국제전기통신연합 연구반 17(정보보호) 회의가 지난 2010년 12월 8일부터 17일까지 스위스 제네바에서 개최되었다. 회의 주요 이슈는 러시아에서 제안한 “개도국을 위한 국가네트워크보안센터(NCNS, National Center for Network Security)”를 위한 신규 워크아이템 제안이었다. 국가 네트워크 보안 센터는 개도국의 사이버보안 문제를 해결하기 위해 매 국가마다 사이버보안을 책임질 허브 단일 사이버보안 센터라고 볼 수 있으며, 이 허브를 이용해 국가 내 하부 여러 분야 사이버 보안 센터들은 물론 외국의 국가 네트워크보안센터 간의 사이버 침해사고를 해결하기 위해 사전 예방, 긴급 대응, 그리고 사후 처리 등의 대응을 하자는 아이디어에서 시작되었다. 본 고에서는 이 신규 표준화 워크아이템 합의에 이르기까지 논쟁사항을 중심으로 기술하고자 한다.

주요 이슈 및 논쟁사항

본 신규 워크아이템 제안은 지난 4월 연구반 17회의에서 러시아가 제안하였으나, 그 당시 합의가 이뤄지지 않아 12월 회의에서 다시금 논의되었다. 이 이슈는 한 번의 비공식 회의, 2번의 특별 회의, 작업반(WP) 1 회의, 연구반 17 프리너리(Plenary) 회의를 거쳐 논의가 진행되었다.

이 새로운 워크아이템은 지난 4월 연구반 17회의에서는 영국, 미국, 프랑스, 일본 등의 강력한 반대로 신규 워크아이템 채택에 실패했고, 추가적인 논의를 위해 지난 4월부터 12월까지 전문가그룹(CG, corresponding group on NCNS)이 구성되어 이메일을 통해 논의를 계속 진행했으며 이 전문회의 결과를 중심으로 이번 회의에서 다시 논의되었다.

논쟁의 핵심은 러시아가 제안한 워크아이템이 기술적 측면을 주로 다루고 있는 지와 기술적 측면의 구체성, 그리고 지지하는 국가가 누구인지에 대한 것이었다.

러시아가 당초 제안한 사항은 “국가 네트워크 보안센터”로 주로 기술적 내용이 아니라 규제적인 내용과 체계를 중심으로 제시되었으며, 세부 내용의 구체성이 부족했다. 러시아 측에서는 구체적인 내용은 표준화 아이템이 합의되고 나서 권고안 개발하는 과정에서 해결될 수 있다고 주장했고, 각 국가마다 네트워크 보안을 책임질 하나의 “국가네트워크보안센터”를 설립해야 된다고 주장했으며, 2010년 멕시코에서 열린 ITU 전권위원회(PP, Plenipotentiary Conference)의 결의안 130에서 “국가네트워크보안센터”가 인식 아이템(recognizing item)에서 표현되고 있어서 연구반 17이 이를 수행할 의무가 있다고 주장했다.

이에 대해 영국, 미국, 캐나다 등은 하나의 국가 네트워크 보안센터를 갖는 것은 현재의 분산형 네트워크보안센터 구조 하에서는 하나로 지정하기가 어렵고, 기술적 내용은 이미 사이버 보안 정보교환기술 권고안(권고안 ITU-T X.1500)에서 다루고 있어서 표준 내용의 중복성이 우려되며, 결의안의 내용은 연구반 17에게 요구하는 것이 아니고 단순히 인식 항목에 있어서 이의 이행에 대한 강제성이 없으며, 권고안이 기술적 측면이 아니라 규제와 연관된다면 연구반 2나 ITU-D의 연구과제 22에서 수행되어야 한다고 주장했다. 한국도 현재의 워크아이템 내용이 너무 포괄적이어서 이에 대한 기술적 측면 위주의 구체화된 표준화 범위 설정과 내용 제시가 필요하다고 주장했다. 이 주장은 일본 등에 의해 지지되었다.

논란 끝에 새로운 표준화 워크아이템에 대한 구체적인 범위가 마련되었다. 그 내용은 국가 네트워크 보안 센터내의 기능구조(기능 블럭 등)와 국가 네트워크 보안 센터와 하부 각 주체(ISP, 분야별 네트워크보안센터)들 간의 구조를 정의하자는 것으로 다시 제시되었다.

이러한 새로운 제안은 연구반 17 프리너리에서 다시 논의되었고, 이때는 이 워크아이템 설립을 지지하는 회원국에 대한 토의가 있었다. 당초 러시아의 제안에는 러시아 국가 연합(CIS, Common wealth of independent states)과 아랍연맹(Arabic state) 등이 지지하는 회원(members)에 들어가 있었으나, 미국 등이 지역 연합은 회원의 범위에 들어가지 않으므로 이를 제외하고, 구체적인 회원국의 지지가 필요하다고 주장했다. 이를 받아들여 러시아연방, 시리아, 이란 등 구체적인 회원국 명으로 수정되었다.

이렇게 수정된 새로운 수정안도 영국, 미국, 캐나다, 일본 등이 규제와 연관되며, 내용의 구체성이 미흡하므로 반대 의견을 제시했으나, 연구반 17 의장은 4개국의 반대 의견을 연구반 17 결과 보고서에 반대했다는 의견으로 기입한다는 조건으로 새로운 워크아이템을 신설하자고 제안해 이를 합의했다.

결론적으로, 우여곡절 끝에 지난 4월 연구반 17회의에서 제안된 국가네트워크보안센터 설립을 위한 새로운 워크아이템은 연구반 17의 연구과제 2(Security Architecture and Framework)에서 설립되는 것으로 합의되었다. 

향후 추진 전망

최근의 이러한 논란을 통해 국제전기통신연합(ITU-T)에서 새로운 표준화 아이템 신설이 사안에 따라서 얼마나 힘들게 채택될 수 있는지에 대한 하나의 사례라고 볼 수 있다. 다만, 이 워크아이템이 규제와 연관되므로 최종 채택 과정을 TAP(Traditional Approval Procedure)를 따라야 하므로, 최종 권고안 채택 과정에서 하나의 회원국이 권고의 최종 채택을 막을 수 있음을 고려하면, 앞으로 구체화될 권고안의 내용에 대해 면밀히 살펴볼 필요가 있다. 향후에는 이 워크아이템에 대한 구체적인 ITU-T 권고가 개발될 예정이다. 우리나라의 경우, 향후 권고의 내용을 살펴보면서 국내 국가네트워크보안 센터의 구조를 살펴보면서 표준 개발 과정의 면밀한 관찰과 표준 개발 과정의 참여가 필요하다고 생각한다.