정보보호 글로벌 표준화를 주도하고 있는 국제전기통신연합(ITU-T) 연구반 17(SG 17) 연구과제 6(사이버보안, Question 6)에서 개발되고 있는 아이덴터티(identity) 관리 관련 권고안은 6가지이다. 이 중에서 2008년 9월 SG17 회의에서는 2가지 권고안이 전통승인과정(Traditional Approval Procedure, TAP)으로 승인(determine)되었고, 2가지 표준화 아이템과 드래프트 권고안이 새로 만들어졌으며, 2가지 권고안이 계속 업데이트되고 있다. 이중 한국이 주도적으로 개발하고 있는 권고안이 모두 3가지 드래프트 권고안이다. 본 고에서는 2008년 9월 SG17 회의에서 개발되고 있는 아이덴터티 관리 권고안의 현재 상태를 살펴보고, 각 권고안의 내용을 분석하며, 향후 채택 추진 전망을 제시한다.

<그림 1> ITU-T 아이덴터티 관리 권고안 현황

ID 관리 권고안 현황

아이덴터티는 개체(entity)를 “특정 환경에서 하나 이상의 식별자(identifier), 클리덴셜(credential), 그리고 속성(attribute) 등의 형태로 표현한 데이터 구조”로 정의하고 있다. 또한, 아이덴터티 관리는 “여러 가지 다양한 기술적, 관리적, 법적 시스템과 규범을 통해 아이덴터티에 대한 생성, 획득, 표현, 저장, 태깅, 유지보수, 조회, 사용, 폐지를 위한 전 과정”으로 정의하고 있다. 현재 ITU-T 아이덴터티 관리를 위한 6가지 권고안은 다음과 같은 특징을 갖는다.

• ITU-T draft X.1250, 글로벌 ID 관리 신뢰와 상호연동을 위한 능력(미국, 중국 공동): 이 권고안은 글로벌 아이덴터티 관리를 위한 신뢰와 상호연동을 위한 일련의 능력 집합을 제시한다. 이 권고안은 아이덴터티 관리 모델, 아이덴터티 제공/보호, 아이덴터티 서비스 제공자 발견, 아이덴터티 연관 위협을 감소하기 위한 보안, 감사와 컴플라이언스, 그리고 사용성과 확장가능성을 다루고 있다. 이번 9월 SG17 회의의 주요 결정은 아이덴터티 관리 시스템은 국가의 규제와 정책, 환경에 따라 다르므로, 모든 정규 규정(요구사항)을 삭제하고, 아이덴터티 관리 시스템이 가져야 할 능력만을 포함하는 것으로 권고안의 내용을 전면 수정하기로 결정했다. 이 권고안은 향후 아이덴터티 관리 시스템을 위한 기반 문서로 활용될 수 있다.
• ITU-T draft X.1251, 디지털 아이덴터티에 대한 사용자 제어 강화를 위한 프레임워크 구조(한국): 이 권고안은 디지털 아이덴터티의 사용자 제어를 강화하기 위한 프레임워크를 제시하고 있다. 이 권고안은 디지털 아이덴터티 정보 교환을 위한 사용자 및 기능 요구사항을 정의하고 있다. 이 권고안은 식별가능한 개인정보의 분배를 제어할 수 있는 능력을 사용자에게 부여하는 내용을 포함하고 있다.
• ITU-T X.idm-ifa, 상호연동 가능한 ID 관리 시스템을 위한 프레임워크 구조(폴란드): 이 권고안은 ID 관리 시스템을 위한 모듈화된 프레임워크 구조를 제시한다. 이 구조는 아이덴터티관리 시스템을 설계하고 개발하기 위한 참조모델을 제시한다. 이 구조는 다양한 아이덴터티 관리 시스템을 위한 다양한 요구사항을 만족하기 위해 일반적인 구조를 갖는다. 이 권고안은 아직 초기 상태에 있어 많은 개선이 요구된다.
• ITU-T X.idm-dm, 공통 데이터 모델(미국): 이 권고안은 여러 아이덴터티 관리 시스템 간에 아이덴터티를 표현하기 위해 사용되는 아이덴터티의 공동 데이터 모델을 개발한다.
• ITU-T X.priva, ID 관리 시스템을 위한 개인식별정보 보호수준 평가 기준(한국): 이 권고안은 개인식별 정보의 보호수준을 평가하기 위한 기준을 정의한다. 이 권고안은 한국의 제안으로 이번 회의에서 신규로 만들어진 권고안이다.
• ITU-T X.idm-sg, ID 관리 시스템을 위한 보안 가이드라인(한국): 이 권고안은 아이덴터티 관리 시스템 구축 방법과 운영 방법을 제시한다. 이 보안 가이드라인은 여러 다양한 보안 메커니즘의 적용가능성을 분석하고, 적절한 보안 과정을 개발한다. 이 권고안은 한국의 제안으로 이번 회의에서 만들어진 권고안이다.

논란 및 쟁점사항

아이덴터티 관리 기반 권고안인 X.1250 관련 주요 논쟁거리는 크게 아이덴터티에 대한 용어에 대한 논란과 요구사항이 여러 다양한 유스 케이스(use cases)에 일반적으로 적용될 수 있는지 여부에 관한 것으로 요약될 수 있다. 첫 번째 논쟁은 독일에 의해 제기된 용어에 대한 논쟁이다. 독일 주장의 논거는 아이덴터티는 개체의 고유 식별과 인증을 수행하는 “절대적 아이덴터티(absolute identity)”의 개념과, 아이덴터티를 표현하는 주체와 사용하는 주체간의 동일해야 한다는 “긍적적 아이덴터티(positive identity)”를 모두 포함해야 한다는 것이다. 예를 들어, 아들이 어머니의 핸드폰을 사용하여 물건을 구입한 경우, “절대적 아이덴터티를 갖는 긍정적 검증”이 이루어지지 않는다는 것을 의미한다는 것이다. 따라서 독일은 이를 해결하기 위해 “아이덴터티” 대신에 “신뢰된 식별자”로, “아이덴터티 관리”를 “신뢰된 식별자 관리”로 수정하자는 제안을 하였다. 한마디로 관리의 대상을 고유 식별자로 축소하자는 것이다.

그러나 이미 많은 표준화 기구에서 아이덴터티 개념을 사용하고 있고, 또한, 절대적 의미의 아이덴터티는 존재하지 않다는 것에 의견이 모아져서 이 제안은 받아들여지지 않았다. 예를 들어, 동호회에 가입하기 위한 아이덴터티와 물건을 사기 위한 아이덴터티는 다르며, 이러한 다양한 환경에 따라 아이덴터티는 다양한 신뢰수준과 연동되므로, 일반적으로 긍정적 검증을 갖는 절대적 아이덴터티는 대부분의 환경에서 존재할 수 없다는 것이다. 따라서 이러한 독일의 의견을 반영하기 위해 권고안에서 아이덴터티가 처음 나오는 위치에 “아이덴터티는 절대적 의미의 아이덴터티가 아니고, 아이덴터티의 긍정적 검증을 의미하지 않는다.” 라는 문구를 넣는다는 것으로 반영되었다. 두 번째 논쟁은 권고안에서 제안한 강제 요구사항과 권고 요구사항에 대한 의문이며, 이 요구사항들이 여러 다양한 유스 케이스에 대해 고려하지 않고 있다는 것이다. 이러한 의견을 수용하기 위해 X.1250 권고안에서 강제 또는 권유, 또는 선택 요구사항 관련 규정을 모두 삭제하기로 하였으며, 권고안 제목을 “글로벌 아이덴터티 관리 신뢰와 상호연동을 위한 능력”으로 수정하는 것으로 반영되었다.

아이덴터티 관리 권고안 채택 현황

먼저 X.1250 관련 표준화 채택 과정은 다음과 같다. 지난 4월 SG17 회의에서는 독일이 용어 사용의 거부감과 다양한 환경의 요구사항을 반영하지 않았다는 견해로 반대하였고, 프랑스와 스페인의 반대로 승인을 거부했으나, SG17 의장 직권으로 승인하였고, 보고서에 독일이 반대했고 제기된 이슈가 이번 9월 회의까지 해결되지 않으면 권고안 채택을 2009년 2월 SG17 회의까지 연기하기로 한다는 문구를 넣는다는 조건으로 승인되었다. 지난 4월 SG17 회의 이후 국가별 의견수렴 동안 독일, 프랑스, 영국이 이 권고안의 9월 채택을 반대하는 의견을 제출했고, 기본적으로 응답된 국가의 70% 이상이 찬성해야 다음 SG17 회의에서 권고안 채택을 추진할 수 있다는 ITU-T 의사결정 규정에 따라서 이번 9월 SG17 회의에서 SG7 권고안 채택의 추진에 실패했다.

따라서 3국의 의견을 반영한 새로운 드래프트 권고안이 다시 만들어져서 다시 TAP로 승인(determination) 되었다. 이번 9월 SG17 회의에서도 새로 만들어진 드래프트 권고안도 독일은 반대했으나, SG17 회의 보고서에 “독일은 더 많은 연구가 필요해서 이 권고안의 승인을 반대하나, 국가별 의견수렴 기간 동안 해결되어야 한다는 전제 하에 승인에 반대하지 않는다.”는 문구를 넣고, X.1250 권고안에 '독일의 자국 규제로 인해 독일에 적용할 수 없다.'는 문구를 넣는다는 조건 하에 승인되었다. 따라서 국가별 의견 수렴이 다시 시작되었으며, 내년 2월 SG17 회의에서 다시 국제표준 채택 심의가 이루어질 예정이다.

또한 X.1251은 이번 9월 회의에서 TAP로 승인되었으며, 향후 국가별 의견수렴 기간을 거친 후 내년 2월 채택을 추진하고 있다. X.1251의 경우도 X.1250과 유사하게 독일이 더 많은 연구가 필요하다며 이번 회의에서 승인을 반대했으나, X.1250과 동일한 문구를 보고서와 권고안에 각각 넣는다는 전제 하에 채택에 반대하지 않는다는 조건으로 TAP로 일차 승인되었고 역시 다음 2월 SG17 회의에서 다시 국제표준 채택 심의가 이루어질 예정이다.

향후 추진 계획

이번 SG17 회의에서 통과된 두건의 아이덴터티 관리 표준초안 중 X.1251은 한국 주도로 개발되었으며, 독일과 프랑스를 제외한 미국, 일본, 중국, 캐나다 등의 대부분의 국가들이 승인에 찬성하고 있는 것으로 추정된다. 또한, X.1250 권고안은 우리나라의 고유 아이덴터티 관리시스템인 아이핀(i-PIN) 기술이 X.1250 능력에 순응하고 있다는 것을 고려해 다음 2009년 2월 SG17 회의에서 X.1250 권고안 최종 채택에 반대할 이유는 없다고 생각하나, 향후 국내 아이덴터티 관리 전문가들의 검토를 통해 이에 대한 우리나라의 최종 입장을 결정해야 할 것으로 판단된다. 정보보호 관련 ITU-T 권고안이 각 나라의 법/제도와 연관될 수 있어서, 각 나라의 법과 제도를 고려한 권고안 개발이 요구되는 시점이다. 국내 아이덴터티 관련 정보보호 산업체도 이 권고안 채택 동향을 예의주시해야 할 것으로 생각된다.