수요 기반 네트워크 접근을 가능하게 하는 클라우드 컴퓨팅(Cloud Computing) 서비스, 실시간 지능형 전력망인 스마트 그리드(Smart Grid) 서비스 그리고 정보통신 기술에 기반한 의료 서비스 제공을 위한 e-헬스(e-Health) 서비스 등을 위한 보안 기술은 필수적이라고 인식되고 있다. 본 고에서는 국제전기통신연합 통신부문 연구반 17(보안)이 본 세가지 보안 표준화 주제를 어떻게 다룰 지에 대한 세부 내용을 중심으로 기술하며, 향후 추진 일정과 우리의 대응방안을 중심으로 기술하고자 한다.

정보보호 관련 주요 이슈 및 논쟁사항

클라우드 컴퓨팅은 네트워크, 서버, 저장소, 응용, 그리고 서비스 등을 포함하는 공유 컴퓨팅 자원 등에 대하여 수요 기반으로 네트워크 접근을 제공하기 위한 모델로 정의되고 있다. 이는 최소한의 관리 노력과 서비스 제공자 상호동작을 통한 신속하게 제공되어야 한다. e-헬스 시스템의 경우, 환자 의료 데이터가 IT 시스템을 통해 수집하여 처리되어 저장되며, 이러한 시스템은 다른 위치에 존재하는 여러 의료종사자들에 의해 원격이나 로컬 인터페이스를 통해 표준화된 방식으로 보안 위협이 존재하지 않도록 접근 및 처리되도록 구축되어야 한다. 스마트 그리드는 전력 그리드와 지능형 인프라의 결합으로서, 원격 전자검침, 유무선 네트워크와 소프트웨어 등의 결합으로 구현된다. 이들 서비스 및 인프라 제공을 위한 최대의 난제는 보안 위협이라고 할 수 있으며, 이러한 보안 위협을 감소할 수 있는 클라우드 컴퓨팅 인프라와 서비스, e-헬스 인프라, 그리고 스마트 그리드 인프라의 구축이 시급히 요구되고 있다.

2009년 9월 16일부터 25일까지, 스위스 제네바에서 국제전기통신연합 통신부문 연구반 17 회의가 열렸다. 이번 회의는 27개국 총 148명의 전문가가 참석하는 등 사이버보안 표준화의 중요성이 재차 확인된 회의였다. 이번 회의에서 가장 중요한 이슈 중 하나는 연구반 17에서 다루지 않았던 클라우드 컴퓨팅 보안, 스마트 그리드 보안, e-헬스 보안 등의 새로운 보안 주제에 대해 국제 표준화를 어떻게 추진할 것인지에 대한 논의였다.

이 세가지 새로 부상하는 보안 분야에 대한 글로벌 표준화 요구는 회원국으로부터 기고서가 없었으나, 연구반 17 의장단 회의에서 제기되어 연구반 17 의장(A.Kremer, 러시아)의 긴급 제안으로 특별 회의가 두 번 열려 추진방향 결정을 위한 참석자의 의견이 수렴되었다. 이 문제를 다루기 위한 쟁점사항은 연구방법, 연구시기, 연구 범위 등이었다.

국제전기통신연합 연구반 17은 이번 회의를 통해 세가지 새로운 보안 연구주제들에 대한 글로벌 표준화가 필요하다는 일반적인 합의는 이루었으나, 어떤 범위로, 어느 정도의 수준으로, 어떤 작업반 또는 연구과제에 의해, 어떻게 표준화를 수행할 지에 대해서는 향후 논의를 통해 결정하기로 합의한 바 있다. 필자는 응용보안 작업반 의장으로서 작업반 개막 플래너리에서 산하 각 연구과제가 이 문제를 어떻게 다룰 지에 대해 논의할 것을 요청했다. 국가간 논쟁사항은 표준화 추진, 내용, 표준화 시기, 방법 등의 차이였다. 이러한 논쟁사항은 향후 전문가그룹의 논의를 통해 확정될 것으로 보인다.

이번 회의를 통해 이 새로운 보안 주제의 글로벌 표준화를 위한 연구반 17의 역할과 추진 방향을 결정하기 위한 전문가그룹(CG, corresponding group)을 결성하기로 했고, 내년 2월말까지 이메일 및 텔레컨퍼런스(tele-conference) 등의 회의를 통해 논의한 결과를 연구반 17에 보고하기로 하였다. 또한, 연구과제 6에서 스마트 그리드 보안, 연구과제 7에서 e-health 보안, 연구과제 8에서 클라우드 보안의 추진 방법에 대해 논의하였고, 세 연구과제에서 이 주제에 대한 국제 표준화 추진이 필요하므로 세 전문가 그룹 활동에 적극 참여하도록 권유하기로 하였으며, 다음 연구반 17 회의에서 각 회원국에게 관련 기고서 제출을 격려하기로 합의하였다.

SG17 폐막 플래너리 회의에서는 CG 신설을 위한 활동영역(ToR: Terms of Reference)이 승인되었고, CG의 공동 컨비너를 선임하였다. 필자는 미국, 캐나다 등의 전문가와 함께 클라우드 컴퓨팅 보안과 e-헬스 보안의 전문가 그룹의 공동 컨비너로 임명되었다. CG 은 현재 다른 표준화 기구에서 수행된 결과를 분석하고, 추가적인 표준화 항목과 목표를 확인하며, 연구방법, 연구범위, 적정한 연구과제 선정 등을 포함하는 전략 보고서를 2010년 2월말까지 마련하여 최종적으로 2010년 4월 SG17 회의에서 향후 추진방향을 결정할 것으로 예측된다. 향후 추진 방안으로는 연구과제 신설, 기존 연구과제를 통한 수행, JCA(Joint Coordination Activity)/FG(Focus Group)/WP(Working Party) 등의 신설을 포함한 모든 가능성이 열려 있다고 할 수 있다.

향후 추진 전망

국내에서도 이 주제들에 대한 본격적인 연구개발이 2010년부터 시작될 전망이어서 이 전문가그룹 활동에 적극적으로 대응할 필요가 있다고 생각한다. 전문가 그룹 활동이 주로 전자메일을 통해 이루어질 것으로 예측되는 바, 한국인터넷진흥원 등 관련 기관과의 협의를 통해 적극적으로 대응할 필요가 있다. 또한, 전문가 회의가 내년 2월말까지 주요 결정이 이루어질 것으로 예상되며 산업적 파급효과가 매우 클 것으로 예측되기 때문에 연구기관, 정부부처, 그리고 대학 국내 보안 전문가들의 적극적인 참여를 통해 우리의 입장을 고려한 추진 방향이 설정되도록 노력해야 할 것이다.