2009년 11월 3일부터 4일까지 미국 레드몬드에서 ITU-T(국제전기통신연합 전기통신부문) 연구반 17 연구과제 4(사이버 보안) 인터림(interim) 회의가 열렸다. 이번 회의에서는 미국, 영국, 일본, 한국 등 보안 전문가가 참여하여 연구과제 4에서 의욕적으로 추진되고 있는 글로벌 사이버보안 정보교환 표준에 대한 심도 깊은 논의가 이루어졌다. 또한 이 회의에서는 조직이나 국가에서 수행하고 있는 사이버 보안 정책에 대한 집행 결과와 현재의 보안수준을 평가하기 위한 사이버보안 지수 국제표준화를 위한 논의가 이루어졌다. 본 고에서는 이에 대한 논의 방향을 중심으로 기술하여 향후 추진일정과 우리의 대응방안을 중심으로 기술하고자 한다.

정보보호관련 주요 이슈 및 논쟁사항

현재 정보통신분야에서 대표적인 지수는 ITU가 발표하고 있는 개발지수(DI: Development Index)와 세계경제포럼이 발표하는 네트워크준비지수(NRI: Network readiness Index)이다. ITU 개발지수는 2009년 3월 발표되었고, 2002년부터 2007년까지 각국에서 수행된 ICT 분야의 주요 정책 효과를 측정해서 발표하고 있다. 개발지수에는 ICT 인프라 및 액세스 부문, ICT 이용 부문, ICT 능력 및 기술 부문 등 세 개의 그룹으로 구성되며, ICT 인프라 및 액세스 부문은 100인당 유선전화 선로 수, 100인당 이동전화 수, 인터넷 사용자당 인터넷 대역, 컴퓨터 가정 보급률, 인터넷 가정 보급률 등의 세부 지표로 구성되어 있고, ICT 활용 부문에서는 100인당 인터넷 사용자 수, 1000명당 유선인터넷 사용자 수, 100인당 무선 광대역 인터넷 사용자 수 등의 세부 지표로 구성되며, ICT 활용 부문은 성인 문자인식율, 고등교육비율, 대학교육비율 등을 포함한다. 한국은 2009년 3월에 발표된 지수 평가에서 스웨덴에 이어 2위를 기록했다.

또한 정보보호 분야에서 유일한 글로벌 지수는 세계경제포럼이 발표한 매년 발표하는 보안서버 보급률이며, 이는 특정 벤더의 SSL 인증서 수를 기준으로 측정되어서 완전성에 문제가 많다. 한국은 2009년 세계 16위를 기록했다.

국내에서는 한국인터넷진흥원은 2002년부터 국가정보보호지수를 매년 발표하고 있다. 국가정보보호 지수는 인프라 부문, 환경 부문, 역기능 부문으로 구분되어 평가되며, 인프라 부문의 경우 방화벽/IDS 설치율, 안티바이러스 보급률, 보안 패치 보급률, 보안서버 보급률 등으로 구성되며, 환경 부문의 경우 교육/훈련, 정보보호 인력, 정보보호 예산 항목으로 구성되며, 역기능 부문의 경우 보안 사고율, 개인정보 침해 신고비율, SPAM 비율 등으로 구성되어 있다.

그러나, 사이버 보안 지수 관련해서, 글로벌 차원에서 합의된 사이버보안 지수가 현재 없고, 변화하는 기술발전 추이를 고려한 사이버보안 지수 개발이 필요하고, 특히 개도국이나 저개발국의 현황을 고려한 글로벌 사이버보안 지수의 개발이 절대적으로 요구되고 있으나, 이에 대한 글로벌 표준화 활동도 어느 국제표준화 기구에서도 수행되고 있지 않다는데 문제가 있다. 따라서 지수의 구성요소인 원시데이터인 지표 데이터에 대한 신뢰성을 확보하면서 사이버보안 지수를 가장 적절하게 대표할 수 있는 지표를 선정할 수 있을 뿐 아니라, 정보보호 정책의 집행 효과를 측정하기 위한 글로벌 차원의 사이버보안 지수 또는 정보보호지수의 개발이 시급히 요구되고 있다.

필자와 한국인터넷진흥원 관계자는 글로벌 사이버보안 지수에 대한 국제표준화 가능성에 대한 기고서를 이번 국제전기통신연합 연구반 17 연구과제 4(사이버보안) 인터림 회의에서 제안했다. 이에 대한 토의 결과는 영국, 미국, 일본, 캐나다 등의 대표로부터 전폭적인 지지를 받았다. 영국대표는 사이버 보안 지수를 적용한 대상이 어딘지에 대한 질문이 있었고, 국가별로 또는 조직 별로 적용할 수 있다고 응답하였다. 또한 영국에서 실시한 사이버지수와 관련될 수 있는 자료를 제공하였다. 일본 대표는 사이버 보안 지수에 대한 관심을 나타내며, 기존 한국 국가정보보호지수에 대한 자료를 요청하였고, 지난 전기통신표준총회에서 합의된 개도국을 위한 CIRT(Computer Incident Response Team) 지원에 관한 결의안(결의안 58)을 이행할 수 있는 좋은 워크아이템이 될 수 있다고 말했다. 미국 대표는 현재 미국 정부기관과 민간기관에서 사이버보안 지수와 연관되는 통계 자료에 대한 웹 사이트를 알려주었다. 특히 연구과제 4의 라포처인 Tony Rutkowski는 이 제안은 매우 유익하며, 반드시 연구과제 4가 수행해야 할 워크 아이템이라고 말했고, 이에 대한 전전된 사항을 ITU-T 사무총장에게 GSC14 후속 조치차원에서 알리고 ITU-D 연구과제 22 라포처에게 관련 내용을 알리기로 합의하였다. 따라서 전반적으로 부정적인 의견은 거의 없었고, 새로운 워크 아이템 제안에 찬성하였으나, 인터림회의가 의견 수렴과정의 일환임을 고려해서, 최종 결정은 2010년 4월 연구반 17 회의에서 최종 확정키로 하였다.

향후 추진 전망

국내에서는 이 활동과 연계되어 있는 지수의 경우, 방송통신위원회가 주도하는 국가정보보호 지수와 행정안전부가 추진 중인 사이버안전 지수가 있다. 이러한 지수도 클 틀에서는 국제표준화를 수행하여 글로벌 환경에서 합의된 지수에 의해 사이버보안 정책 집행 결과를 평가 받아야 할 것이다. 이번 글로벌 사이버보안 안전 지수에 대한 국제표준화는 이러한 차원에서 국내 정부기관, 한국인터넷진흥원 등과 긴밀한 협조 하에 추진되어야 한다. 이번 국제표준화는 두 단계로 구성되면, 첫 단계에서는 사이버보안 지수에 대한 글로벌 표준을 개발하는 단계이고, 두 번째 단계에서는 이 표준에 근거해 각국이나 조직으로부터 필요한 원시 데이터를 국제전기통신연합과 같은 공신력 있는 기관이 수집해 각 국의 현재 사이버보안 상태 및 수준을 파악하고, 미비점과 부족함을 보완하는데 활용될 수 있을 것이다. 국내 유관기관과 연구자의 적극적인 관심이 요구되는 시점이다.