2009년 7월 중순 제14차 세계표준협력회의(GSC: Global Standards Collaboration)가 스위스 제네바에서 열렸다. 세계표준협력회의는 미국(TIA, ATIS), 유럽(ETSI), 일본(ARIB, TTC), 중국(CCSA), 캐나다(ISACC), 한국(TTA), 국제전기통신연합(ITU) 등의 정보통신분야 표준화 단체가 글로벌 표준화 현황을 살펴보고, 국제표준화 관련 정보를 교환하며, 향후 추진 방향을 결정하는 회의라고 볼 수 있다. 회의 결과는 결의안(Resolution)으로 요약된다. 현재 정보보호 관련 결의안은 세 가지가 존재하며, 하나는 사이버보안 결의안, 개인식별정보보호 결의안, 그리고 ID 관리 및 식별 시스템에 관한 결의안이다. 이번 회의를 통해 사이버보안 결의안은 수정안이 마련되었고, 개인식별정보보호 결의안과 ID 관리 및 식별 시스템 결의안은 다시 재확인되었다. 이번 회의에서 정보보호와 연관되는 중요관심주제(HIS: high interest subject)는 “정보보호 및 합법적인 감청”과 “사이버보안”이었다. 본 고에서는 이번 회의에서 다뤄진 정보보호 관련 주요 이슈를 살펴보고, 향후 대응방안을 제시한다.

정보보호 관련 주요 이슈 및 논쟁사항

정보보호 및 합법적인 감청 HIS 관련 세션에서 제기된 문제는 합법적인 감청(LI: Lawful Interception)과 국가정보보호지수 관련 이슈였다.

합법적인 감청 발표는 주로 미국과 유럽에서 발표되었다. 여기서 제기된 문제는 역시 합법적인 감청 문제가 국가의 법제도와 연관되므로 “이 요구사항을 어떻게 기술적으로 만족하는 하느냐”라는 문제와 “유럽과 미국의 합법적인 감청에 대한 표준이 서로 달라서 발생하는 문제를 어떻게 해결하느냐”였다. 또한 회의 중 “합법적인 감청 표준을 ITU-T에서 수행할 수 있느냐”라는 이슈도 제기되기도 하였다. 필자가 느낀 이 문제는 미국과 유럽은 법제도적 뒷받침 하에 합법적인 감청 표준을 개발하고 있다는 것이었으며, 그 외 국가들은 향후 풀어야 할 숙제로만 인식되었다.

또 다른 주요 이슈는 국가정보보호지수에 대한 글로벌한 표준 개발에 관한 이슈였다. 이 제안은 한국(필자)에 의해 발표되었고, 이 제안에서 한국의 국가정보보호지수 현황을 소개되었다. 또한 글로벌 차원에서 합의된 정보보호지수의 개발이 필요하며, ITU가 이 지수를 개발할 것을 제안하였다. 이 문제와 연관되어 많은 이슈들이 미국과 유럽 대표에 의해 제기되었다. 첫째, “각 국가마다 정보보호환경이 달라 글로벌 합의가 가능한지”, 둘째, “정보보호지수보다는 포괄적 의미를 갖는 사이버보안지수로 하는 것이 어떤지”, 셋째, “국가별 정보보호 수준을 평가하기 위해 평가결과를 국가별로 공개하는 것에 대한 부담이 없는지”, 마지막으로 “평가결과가 악의적인 조직이나 개인에 의해 오용 가능성”이 있다는 것이었다.

토론 동안 조직과 국가 내에서 정보보호수준을 평가하는 평가툴이 필요하다는 것에 대한 동의가 이루어졌고, 이를 위한 사이버보안 지수 관련 파라미터 개발이 유용하다는 것에 합의했다. 또한 한국의 정보보호지수 관련 경험과 연관하여 ITU와 관련 표준화 단체는 정보보호 수준을 평가하기 위한 평가 툴에 대한 가이드라인과 모범사례를 개발해야 하는 결의 항목에 합의하였다. 이번 제안을 통해 우리나라가 지난 수년 동안 수행해 온 사이버보안 지수 관련 표준화를 ITU에서 추진하기 위한 기반을 마련했다는데 의미가 있다고 볼 수 있다. 향후 추진 대응으로는 국내 보안 표준전문가에 의해 ITU 가이드라인으로 사이버보안 지수 개발을 추진할 필요가 있다고 판단된다.

사이버보안 관련 HIS에서 제기된 이슈는 웹을 통한 말웨어(malware) 전파 대응 문제와 글로벌사이버보안정보교환 프레임워크 관련 이슈였다. 웹을 통한 말웨어 전파 대응 이슈는 한국(필자)에 의해 발표되었다. 이 발표에서는 웹을 통한 말웨어의 심각성이 발표되었고, 이의 대응을 위한 국제 표준화 필요성이 강조되었다. 특히, 한국인터넷진흥원이 시행하고 있는 MC-finder 시스템에 대해 소개했고, 그 동안 악성코드 공격사례를 소개했으며, 최근 이에 대한 위협이 증가하므로, 웹을 통해 전파되는 말웨어에 대한 대응시스템에 대한 연구와 표준 개발이 필요함을 강조하였다. 이에 대한 논쟁은 거의 없었고, 미국대표의 강력한 지지를 받았다. 이 발표와 연관해서도 관련 표준의 개발이 필요하다는 관련 항목을 사이버보안 결의안에 반영하였다. 따라서 우리나라의 가칭 MC-finder 대응시스템에 대한 국제 표준화 추진의 근거를 이번 회의를 통해 확보한 것이 성과라고 할 수 있다.

또 다른 이슈는 ITU-T에서 발표한 글로벌사이버보안정보교환 프레임워크에 대한 표준화 추진 필요성이 제기되었다. 이 표준 필요성은 많은 보안 분야 참여자에 의해 지지를 받았다. 역시 현재 여러 표준화단체에서 개발되고 있는 다양한 사이버보안 관련 표준은 지난 6월 국제전기통신연합 연구반 17 사이버보안 연구과제 4 인터림 회의에서 미국 대표에 의해 제안된 바 있다. 이 표준은 향후 파급효과가 커서 우리나라 입장에서도 주목과 참여가 필요한 이슈로 판단된다.

다른 이슈는 개인식별정보보호 관련 결의안의 삭제에 관한 문제였다. 원래 세계표준협력 회의 룰에 의하여 특정 중요관심분야에서 3개 이상의 발표가 참여단체에 의해 이루어지지 않으면 해당 결의안 또는 중점관심분야가 다음회의에서 자동적으로 삭제될 수 있다. 이 결의안은 사용자 그룹이 만든 결의안으로써 지난해와 올해 사용자그룹 회의가 열리지 않아서 나타난 문제였다. 그러나, 미국과 유럽 대표가 이 결의안이 매우 중요하므로 다시 확인할 것을 제안해서 폐막총회에서 계속 결의안으로 남기기로 합의하였다.

향후 추진 전망

이번 회의에서도 사이버보안과 정보보호 및 합법적인 감청은 매우 중요하게 다뤄진 중점 관심 주제였다. 이번 회의에 성과라면 한국 주도로 국가사이버보안 지수와 웹을 통해 전파되는 웜 대응 기술에 대한 국제표준화 추진의 근거를 마련했다는 것이다. 비록 세계표준협력회의 결의안이 회원단체에게는 강제적인 규정은 아니지만, ITU-T 표준화에 많은 영향을 미칠 수 있으므로, 나름대로 성과를 거두었다고 판단된다. 최근 미국 오바마 정부도 지난 5월 30일 대통령이 직접 중요기반시설 보호와 표준화 기구와의 목표를 연계시켜서 추진하는 정책을 발표한 바 있어서, 향후 사이버보안 국제 표준개발의 좋은 환경이 마련될 것으로 기대된다.