12번째로 맞은 한중일 IT 표준협력회의(CJK IT Standards meeting)가 2013년 4월 9일부터 11일까지 중국 낙양에서 열렸다. 이 회의는 한국 (TTA), 일본 (TTC, ARIB), 그리고 중국 (CCSA)에서 주관하고 있다. 이 회의 정보보호 표준협력분과회의(Information Security WG)에서는 신규 보안 이슈와 클라우드 컴퓨팅 보안 이슈에 대한 심도 깊은 토의와 향후 대응 방안이 합의되었다. 본 고에서는 한중일 정보보안 표준협력분과회의에서 논의된 협의 및 합의 사항을 중심으로 기술한다.

주요 이슈 및 논쟁사항

이번 한중일 정보보호 표준협력분과회의에서는 두 가지 중요한 이슈가 다뤄졌다. 하나는 지난 세계표준총회(WTSA)에서 국제전기통신기구-통신부문(ITU-T) 내 연구반 17(SG 17)과 연구반 13(SG 13) 에게 요구한 두 SG 간 클라우드 보안 관련 업무 역할 분리에 대한 이슈와 한국(필자)이 제안한 융합 환경을 위한 보안 기술의 표준화 필요성에 대한 이슈였다.

먼저, 클라우드 컴퓨팅 보안 이슈의 경우, 2012년 11월 세계표준총회(WTSA-12)에서 SG 13과 작업 분담이 필요하다고 주장하는 미국 중심의 견해와 SG 17을 중심으로 표준화 작업을 진행해야 한다는 러시아 중심의 견해가 분명히 갈린 바 있다. 미국 중심의 견해는 현재 SG 13에 보안 관련 연구과제가 존재하고 있고, 클라우드 컴퓨팅 관련 작업그룹(WP)이 SG 13에 존재하며, 표준화를 위한 조인트협력회의(JCA)의 상위 SG(parent group)이 SG 13임을 고려해, SG 13과 SG 17 간 이에 대한 적정한 태스크의 분담이 이뤄져야 한다고 주장했다. 이에 반해 러시아 중심의 견해는 지금까지 SG 13을 제외한 많은 SG 간의 협력을 통해 ITU-T 내에서 보안 표준을 개발해 왔고, SG 17이 보안에 대한 책임 SG으로 세계표준총회에서 임명된 바 있으며, 연구과제 8이 많은 클라우드 보안 권고들을 개발하고 있으므로, SG 17이 모든 클라우드 컴퓨팅 보안 태스크를 대응해야 한다고 주장한 바 있다.

세계표준총회 이후 지난 2월에 열린 SG 13 회의에서는 SG 13과 연구과제 8/17 간의 업무 역할을 구분하는 타협안이 마련된 바 있다. 따라서 이 이슈는 2013년 4월 SG 17 회의에 이어 6월 전기통신표준화자문반(TSAG) 회의에서도 중요한 이슈로 계속 다뤄질 것이다.

CJK 작업반 회의에서는 4월 SG 17 회의에 제출된 미국, 영국, 캐나다, 중국, 러시아에서 제출된 기고서의 내용이 검토되었고, SG 17과 SG 13 간의 태스크 할당에 관한 지난 2월 SG 13의 결과도 검토되었다.

기본적으로 한중일 3국은 지난 2월 SG 13회의에서 마련된 안이 SG 17회의에서 논의될 시작점이 되어야 한다는 데 동의를 이뤘고, 여기서 마련된 안 중에서 SG 17과 SG 13 간에 공동으로 할당된 공통 프로젝트(common project)에 대한 정의와 권고 최종 채택 절차에서 일어날 수 있는 채택 동기(synchronization) 문제가 있음을 확인했다. 또한 여러 가지 다양한 업무 역할 분배를 위한 세부적인 고려사항이 논의되었고, 한중일 3국은 4월 연구반 17 회의에서 공동의 입장을 견지하기로 합의했다.

또 다른 이슈인 융합 환경에서 정보보안 표준화 필요성에 대한 논의도 이뤄졌다. 융합 환경은 크게 IPTV와 같은 정보통신 부문 내 융합 환경과 스마트 그리드와 같은 다른 부문의 정보통신기술 융합 환경을 고려할 수 있다. 다시 말해, 부문 간 정보통신기술의 융합을 통해 다양한 정보통신기술이 융합되는 부문 내 정보통신기술 융합과 여타의 농림, 교통, 에너지 부문에 정보통신 기술을 적용해서 해당 부문의 서비스와 제품의 품질을 향상할 수 있다.

이번 회의에서는 한국 (TTA, 필자 등) 이 지난 세계표준총회에서 개정된 사이버보안 결의(Resolution 50)의 수정안에 지능형 교통 시스템 보안, 클라우드 컴퓨팅 보안, 스마트 그리드 보안에 대한 국제 표준을 ITU-T 연구반 17에게 수행하도록 지시했음을 고려해 한중일 3국이 ITU-T 연구반 17에게 이러한 신규 보안에 대한 우선순위를 부여할 것에 대한 공통 기고서(Common Contribution)를 마련해 연구반 17에 제출할 것을 고려하기로 합의하였다. 이러한 제안은 한중일 3국 보안 전문가들에 의해 다음과 같은 구체적인 액션 아이템으로 추진될 계획이다.

• 연구반 17에게 지능형 교통 시스템 보안, e-헬스 시스템 보안, 사물통신망 보안 등의 신규보안 이슈에 우선순위를 부여하도록 요구;

• 4월 연구반 17 회의에서 기존 연구과제 6/17에게 이 보안 이슈를 논의키로 하여, 그 결과를 연구반 17 프리너리에 보고;

• 4월 연구반 17 회의 논의 결과에 따라, 8월 한중일 보안 작업반 회의에서 신규 연구과제 텍스트(연구범위 및 활동영역)를 만들어 이를 차기 연구반 17 회의에 3국 공통 제안으로 제출.

이외에도, 한국 (TTA)에서는 온라인 연령 검증 기술에 대한 보안 표준 개발의 필요성을, 일본 (TTC)에서는 지능형 교통 시스템에 대한 보안 표준 개발의 필요성을, 중국 (CCSA)에서는 모바일 인터넷 보안, 사물 통신망을 위한 보안, 그리고 빅 데이터(Big Data) 보안을 위한 필요성을 제기했고, 이러한 제안은 다음 정보보호 표준협력분과회의에서 구체적인 표준화 아이템 도출이 필요하다는 데 합의했다.

향후 추진 전망

한중일 정보보호 표준협력분과회의에서는 현재 ITU-T에서 현안으로 대두되고 있는 클라우드 컴퓨팅 보안에 대한 태스크 할당과 신규 보안 이슈에 대한 국제 표준 개발 필요성에 대한 이슈가 심도 깊게 논의되었고, 3국의 보안 전문가 사이에 기본적인 대응 전략과 방향에 대한 대체적인 의견 교환과 방향성이 합의되었다. 다만, 국내 입장에서는 클라우드 컴퓨팅 보안 업무 역할 분배의 경우, 국내 정보보안 산업체(지식정보보안산업협회), 그리고 국내 클라우드 보안 표준 개발 주요 주체 (KISA, ETRI 등) 등의 입장과 의견을 고려할 필요가 있다.