ITU-T에서 정보보호 표준화를 주도하고 있는 SG17 WP2 회의가 ’07년 12월 10일에서 14일까지 스위스 제네바에서 열렸다. 이번 회의의 가장 중요한 의제는 다음 연구회기(’09-‘12)를 위한 보안 그룹의 구조조정이었다. 구조조정은 지난 4년간의 정보보호 표준화 성과를 분석하여 향후 4년간의 연구과제의 구조와 내용을 변경하는 것이며, 새로운 표준화 주제의 필요성을 고려하여 각 회원국의 의사와 합의에 바탕을 두고 수행되고 있다. 현재 새롭게 대두되는 표준화 주제는 사용자 제작 콘텐츠 등의 새로운 디지털 미디어에 대한 보안 기법과 사이버 공격 근원지 추적 기법 등이다. 따라서 구조조정에서는 새로운 표준 주제를 다룰 연구과제의 신설과 기존 연구과제의 분할 등의 문제가 주로 다루어지고 있다. 지난 9월 회의부터 시작된 구조조정에 대한 논의가 이번 WP2 회의를 통해 좀 더 구체화되었고, 최종 합의는 아직 다다르지는 않았지만 다음 회기를 위한 보안 그룹의 구조조정에 대한 회원국들의 대체적인 합의점을 모으는데 많은 진전이 이루어졌다고 평가된다.

차기 연구회기를 위한 연구과제 제안 현황 및 국내 성과

현 연구회기 동안 보안그룹인 SG17 WP2은 7개의 연구과제를 운영하고 있다. 연구과제 4(보안 프로젝트)는 정보보호 용어집, 보안 워크숍 조정, 다른 표준화 기구와의 협조, 그리고 향후 보안 로드맵 제시 등의 연구항목을 수행하고 있다. 연구과제 5(보안 구조 및 프레임워크)는 통신망 보안 구조와 프레임워크에 대한 표준화를 수행했다. 연구과제 6(사이버보안)에서는 작업범위가 디지털 ID 관리, 사이버 보안 등이며, 글로벌 ID 관리 프레임워크, 웜 대응 가이드라인 등인 사이버 보안 관련 표준을 개발하고 있다. 연구과제 7(보안관리)에서는 통신망 보안관리 연구항목을 가지며, ISO/IEC JTC1 SC27과 긴밀한 협력을 통해 공통의 보안관리 국제 표준들을 개발하고 있다. 연구과제 8에서는 텔리바이오메트릭에 대한 표준을 개발하고 있다. 연구과제 9(안전한 통신 서비스)에서는 홈네트워크 보안, 모바일 보안, NID/USN 보안, 그리고 다양한 응용 분야 보안 프로토콜과 메커니즘을 개발하고 있다. 연구과제 17(기술적 스팸 대응)에서는 기술적 수단을 통한 스팸 대응 기술을 표준화하고 있다. 이 연구과제는 기존의 전자메일뿐만 아니라 새로운 멀티미디어 응용을 위한 스팸 대응과 휴대폰 문자서비스(SMS) 스팸대응을 위한 권고안을 개발하고 있다.

<그림 1> 보안분야 연구과제 구조조정(안)

현재 논의되고 있는 다음 회기를 위한 연구과제는 그림 1과 같이 대부분의 현재 연구과제들이 다음 연구회기 동안에도 그대로 존속될 것으로 예측된다. 구조조정의 핵심은 작업 로드가 많은 것으로 평가된 두 개의 연구과제(연구과제 6, 연구과제 9)를 분할하는 것이고, 새로운 표준화 수요에 대응하기 위하여 세 개의 연구과제를 신설하는 것이라고 볼 수 있다. 다시 말해, 연구과제 6(사이버보안)은 ‘사이버 보안’ 연구과제(Q.K)와 ‘디지털 ID 관리’ 연구과제(Q.L)로 분할되는 안이 마련되었고, 연구과제 9(안전한 통신 서비스)도 ‘안전한 유비쿼터스 통신 서비스’ 연구과제(Q.O) 와 ‘안전한 응용 서비스’ 연구과제(Q.P)로 분할되는 안이 마련되었다. 또한 ICT 포렌직 및 사이버 공격을 추적하기 위한 ‘기술적 수단을 통한 사이버 공격 추적’ 연구과제(Q.R), 다양한 유비쿼터스 환경에서 디지털 권한 관리를 포함한 한정수신시스템(CAS)와 복사 방지(CP) 을 포함하는 ‘디지털 미디어 보안’ 연구과제(Q.S), 또한 새로운 서비스로 대두되고 있는 “서비스 기반 구조” 보안을 위한 ‘SOA(Service-oriented architecture) 보안 연구과제(Q.T)’ 등의 3개의 추가적인 연구과제의 신설이 준비되고 있다. 

신설이 고려되고 있는 ‘기술적 대응을 통한 사이버 공격 추적’ 연구과제는 최근 기업 투명성 보장 및 사이버 범죄 수사를 위해 필요성이 대두되고 있는 ICT 포렌직 기술과 통신망에서 사이버 공격자의 위치를 정확히 추적하고 감시하기 위한 프레임워크와 관련 프로토콜 개발 등의 표준화 범위를 갖는다. 또한 ‘디지털 미디어 보안’ 연구과제(Q.S)는 기존의 디지털 저작권 관리 기술을 포함한 다양한 글로벌 디지털 권한 관리 기술과 콘텐츠 보안 표준 범위를 포함하고 있다. 또한 ‘ID 관리’ 연구과제는 글로벌 차원의 사용자 영역 ID 관리, 네트워크 영역 ID(Identity) 관리, 그리고 관리 프레임워크 등을 작업 범위를 포함하고 있다. 마지막으로 ‘SOA’ 연구과제는 최근 중요하게 대두되고 있는 SOA 에서의 보안 기술을 주요 연구항목으로 하고 있다.

특히 ‘디지털 미디어 보안’ 연구과제와 ‘기술적 수단을 통한 사이버 공격 추적’ 연구과제는 한국에서 신설이 제안되었다. 회의시 주요쟁점은 다음과 같다. 디지털 미디어 보안의 경우, ITU-T가 적합한 표준화 기구인지 라는 의견이 개진되었으나 현재까지 DRM 및 디지털 미디어 보호 기술 등은 산업체를 중심으로 구성된 포럼 등에서 개별적으로 표준화 추진되고 있는 바, 이를 글로벌하게 국제표준으로 만들자는 의견으로 연구과제 후보로 채택되었다. ‘기술적 수단을 통한 사이버 공격 추적’ 연구과제는 기존 연구과제 6과의 범위 중복 문제가 제기되었으나, 기존 연구과제 6(사이버 보안)은 정보통신 관점에서 사이버보안 구조 및 운영 방법, 인터넷보안 취약점 및 개인정보 프라이버시 등을 연구하기로 하였으며, 신규 연구과제에서는 사이버공격에 대한 역추적 기술이나 포렌식 기술 등을 연구하는 것으로 서로 간에 연구영역을 달리하여 신규 연구과제 후보로 채택되었다.

또한 ‘SOA 보안’ 연구과제는 캐나다에 의해 제안되었으며, 주요 논점은 연구과제 9(안전한 통신 서비스)와의 중복 문제가 제기되었으며, 연구과제 9(안전한 통신 서비스)의 회의를 통해 연구과제 9에서는 차세대 웹 서비스 보안에 집중하고 SOA 보안 연구과제에서는 보안을 위한 프레임워크 등에 집중하기로 합의하고 계속 추진키로 하였다.  이번 회의 동안 일부 회원국에서 제기된 이슈는 연구과제의 수가 너무 많아지면 대표단의 수가 많지 않아 모든 연구과제에 참석하기가 어렵다는 의견이 발표되기도 했다.

결론적으로, 현재까지 고려중인 보안 그룹의 전체 연구과제는 13개로 확대되었으나, 구조조정의 범위와 상세 내용은 최종적으로’08년 4월 제네바 회의에서 결정될 예정이다. 이번 회의를 통해 한국이 제안한 2개의 연구과제(디지털 미디어 보안, 기술적 수단을 통한 사이버 공격 추적) 신설 제안을 SG17 WP2 총회에서 채택되게 하는 가시적 성과를 거두었다.

향후 대응 방안

ITU-T에서 연구과제의 신설은 국가 차원인 대응방안 마련이 필요하다. 먼저, 다음 회기를 위한 ITU-T 연구과제 신설은 국내 상황과 긴밀하게 연계되어야 할 것이다. 국내에서 유비쿼터스 통신 환경에서 디지털 권한 관리와 익명성 기반 지식정보보호 기술이 ’08년부터 연구개발을 시작될 예정이고 ’07년부터 ‘사이버 공격 감시 및 추적 기술‘ 과제가 수행 중에 있어서, 한국이 제안한 두 연구과제가 ITU-T에 신설된다면 표준 산출물의  국제 표준화 추진을 위한 기반을 마련할 수 있다고 판단된다. 또한 다음 회기 신설 연구과제는 국내 보안 전문가의 참여 가능성을 고려하여 신설되어야 하고, 국내 전문가의 집중적인 참여가 필요한 연구과제의 선정과 신설이 필요하다. 따라서 국내 정보보호 관련 산업체들의 관심이 필요한 시점이라고 할 수 있다.