 성능보험 지원 |
| 하도급 적정성 가점 | 소프트웨어사업 하도급계약 적정성 판단 시 가점 |
이 목록의 구체적 요건과 가점 배점은 개정된다. 모듈 25 레슨 7이 달아 둔 경고와 같다 — 외울 것은 배점표가 아니라 "인증이 여러 제도의 입력으로 쓰인다"는 구조이고, 실제 사업에서는 그 시점의 고시와 공고문을 확인해야 한다.
인증 후 제품이 바뀔 때 — 변경 3분류
인증은 특정 버전에 대해 이뤄진다. 제품은 계속 바뀐다. 이 간극을 제도는 변경의 크기로 나누어 처리한다.
| 구분 | 무엇이 여기에 해당하나 | 시험 | 비용 (2024 개선 기준) |
|---|---|---|---|
| 주요 변경(업그레이드) | 주요기능 변경·삭제(잠재적 결함 수정 포함), 접근통제 기능 추가·변경·삭제, 암호화 기능 변경, 개발언어·프로토콜 변경 | 전체 시험평가 | 50% 감면(약 700만 원) |
| 경미한 변경(업데이트) | 품질개선 수정, 부가기능 추가, 화면 구성 개선, OS·DBMS 버전 변경, 운영환경 추가 | 간소화된 시험평가 | 전액 면제(약 500만 원 상당) |
| 재인증 불필요 | 단순 기능오류 수정, UI 이미지·안내 메시지 수정, 사용성 개선 툴팁 추가, 매뉴얼 변경 등 | – | – |
세 번째 줄은 2024년 개선으로 정리된 영역이다. 품질에 영향이 적은 단순 변경은 재인증이 불필요하고, 기업이 스스로 판단할 수 있도록 체크리스트가 제공 되는 방향으로 갔다.
여기서 실무자가 놓치기 쉬운 지점이 있다. 스스로 판단한다는 것은 판단 근거를 남겨야 한다 는 뜻이다.
변경 판단 기록 (릴리스마다)
버전 1.4.3 → 1.4.4
변경 내역 오류 메시지 문구 수정 3건, 로그 레벨 조정 1건
분류 판단 재인증 불필요
근거 체크리스트 항목 2·5 해당. 기능·접근통제·암호화 변경 없음
판단자·일자 QA 리드 / 2026-09-12이 기록이 없으면 나중에 곤란해진다. 조달 납품 버전과 인증 버전이 다를 때 "그 사이 변경이 재인증 대상이 아니었다"는 것을 설명할 근거가 우리 쪽에 있어야 한다. 모듈 32 레슨 4의 원자료·기록 관리와 같은 원리다 — 판단한 사실이 아니라 판단을 증명할 수 있는 상태 가 자산이다.
주요 변경 목록에서 눈여겨볼 것은 "잠재적 결함 수정 포함" 이라는 괄호다. 보안 관련 잠재 결함을 조용히 고치는 것이 주요 변경으로 분류될 수 있다는 뜻이다. 인증 이후의 보안 패치 정책을 세울 때 이 항목을 미리 확인해 두는 편이 낫다.
인증 버전과 납품 버전을 어떻게 맞추나
현실의 제품은 분기마다 릴리스된다. 그래서 회사가 택할 수 있는 정책이 대략 셋이다.
| 정책 | 방식 | 맞는 상황 |
|---|---|---|
| 인증 라인 유지 | 인증받은 버전 계열을 조달용으로 별도 유지(보안 패치만) | 조달 비중이 크고 릴리스가 빠른 제품 |
| 주기적 변경인증 | 연 1~2회 변경인증으로 인증 버전을 끌어올린다 | 기능 변화가 큰 제품 |
| 혼합 | 조달용 라인 유지 + 큰 변화 시 변경인증 | 실무에서 가장 흔하다 |
인증 라인을 유지하는 방식은 두 버전을 동시에 관리하는 비용 이 든다. 백포트 대상을 정하고, 릴리스 노트를 두 갈래로 쓰고, 테스트를 두 번 돌려야 한다. 이 비용을 QA가 산정해 경영 판단에 올리는 것이 이 레슨의 실무적 결론이다. 모듈 26에서 다룬 경영 보고의 형태가 여기서 쓰인다.
SaaS — 제도가 정비 중인 영역
계속 릴리스되는 제품에서 "인증받은 버전"이 무엇인가라는 질문은 SaaS에서 가장 날카로워진다. 설치본이 없고, 사용자가 쓰는 것은 항상 최신이다.
제도 쪽에서도 이 문제를 인지하고 정비가 진행됐다.
지적된 부정합 (2024. 4 개선안)
SaaS 제품은 '설치'가 필요 없고, 다수 운영체제를 고려한 시험도 불필요한데
현행 GS인증 기준에는 관련 평가 항목이 포함되어 있다
이후 진행
2024. 10 'SaaS 특화 GS인증 기준 설명서' 마련·배포
2025~ 클라우드 서비스 품질 평가 항목 국제표준(ISO/IEC TS 25052)
제정을 한국 주도로 추진실무에서 SaaS로 인증을 준비한다면 두 가지를 사전 상담에서 확인해야 한다. ① 설치·이식성 관련 항목이 어떻게 적용되는지 ② 지속적 배포 환경에서 인증 대상 버전을 어떻게 특정하는지. 이 두 질문은 기관마다 답이 다를 수 있고, SaaS 시험 경험이 있는 기관을 고르는 것이 레슨 2의 판단 기준 4번 (유형 경험)에 해당하는 이유다.
제도가 움직이는 영역이라 이 레슨의 내용은 특히 빨리 낡는다. SaaS로 준비할 때는 기준 설명서의 최신본을 기관에서 직접 받는 것이 정석이다.
인증을 가진 회사의 연간 점검 목록
인증 이후의 일을 표로 고정해 두면 빠뜨리지 않는다.
□ 릴리스마다 변경 분류 판단과 그 근거 기록
□ 반기 인증 버전과 조달 납품 버전의 차이 점검
□ 반기 변경인증 필요 여부 판단 (누적 변경 기준)
□ 연 1회 조달 등록 정보 최신화 (가격·규격·담당자)
□ 연 1회 제도 변화 확인 (직접구매 기준·가점·인증분야)
□ 수시 공고문에서 직접구매 구매계획 서식 유무 확인
□ 수시 보안 패치가 주요 변경에 해당하는지 판단두 번째와 세 번째 줄이 실제로 자주 방치된다. 누적 변경이 어느새 주요 변경 수준에 도달했는데 아무도 그것을 세지 않은 상태 — 이때 조달에서 버전 질문을 받으면 답이 곤란해진다.
실무에서 왜 필요한가
인증 취득까지는 프로젝트라서 담당자가 붙지만, 인증 유지 는 일상 업무라 주인이 없어지기 쉽다. 그래서 변경 판단 기록과 반기 점검을 누가 할 것인지 정해 두는 일이 이 레슨의 실질적인 산출물이다.
조달 매출이 있는 회사에서 이 관리가 무너질 때의 증상은 분명하다. 납품 버전과 인증 버전이 크게 벌어진 상태로 몇 년이 지나고, 어느 사업에서 그 차이를 지적받는다. 그때 소급해 정리하는 비용은 평소 기록의 몇 배다.
받는 쪽 — 발주기관·SI에서 검토하는 사람에게도 확인 포인트가 생긴다. 인증서의 제품명·버전, 인증 시점, 그 이후 변경인증 이력. 이 셋을 물으면 공급사의 관리 수준이 드러난다.
그리고 이 구조는 GS인증에 한정되지 않는다. 인증·심사를 받은 뒤 제품이 계속 바뀌는 모든 상황이 같다 — 의료기기 인허가 후 변경 관리, 자동차 SW의 형식승인, 보안 인증의 유지. "인증은 시점에 대한 것" 이라는 모듈 25 레슨 3의 문장이 운영 과제로 바뀌는 지점이다.
채용시장에서의 위치
인증 취득 경험은 흔하지만 인증 유지·변경인증 경험 은 훨씬 적다. 조달 매출이 큰 회사에서는 이 역량이 인증 담당의 차별점이다. 공고에 "조달 등록 및 유지", "변경인증 대응"으로 적히는 자리다.
제품 관리·릴리스 관리 쪽으로도 이어진다. 인증 라인을 별도 유지할지 판단하고 그 비용을 산정하는 일은 QA와 제품 관리의 경계에 있고, 두 관점을 모두 아는 사람이 드물다.
면접에서 힘 있는 답변의 형태는 이렇다. "인증 버전과 납품 버전이 3개 마이너 버전 벌어져 있었습니다. 릴리스별 변경 내역을 세 분류로 재판정해 보니 두 건이 접근통제 변경에 해당해 주요 변경이었습니다. 변경인증을 받으면서 릴리스마다 분류 판단을 기록하는 절차를 만들고, 조달용 라인을 분리해 백포트 대상을 보안 패치로 한정했습니다."