국제전기통신연합-전기통신부문 정보통신표준자문반(ITU-T TSAG) 회의가 2013년 6월 4일부터 7일까지 스위스 제네바에서 열렸다. 이번 TSAG 회의에서 정보보호분야에서 비중 높게 거론된 이슈는 두 가지다. 첫 번째 이슈는 연구반 17(SG 17, 보안)과 연구반 13(SG 13, 미래 네트워크) 간의 클라우드 컴퓨팅 보안 업무 할당에 관한 이슈였고, 두 번째 이슈는 2013년 4월 SG 17 회의에서 결정된 SG 17 산하 연구과제 6(Q.6/17)의 디폴트 권고 승인 절차에 관한 이슈였다. 본 고에서는 이번 회의에서 다뤄진 이 두 가지 주요 이슈에 대한 논쟁사항과 합의 사항을 중심으로 기술한다.

주요 이슈 및 논쟁사항

SG 17과 SG 13 간의 클라우드 컴퓨팅 보안 업무 할당에 관한 이슈는 2012년 아랍에미리트 두바이에서 열린 세계정보통신표준총회(WTSA-12)에서 SG 17과 SG 13에게 두 SG의 협력 하에 클라우드 컴퓨팅 보안 표준 추진을 위한 각자의 영역을 식별하고 그 결과를 2013년 6월 TSAG 회의에 보고하도록 요청한 데서 기인한다. 이후 SG 13은 이 이슈를 다루기 위해 2013년 2월 SG 13 회의에서 업무 할당을 위해 14개 태스크를 식별하는 등 첫 번째 합의안을 마련했다. 또한, 2013년 4월 SG 17 회의에서도 이전 SG 13 회의에서 마련된 태스크 할당을 세분화 및 구체화했고, 두 SG들이 공통으로 개발할 공통 프로젝트(common project)의 개념을 정의하고 공통 프로젝트를 추진하는 방법을 합의했다. 이번 TSAG 회의에서는 그동안 수행된 두 SG의 논의 결과가 보고되었고, 한국(필자)은 국가 기고서로 2013년 4월 SG 17 회의의 합의안을 TSAG이 지지하도록 요청했다. 토론 결과, SG 17 합의안에 기초한 한국 제안이 이의 없이 반영되어 최종적으로 <표 1>과 같은 업무 할당이 결정되었다.

<표 1> SG 13과 SG 17 간의 클라우드 컴퓨팅 보안 업무 할당

두 번째 이슈는 회원국 주권(sovereign right)과 연관된 이슈였다. ITU-T에서 권고를 승인하는 방법은 두 가지다. 첫 번째 방법인 대체승인절차(AAP)는 기술적 권고의 승인 시에 적용되며 빠른 승인 기간을 가지며, 두 번째 방법인 전통승인과정(TAP)은 규제와 관련된 권고에 적용되는 승인 과정으로 상대적으로 늦은 승인 기간을 갖는다. 지난 4월 SG 17 회의는 산하 Q.6/17 (유비쿼터스 통신망을 위한 보안 측면)의 디폴트 권고 승인과정을 논란 끝에 AAP로 결정했다.

지난 4월 SG 17 회의 당시 독일 등 4개국은 이 연구과제의 디폴트 권고 승인과정이 현재 개발 중인 권고의 성격이 정책 및 규제적 측면이 있을 가능성을 염두에 두고 전통승인과정(TAP)이 되어야 한다고 주장했다. 이에 반해 한국 등 5개국은 Q.6/17가 그동안 기술적 권고를 주로 개발했고, 이에 따라 지금까지 대부분의 승인된 권고들이 AAP를 이용했으며, 이 분야의 시장으로부터 빠른 권고 생산 요구가 있어서 디폴트 권고승인과정이 AAP가 되어야 한다고 주장했다. 논쟁 동안 절충이 이뤄지지 않아 SG 17 의장은 프리너리에서 Q.6/17이 기술적 권고를 주로 개발하고 있다는 몇 가지 이유를 들어 디폴트 권고승인과정을 AAP로 결정했다.

이번 TSAG 회의에서 이러한 SG 17 의장에 의한 디폴트 권고승인과정에 대한 결정에 대해, 영국 등 4개국은 ITU 헌장(Constitution, CS)의 서문과 협의(Convention, CV)의 관련 조항에 근거해, 이 결정이 회원국의 주권을 침범하고 있고, 회원국이 정책적 또는 규제적 함의가 있다고 우려하는 권고에 대해 AAP를 적용할 수 없으며, 권고의 승인과정을 다룬 ITU-T 권고 A.8의 관련 조항이 CS나 CV의 관련 조항보다 우선순위가 낮다고 주장하면서, TSAG이 SG 17 의장의 결정을 뒤집어서 Q.6/17 디폴트 권고승인과정을 TAP로 변경할 것을 SG 17에게 권고하도록 요청했다. 요약하면, Q.6 디폴트 권고 승인 과정을 AAP에서 TAP로 변경하도록 요구한 것이다.

회의에서는 이 이슈는 기술적인 이슈가 아닌 ITU-T 관련 조문 해석에 대한 문제라고 간주되면서 ITU 법률 자문가에 의한 조문 해석을 요청했다. 이 요청에 응해 ITU 법률 자문가는 WTSA-12에서 산출된 결의 1과 결의 40이 ITU 헌장(CS)이나 협약(CV)의 정신에 부합하고 있으며, CV에서 제시된 권고나 연구과제에 대한 정책 또는 규제적 우려에 대한 회원국의 거부 권한도 AAP 권고 승인절차의 4주간의 최종 의견수렵과정(LC) 동안에 행사할 수 있고, 해당 SG이 연구과제 디폴트 권고승인과정을 선택할 권한이 있으며, 합의가 없으면 WTSA의 의사결정 방법인 다수결 원칙에 따라야 한다고 의견을 내 놓았다. 한마디로 관련 조항은 이미 회원국의 주권을 행사할 수 있는 근거를 마련하고 있다고 확인했다.

토론 과정에서 영국 등 4개국은 이 Q.6/17 권고승인과정이 TAP가 되어야 한다고 주장했고, 한국 등은 AAP가 되어야 한다고 주장했다. 한국(필자)은 이 근거로 지금까지 Q.6/17에서 승인된 권고가 22개이며, 이 중 1개의 권고만이 TAP를 이용해 승인되었고, 나머지 21개의 권고는 모두 AAP로 승인되었으며, 지난 회기의 Q.6/17의 텍스트와 이번 회기의 Q.6/17의 텍스트가 거의 비슷하고, 현재 모든 권고가 이전 연구 회기에서 생성되었으며, 대부분의 현재 권고가 기술적 권고임을 근거로 AAP가 되어야 한다고 주장했다.

이번 TSAG 회의에서는 ITU-T 법률 자문가의 의견을 인정하는 선에서 결론이 이루어졌다. 물론, 영국 등 4개국은 추가적인 검토 시간이 필요하다고 주장하였으나, 특별한 반박 없이 마무리되었다. 다시 말해, Q.6/17 디폴트 권고승인과정은 AAP로 유지하기로 결정되었다.

향후 추진 전망

이번 TSAG 회의에서 결정된 두 SG 간의 클라우드 컴퓨팅 보안 업무 할당은 관련 서비스 제공자 등 국내 산업체와 표준개발 주체가 자신이 원하는 국제 표준이 ITU-T에서 어떤 SG에 의해 다뤄져야 하는지에 대해 결정하게 한다. 또한, Q.6/17의 디폴트 권고 승인 과정에 대한 결정은 Q.6/17에서 개발 중인 국제 표준이 시장의 요구에 신속하게 산출할 수 있을 것으로 기대된다. 다만, Q.6/17의 디폴트 권고 승인 과정의 결정이 추후 SG 17 회의에서 추가적인 이슈 제기를 고려할 필요가 있다.