국제전기통신연합-정기통신표준화부문 연구반 17(ITU-T Study Group 17, SG 17) 국제회의가 2015년 4월 8일부터 4월 17일까지 10일간 스위스 제네바에서 열렸다. 이번 회의에서 연구과제 6/17(유비쿼터스 통신 서비스, Question 6/17, Q.6/17)은 사물인터넷 보안 프레임워크에 대한 국제표준화를 신규 표준화 아이템(ITU-T X.iotsec-2)으로 추진키로 합의했다. 본고에서는 사물인터넷 보안 프레임워크 신규 표준화 아이템 채택되는 과정에서 일어난 논쟁사항과 합의 사항을 중심으로 기술한다.

주요 이슈 및 논쟁사항

이번 SG 17 국제회의에서 한국은 ‘사물인터넷 보안 프레임워크(ITU-T X.iotsec-2)’에 대한 국제 표준의 필요성을 강조하고 신규 표준화 아이템으로 시작하자고 제안했다. 이 아이템은 <그림 1>과 같이 사물인터넷을 구성하는 데이터 인식 파트를 구성하는 디바이스와 센서, 데이터 수집 파트를 구성하는 게이트웨이, 데이터 분석을 담당하는 서버에 대하여 보안 위협과 문제를 식별하고, 이 보안 위협과 문제를 해소하는 보안 능력(요구사항)을 제시하는데 그 목적이 있다.

<그림 1> 사물인터넷 기능 구조

영국과 일본 등은 사물인터넷 보안 표준화가 ITU-T 이외 ISO/IEC JTC 1 등 다른 표준화기구(SDO)에서 추진되고 있으므로 신규 표준화 워크아이템 채택 전 국제 표준화 아이템 채택의 타당성과 중복성을 확인하기 위한 갭 분석이 필요하다고 주장했다. 이의 의도는 다른 SDO에서 추진 중인 모든 표준화 현황을 파악하고 나서, ITU-T에 적절한 표준화 아이템을 선정하자는 것이다. 한국(필자)은 ISO/IEC JTC 1과 ITU-T의 각종 문서와 표준화 진행 과정을 설명하면서, ITU-T에서 사물인터넷보안의 조정 역할을 하는 JCA-IoT에서 연락문서를 통해 사물인터넷 보안과 프라이버시에 대한 표준화 추진을 SG17에 요청한 바 있으며, ISO/IEC JTC 1/SC 27에서도 국제 표준 개발을 위한 기고서 제출을 회원국에 요청하고 있다고 강조했다.

일본 전문가는 기존 ITU-T에서 채택한 ‘유비쿼터스 보안 프레임워크(X.1311)’ 국제표준과 이 제안과의 차이점의 설명을 요구했다. 한국은 X.1311에서는 센서만을 고려했으나, 이 표준에서는 데이터 인식 부문을 구성하는 단말이 디바이스 능력에 따라 세 가지 정도의 디바이스로 구분되어 이에 대한 추가적 보안 요구사항의 고려가 필요하며, 데이터 분석 부문에서도 클라우드 기술과 빅데이터 분석 기술이 요구되어 이에 대한 추가적 위협과 보안 능력이 필요하다는 것을 강조했다.

또한 회의에서 영국 전문가는 IETF ‘데이터그램 트랜스포트 계층 보안(DTLS)’ 프로토콜을 이용할 수 있다고 언급했다. 필자는 그 부분은 이 표준화 아이템 밖의 이슈이며, 이 아이템에서는 전반적인 보안 프레임워크를 정의하는 것에 집중한다고 언급했다. 또한 개발될 보안 프레임워크 국제 표준은 소위 포괄적인 표준이 될 것이며, 향후에 보안 프로토콜과 보안 메커니즘 개발을 위한 많은 세부 국제 표준 개발의 근거가 될 수 있다고 강조했다. 또한 산업계와 많은 정부기관에서 표준 개발을 지지하고 있다고 강조했다. 논의 결과 갭 분석과 표준 개발을 동시에 추진키로 하고 신규 표준화 아이템으로 추진을 합의했다. 또한 영국, 일본 등의 주장을 반영하기 위해 2015년 7월 Q.6/17 인터림 회의에서 갭 분석을 추진해야 한다는 조건이 부가되었다. 더불어 ISO/IEC JTC 1 등 다른 표준화 기구에 연락 문서를 보내기로 했다. 이 신규 표준화 아이템 채택을 적극적으로 지지한 국가는 한국을 포함해 중국, 우간다 등 회원국과 차이나 유니콤, ZTE 등의 섹터 회원 등을 포함해 7개 회원이 지지했다. 또한 필자와 중국 보안 전문가를 이 국제표준을 주도적으로 추진할 에디터로 임명했다.

향후 추진 전망

이 신규 표준화 아이템은 작년 발표된 미래부 사물인터넷 정보보호 로드맵 추진을 정책적으로 지원할 수 있을 것으로 기대된다. 또한 신규 표준화 아이템 채택이 갭 분석을 조건으로 합의되었으므로, 향후 과제로는 사물인터넷 보안 프레임워크와 관련된 표준화 기구의 활동 현황을 파악하는 작업이 요구된다. 갭 분석은 2015년 7월 인터림 Q6/17 회의에서 수행될 예정이다. 이 표준화 아이템은 우리 정부의 주요 정보보호 정책을 국제 표준화로 연결하기 위해 제출되었고 반영되는 성과를 거뒀다. 향후 이 표준 개발 과정에서 국내 산업체와 전문가의 지원이 필요하며 정부의 적극적인 관심도 필요한 시점이다.