ITU-T SG17 연구반은 2008년 10월, WTSA-08 총회 결과에 따라 산하 분과(WP: Working Party) 조직을 재구성하였으며, 정보통신 응용보안기술분과인 WP2 내에 텔리바이오메트릭스 연구과제 9(Question 9)에서 통신 네트워크 환경에서의 바이오인식 표준을 연구하고 있다. 현재, Q.9에서는 사용자 신원을 확인하기 위한 표준초안들이 개발되고 있으며, 한국을 비롯하여 일본, 중국, 프랑스, 스위스, 영국 등 많은 국제표준화 전문가들이 참여하여 바이오인식 기술의 활용 및 관련 데이터의 보호에 대한 커다란 관심을 표명하였다. Q.9는 ISO/IEC JTC1/SC37(바이오인식), SC17(IC카드), SC27(정보보호) 뿐만 아니라 ISO/TC215(Health informatics), ISO/TC12(Quantities, units, symbols, conversion factors), IEC/TC25(Quantities and units, and their letter symbols) 그룹들과 공동의 표준을 개발하는 등 바이오인식 관련 다양한 형태의 협력 활동을 하고 있다. 현재, ITU-T SG17에서 제정이 완료된 바이오인식 기반 사용자 인증 관련 표준들은 X.1084(X.tsm), X.1086(X.tpp), X.1089(X.tai) 등을 기반으로 바이오인식 기반 국가인프라 및 활용 표준 개발에 고심하고 있다.

바이오정보보호가이드라인(X.1086)/amendment 1(멀티모달정보보호가이드라인)

X.1086에서는 원격 바이오인식 사용의 취약성과 위험을 정의하고, 기술적인 측면과 관리적인 측면에서의 보안 대책을 내 놓았다. 첫 번째 기술적 측면에서는 전달되는 정보에 대한 무결성과 상호인증 그리고 기밀성을 보장하는 대책을 내놓는 것과 바이오인식 정보의 생성과 전달, 보관과 폐기까지의 보안 요소를 정의하였다. 두 번째 관리적 측면에서는 바이오인식 장치의 설치, 제거, 운반 시 보안에 대한 수치를 기술하는 것과 작업 절차와 기능, 프로그램에 참여하는 개인에 대한 의무와 책임까지 정의하였다. 또한, X.1086에서는 보안 위협을 12가지로 정의하고 이를 대응하기 위한 기술적 관리적 메커니즘을 선택적으로 활용할 수 있게 하였는데, amendment 1에서는 멀티모달을 위한 메커니즘을 제안하는 목적을 위해 추가적인 부속서 개발이 진행되고 있다.

<그림 1> X.1086에 제안된 멀티(multi)모달을 위한 모달러티(modality)간 결합 방법론

바이오보안토큰을 활용한 바이오인증 프레임워크(X.bhsm)

바이오보안토큰은 바이오인식 센서와 바이오인식 정보를 처리할 수 있는 MCU(MicroController Unit), 스마트카드로 구성된 USB 형태의 하드웨어 기기로서, 기기 내부에서 바이오인식 센서로 가입자의 바이오인식 정보를 추출하여 보안토큰에 안전하게 저장하며, 사용자 인증 시 바이오인식 센서로부터 취득된 바이오인식 정보와 저장되어 있는 바이오인식 정보를 기기내부 MCU에서 매칭하여 사용자를 인증하는 독립된 하드웨어 보안모듈이다. 기존의 보안토큰이 제공하는 개인인증 기법이 ID/패스워드에 기반한 방법이므로 이의 유출로 인해 생길 수 있는 피해를 최소화하고, 고의적인 공인인증서의 오용을 막을 수 있도록 높은 수준의 보안 및 개인인증기법을 제공한다. 바이오인식 정보 중에서 임베디드화가 가장 용이하고 가장 널리 사용되고 있는 지문인식이 채택되고 있다. 그러나 이와 더불어 보안토큰에서의 취약한 개인인증 기법에 대한 취약점이 노출되고 있으며, 바이오인식과 같은 확실하고 안전한 개인인증 기법이 요구되고 있다. 2010년 12월에 신규 표준화 아이템으로 선정된 X.bhsm은 바이오보안토큰과 공인인증서의 연계 모델을 제시하고, 모델 별 발생할 수 있는 다양한 보안위협으로부터 민감한 개인 프라이버시 정보인 바이오정보를 보호하기 위한 통합 보안 프레임워크를 제시하고 있다. 또한, 바이오보안토큰을 이용한 안전한 개인인증 방법론을 제시함으로써, 인터넷 뱅킹과 전자상거래의 활성화에 기여할 수 있다.

<그림 2> 바이오보안토큰을 활용한 바이오인증 프레임워크의 구동 환경

바이오인식 기반 원격의료 통합 프레임워크(X.tif)

원격의료에서 바이오 정보를 보호하기 위한 프레임워크를 제시하고, 발생할 수 있는 위협을 정의한다. 보호대상은 바이오정보를 포함한 프라이버시 정보를 포함한다. 통합 프레임워크에 기존 표준을 적용하는데 있어서 안전한 전송을 위해 제시할 수 있는 대처방안을 제시한다.

<그림 3> 바이오인식 통합 프레임워크 보안 위협

국내 성과 및 향후 대응 방안

한양사이버대학교 신용녀 교수, 충북대학교 전명근 교수는 공동으로 “바이오보안토큰을 활용한 바이오인증 프레임워크(X.bhsm)”을 제안하여 신규 표준화 아이템으로 선정되는 성과를 얻었고, 한양사이버대학교에서는 바이오인식 기반 원격의료 통합 프레임워크(X.tif)에 대한 기고서를 발표하였다. 특히 지난 12월 SG 17 회의 전에 SG17에서 진행되고 있는 정보보호 표준들에 대한 컨퍼런스가 개최되었으며, 본 저자는 “한국의 원격의료 현황 및 바이오인식 도입사례”에 대해 발표하여, 브라질 등의 호평을 받았다. 우리나라는 2007년부터 사용자 중심의 ID 관리 시스템에 대한 국제공동 연구 개발을 추진하고 있으며, 향후 바이오인식 기반 원격의료, 바이오인식 기반 네트워크 CCTV 정보보호 등의 연구과제는 바이오인식 제품의 국내 산업체에 새로운 시장을 창출할 수 있는 중요한 제안으로 산업체의 협력을 바탕으로 적극적으로 추진이 필요하다. 따라서 바이오인식 관련 표준화 활동에 국내 산업체, 정부출연 연구기관, 그리고 학계의 적극적이며 지속적인 관심과 참여가 필요한 시점이다.