개요

ITU(국제전기통신연합) 정보통신개발 부문 연구반 2(ITU-D SG2) 회의가 2014년 9월 22일부터 26일까지 스위스 제네바에서 개최되었다. 이번 SG 회의는 WTDC-14 이후 ITU 정보통신 개발 분야에서 2014-2018 연구회기의 첫 번째 논의 자리로, 연구과제별 의장단 선출과 향후 4년간 연구과제 목표, 마일스톤 등을 확립하는 매우 중요한 회의였다. ITU-D는 WTDC-14에서 채택된 두바이 액션플랜의 목표(①정보통신과 ICT 이슈에 대한 국제협력 강화, ②ICT 개발을 위한 환경 조성, ③ICT 이용에 있어서 신뢰 및 보안 강화, ④역량 강화, ⑤정보통신과 ICT를 통한 기후 변화 및 재난 관리 등)에 따라 설정된 프로그램과 이니셔티브, 그리고 SG들 간에 활동 시너지를 제고하는 것이 필요한 상황이다. 본 고에서는 SG2 연구과제 중 Q3(정보통신 네트워크 보안: 사이버보안 문화 개발을 위한 모범사례)에서 논의된 주요 이슈와 논의사항을 중심으로 기술하도록 한다.

주요 이슈 및 논의사항

사이버보안 연구과제는 지난 회기(2010~2014) Q22-1/1의 지속 과제로서 국가 사이버보안 관리시스템, 사이버보안 관련 공공민간 협력(PPP, Public Private Partnership), 국가 컴퓨터침해사고대응팀(CIRT, Computer Incident Response Team) 설립 및 운영과 관련된 모범사례 정보 수집, 사이버보안 인식 제고 활동 등이 주된 논의사항이었다.

이번 회의에서는 우리나라를 비롯하여 영국 NUIX Technology, AT&T, 중국, 일본, 그리고 표준화국(TSB)에서 제출한 총 15건의 기고서가 발표되었다. 제출 기고서가 다른 연구과제 작업반에 비해 월등히 많고, 지역별로도 영국과 미국을 비롯한 선진국은 물론, 콩고, 르완다 등 개발도상국가와 중국의 기고서 제출 건수가 많아 전 세계적으로 사이버보안에 대한 높은 관심을 반영한 것이라 하겠다.

우리나라는 2건의 기고서를 발표하였는데, 먼저 ‘인터넷 중독에 대한 한국 정부의 대응책 및 국제협력방안’에 대해 영국, 아르헨티나, 캐나다, 미국 등은 이 문제가 비단 한 국가뿐만 아니라 전 세계가 공통으로 겪고 있는 문제라는 점을 인식하고, WHO, UNESCO, UNICEF, ITU 이사회 온라인 아동 보호(COP, Child Online Protection) 작업반 등 관련 활동을 이행 중인 유관 기구에 본 기고서를 연락문서(liaison statement)로 전달하여 보다 다차원적인 협력방안에 대해 논의하기로 하였다.

이어서 필자는 ‘개인정보 유출과 이에 대한 한국정부의 대응책’은 빅데이터, 소셜 미디어, 클라우드 서비스 확대에 따른 개인정보 활용 증가와 신규 ICT 서비스 확대에 따른 침해위협 증대에 대해 설명하고, 최근 발생한 대규모 개인정보 유출사건과 피해현황, 그리고 우리나라 정부의 대응과 향후 추진 방향에 대해 발표하였다. 피해 사례로는 IT 인프라 발전에 따른 해킹 사례 증가, 주요 금융 기업의 대규모 개인정보 유출 사례 등을 예시하였고, 개인정보 권리구제 및 책임성 강화, 유출된 개인정보 삭제·파기, 체계적인 불법정보 단속‧적발, 유출정보를 통한 금융사기 방지, 정보보호 투자 촉진, 전문 인력 양성 등 한국 정부의 제도적, 기술적 개선대책을 중점적으로 소개하였다. 본 기고는 개인정보보호와 사이버보안 정책 방향 마련에 중요한 참고자료가 될 것으로 판단되어 금번 회기 첫 번째 국가 모범사례로 활용키로 하였다.

일본은 회원국 공공, 민간, 학계 등과 모범사례에 대한 정보공유의 중요성을 강조하고 이를 위해 세미나, 워크숍과 같은 행사를 제안하였으며 BDT와 협의를 통해 추후 상세 일정과 프로그램 정보를 제공하기로 하였다.

향후 업무 계획으로 사이버보안 연구과제 라포처 그룹은 연구계획에 명시된 부분을 각자 분담하여 수행하기로 하였는데, 부라포처로 임명된 필자는 사이버보안에 대한 회원국들의 사례 수집과 분석, 권고 등의 제안을 담당하기로 하였다.

이와는 별도로 정보통신표준화 부문 연구반 17(ITU-T SG 17)와 공동으로 개최된 합동회의에서는 각 부문별 활동 계획에 대한 소개가 있었다. 먼저 ITU-D SG2 Q3/2의 2010~2014 회계연도 활동 계획 소개에서 Q3 라포처(Mr. Eliot Leary)는 사이버보안 부문 모범사례 수집과 더불어 해당 내용에 대한 분석, 시사점 도출을 위해 노력할 예정이며, 개도국 능력배양과 인식제고 등을 위한 활동을 전개할 계획임을 설명하였다. 아울러 ITU-T SG17을 비롯한 사이버보안, 온라인 아동 보호 분야의 공통 주제가 있는 연구 작업반, 이해관계자들과 공조할 계획이며 이를 위해 세미나, 워크숍, 교육 훈련 등을 병행하고 그 결과로 최종 결과보고서, 교육훈련 자료 등을 산출할 계획이라고 밝혔다. 이어 ITU-T SG17 의장(Mr. Arkadiy Kremer)은 정보통신표준화 부문 사이버보안 분야 활동 계획에 대해 소개하였다. ITU는 WSIS Action Line C5가 정의한 사이버보안 분야 조정자, 촉진자 역할을 수행하기 위해 관련 기술 개발 표준화, 모범사례 공유 등을 추진하고 있으며, ITU-T 부문은 WTSA 12에서 제시한 바에 따라 보안과 신원관리(IdM, Identity Management) 등 사이버보안 기술 분야 표준화 활동을 추진 중이라고 설명했다. 아울러 온라인 아동 보호와 IdM에 대한 합동 조정 그룹(JCA)을 운영 중이며, SG17은 사이버보안 분야 기술표준으로 ITU-T X.509, ITU-T X.1252 for IDM 등에 대한 권고안 마련을 추진 중이라고 밝혔다. 두 부문 간 향후 협력방안으로서 개도국의 사이버보안 분야 공통 수요사항 파악, 권고 및 가이던스 등의 공동 발간, 워크숍과 세미나 및 교육훈련 공동 개최, 사이버보안 모범사례 실제 적용을 위한 협력 등을 추진키로 하고, 아울러 상시적인 정보 공유, 작업반 회의 교차 참석, ICT 보안 표준 사용을 위한 합동 프로젝트 등을 병행키로 하였다.

한편 별도 행사로 진행된 사이버보안 토론회에서는 ITU 차원의 사이버보안 활동, NUIX Technology, 옥스퍼드 대학, 인도 데이터보안 위원회, 자메이카 기술대학 등 다양한 기관들의 사이버보안 분야 모범사례에 대해 소개하였다. 먼저 ITU-D 부의장은 2007년부터 추진된 글로벌 사이버보안 아젠다(GCA, Global Cybersecurity Agenda), 사이버보안 지수(GCI, Global Cybersecurity Index) 개발 및 조사 현황, 다양한 이해관계자와 회원국 간 협력 프로젝트 활동 등에 대해 설명했다. 영국의 NUIX Technology는 데이터 침해 예방 및 대응 등을 위한 Good Shepherd 모델에 대해 소개했는데, 동 모델은 조직의 기밀 정보의 불법 접근을 방지하고, 피해를 최소화하기 위해서 적절한 데이터 관리방안 제시한 것으로 평가되었다. 옥스퍼드 대학 인터넷 연구소(OII, Oxford Internet Institute)는 글로벌 사이버보안 역량배양 센터(Global Cyber Security Capacity Center)에서 개발 중인 사이버 능력 성숙도 모델(CMM, Cyber Capability Maturity Model)에 대해 소개하였으며, 이를 위해 관련 포털 사이트(Cybersecurity Capacity Portal)을 운영 중이라고 설명했다. 이어서 인도 데이터 보안위원회는 사이버 보안 강화를 위한 민관 공조체제에 대해 소개하고, 정책개발 및 자문, 정보 공유, 사고 대응, 역량 배양, 연구개발, 표준 및 가이드라인 개발, 인식제고 분야에서 이루어지는 인도의 사이버보안 분야 민관 협력 활동 모범사례에 대해 설명하였다. 마지막으로 자메이카 기술대학은 사이버보안을 위한 역량 수준을 6개 단계(undefined, initial, basic, defined, dynamic, optimizing)로 구분하는 성숙도 모델에 대해 소개하였다.

향후 전망 및 대응 방향

ITU-D SG2는 이번 회기에서 ICT 애플리케이션, 사이버보안, 위급상황통신과 기후변화대응이라는 대 주제 하에 총 9개의 연구과제(Questions)을 추진할 예정이다. 이 중 사이버보안을 담당하는 Q3은 ICT 서비스의 활성화와 이에 따른 정보유출과 오남용 확대, 사이버보안과 관련된 거버넌스 논쟁 격화 등으로 선진국은 물론, 개도국과 저개발 국가를 모두 포괄하는 중요한 이슈로 부각되어 향후 열띤 논의가 이어질 전망이다.

우리나라는 이번에 ITU 정보통신개발 부문 사이버보안 연구과제에 의장단에 진출함에 따라 우리나라 관련 정책 및 집행사례 등에 대한 적극적인 경험 공유를 통해 국제 사회에 기여하고, 글로벌 차원의 사이버보안 협력 벨트 구축을 위한 회원국의 공감대와 협력기반을 마련할 수 있을 것으로 기대된다. 이를 통해 국내 우수 정책의 전파는 물론, 관련 기관의 해외 협력과 진출에도 도움이 될 것으로 판단된다.

아울러 향후 글로벌 사이버보안 강화를 위해서 ITU는 물론, OECD, 다자개발은행(MDB) 등 관련 국제기구와의 긴밀한 협력체계 구축이 필요할 것으로 보인다. 또한 관련 정책과 기술을 더욱 고도화하기 위해 여러 국가와의 교류 협력을 강화하는 것이 중요하다. 이러한 측면에서 미국을 비롯한 여러 선진국, 그리고 유럽연합 집행위원회(EC), 유럽연합 회원국과 사이버보안 분야에 대한 폭넓은 협력체계 마련을 추진하는 것이 필요한데, 특히 유럽연합은 현재 대규모 연구개발 프로젝트인 Horizon 2020을 통해 회원국은 물론 역외 국가와 사이버보안을 포함해 ICT 분야에서 폭넓은 협력관계를 모색하고 있으므로, 우리나라 사이버보안 정책 및 기술개발 경험공유와 더불어 역량강화를 위해 관련 공동연구 과제 추진을 검토하는 것이 필요하다.