글로벌 정보보호 표준화 동향과 추진전략
사이버 공격 증가로 정보보호 기술 중요성 부각
IT 서비스 호환성 위한 정보보호 표준화도 대두
표준화 경쟁 서둘러 정보통신 강국 입지 굳혀야
염흥열 정보통신연구진흥원(IITA) 정보보호PM(hyyoum@iita.re.kr)
이제는 우리의 일상 생활에서 IT를 빼놓고 말할 수 없고 특히 경제활동은 IT기술에 많이 의존하고 있어 IT서비스의 신뢰성이 곧바로 국가 및 개인 경제의 안정성과 직결되고 있다. 그런데 최근 부각되고 있는 인터넷전화(VoIP) 서비스처럼 IT서비스 초기에 정보보호 기능을 고려하지 않았다가 보안 취약성을 이용한 사이버 공격이 크게 문제가 되자 뒤늦게 정보보호 기능을 부가하는 경우도 종종 생기고 있다. 이처럼정보보호 기능의 중요성이 부각되면서 IT서비스나 디바이스에 정보보호 기술이 더해지는 추세다. 이에 디바이스나 서비스의 호환성을 담보하는 정보보호 표준화도 IT서비스의 질 향상을 위해 매우 중요한 문제로 대두되고 있다. 예를 들면 일상생활에서 널리 사용되는 인증서가 국내외적으로 표준화되지 않는다면 다양한 인터넷 사이트에서 인터넷뱅킹 서비스를 비롯한 다른 여러 IT서비스를 이용할 수 없어 불편함을 초래할 것이다.
◇기관별 정보보호 표준화 영역=정보보호 표준화는 다음과 같은 국제기구를 통해 이루어진다. 통신망 정보보호 표준화를 다루는 ITU-T(International Telecommunication Union - Telecom sector), 정보보호 기반 기술에 대한 표준화를 추진하는 ISO/IEC(International Organization for Standardization/International Electrotechnical Commission) JTC1(Joint Technical Committee 1), 인터넷에서 보안 표준화를 주로 제정하는 IETF(Internet Engineering Task Force) 등이 대표적이다. 이외에 이동 통신 표준을 개발하는 3GPP2(3rd Generation Partnership Project), 디지털권한관리에 대한 표준화를 다루는 OMA(Open Mobile Alliance), 그리고 근거리통신망 보안 등을 다루는 IEEE(Institute of Electrical and Electronics Engineers) 등의 표준화 기구도 있지만, 영향력 면에서 보면 앞에서 언급한 세 가지 국제 표준화 기구가 글로벌 정보보호 표준화를 주도하고 있다.
각 표준화 기구는 각기 고유의 영역을 가지고 있다. ITU-T는 통신망 보안, 아이디 관리, 해킹 및 침해 대응 등 사이버 보안, 홈 네트워크 보안, 망 관리 보안, 차세대 네트워크 보안, 멀티미디어 보안, 스팸의 기술적 대책 등 통신망 정보보호 표준화를 주도하고 있다. ISO/IEC JTC1은 정보보호 기반 표준을 개발하고 있어 암호 알고리즘 및 프로토콜, 정보보호관리체계, 정보보호 제품 공통평가, 아이디 관리 및 개인정보보호 기술 등을 다루고 있다. 인터넷을 위한 정보보호 표준화를 추진하고 있는 IETF는 앞의 두 국제 표준화 기구와 달리 산업체가 주도하고 있으며 관심이 있는 모든 전문가에게 회의 참여와 표준 개발시 발언권을 주는 등 영향력이 매우 크다.
표준화 항목을 살펴보면 ITU-T는 주로 통신망 보안 표준을 여러 스터디그룹(SG)에 걸쳐 수행하고 있다. SG4에서는 관리망 보안, SG9에서는 디지털 케이블망을 위한 보안, SG13에서는 차세대 네트워크를 위한 보안, SG16에서는 멀티미디어 보안, 보안 측면에서 ITU-T 리드 SG 역할을 수행하는 SG17에서는 통신망의 전반적인 보안 표준을 개발하고 있다.
ISO/IEC JTC1에서는 SC27을 중심으로 경량/저전력 암호 알고리듬에 대한 표준화를 진행하고 있으며 최근에는 안전한 그룹 통신에 대한 표준화도 추진 중이다. 또 지난해 신설된 SG27 산하 작업반에서는 아이디 관리와 개인정보보호 표준화를 시작했고 SC17과 SC37에서도 IC카드 보안과 바이오인식에 대한 표준화를 추진하고 있다.
IETF에서는 전통적으로 인터넷을 위한 인증서 표준, 인터넷 프로토콜 보안 표준, 종단간 프로토콜 보안 표준을 개발했으며 주로 응용 계층을 포함하는 인터넷프로토콜(IP)계층 이상의 보안 표준을 개발하고 있다. 최근에는 확장 가능한 인증방식에 대한 개선 방식, 인터넷 보안 프로토콜의 활용도를 높이기 위한 보안 표준, 그리고 인터넷에 접근을 원하는 단말에 대한 보안성을 평가해 접근 가능 여부를 결정하기 위한 네트워크 단말 보안성 평가 표준 등을 개발하고 있다.
◇글로벌 표준화에 역할도=최근 우리나라도 표준을 제안해 글로벌 표준화를 리드하고 있다. ITU-T에서는 우리나라의 홈 네트워크 보안 프레임워크 및 홈 네트워크인증 메카니즘 가이드라인, 안전한 패스워드 인증 및 키 분배 프로토콜 가이드라인, 모바일 웹 서비스 보안 프레임워크 등이 국제표준으로 채택됐고 유비쿼터스센서네트워크(USN) 보안 프레임워크, 텔리바이오인식 등의 표준이 개발되고 있다. ISO/IEC JTC1의 경우, 국내 표준 암호 알고리즘인 SEED암호 알고리듬을 국제 표준화하는 실적을 거둔바 있으며 바이오 인식 등의 표준이 개발되고 있다. IETF의 경우, 국내에서 개발한 SEED 암호 알고리듬을 인터넷 보안 프로토콜이나 보안 메시지 요소의 암호 알고리듬 슈트에 부가하기 위한 여러 표준과 인증서에 주민등록번호를 삽입하기 위한 가입자 신원확인 기술 표준을 개발했고 현재는 VolP 보안을 위한 표준을 개발 중이다.
지금까지 글로벌 정보보호 표준화 활동을 평가해보면, IETF와 ISO/IEC JTC1의 경우, 국내에서의 가시적인 성과가 있지만 여건상 한국 주도의 표준 개발은 당분간 어려울 전망이다. 그러나 ITU-T는 홈 네트워크 보안 등에서 가시적인 성과를 거뒀고 향후에도 우리가 보안분야 표준화를 주도할 가능성이 매우 크다.
국내 표준화기구는 ITU-T와 IETF에서 수행하는 표준화에 주로 대응하고 있는 한국정보통신기술협회와 ISO/IEC JTC1에서 수행하는 표준화에 대응하고 있는 기술표준원 등 2곳이 있다. 한국정보통신기술협회에서 개발된 정보보호 표준은 홈 네트워크 보안, 디지털포렌식, 그리고 IP 감시 및 역추적 관련 표준이 있고 기술표준원은 ISO에서 개발한 표준을 준용해 KS표준을 선정하고 있다.
◇경제효과 보다 호환성에 무게 둬야=원칙적으로 국제표준 개발목적은 호환성 확보지만, 부가적으로 지적재산권을 가지는 정보보호 기술을 개발하고 국제 표준화에 반영함으로써 경제적 파급효과를 만드는 것이다. 그러나 정보보호 분야는 현실적으로 지재권을 가지는 기술을 국제 표준으로 개발하는 것이 쉽지 않다. 미국은 차세대 미국 암호 알고리듬 표준을 공개 모집하면서 요구사항으로 알고리듬과 연관된 모든 지재권과 로열티를 포기한다는 조건을 내세워 그 조건으로 공모된 알고리듬을 AES(Advanced Encryption Standard)로 채택한 바 있다.
그렇다면 우리 정보보호 분야의 표준화 목표는 무엇이 돼야 하나. 먼저 국내 정보보호산업체의 국가 경쟁력 강화와 제품간 호환성을 보장하기 위한 국내 표준화 활동이 적극 권장돼야 할 것이다. 지재권 창출이 가능한 표준을 꾸준히 개발하는 한편 새로운 개념 검증과 확산, 그에 기인한 서비스 신뢰성을 검증하고 토의하기 위한 글로벌 표준화 활동도 전개해야 한다. 또 국내에서 개발한 정보보호 알고리듬 등 다양한 정보보호 분야에서 국제 표준화를 지속적으로 완성, 정보통신 강국으로써 입지를 강화하고 국내 정보통신업체의 국제 경쟁력 강화에 간접적으로 기여할 수 있을 것이다. 또 개발된 국제 표준은 대외 통상 마찰의 빌미 제공을 원천적으로 차단해 국가간 분쟁 소지도 없앨 수 있다.
향후 정보보호 기술의 표준화를 효율적으로 추진하기 위해서는 다음과 같은 전략이 필요하다. 첫째, 각 표준화 주제마다 그에 합당한 국제 표준화 기구를 찾아 글로벌 표준화를 추진해야 한다는 것이다. IPTV 보안 표준은 ITU-T SG17에, 아이디 관리 표준은 ITU-T SG17과 ISO/IEC JTC1에 가서 추진되어야 한다.
◇표준화도 업계 수요 고려해야=둘째, 산업체가 표준화 과정에서 중요한 역할을 수행할 수 있도록 유도해야 한다. 원칙적으로 표준은 산업체의 수요 제기에 의해 이뤄져야 하며 산업체의 참여를 통해 주제를 발굴해야 한다. 셋째, 국내 정보보호 제품과 서비스에 대한 호환성을 보장하기 위해 국내 표준을 자체 기술로 개발하거나 이미 국제표준화 기구에서 만들어진 표준안을 적시에 채택해야 한다. 넷째, 정부지원 연구개발(R&D) 사업과 표준화를 연계해야 한다. 정부 지원과제를 통해 지재권 확보가 가능한 정보보호표준의 개발을 지속적으로 유도할 필요가 있다. 마지막으로 국제 표준화 기구에서 의장 등의 역할을 맡을 전문 인력을 확보해야 한다. 현재 정통부와 한국정보통신기술협회에서 추진하고 있는 국제표준전문가 사업은 아주 바람직한 사례라고 할 수 있다.
시급히 개발돼야 할 새로운 표준화 아이템으로는 사이버 범죄의 증거 자료를 체계적으로 획득하고 증거 데이터를 추출하기 위한 IT포렌식, 인터넷에서 공격자의 근원지를 추적하기 위한 IP 감시 및 역추적, 모바일 환경에서의 디지털 미디어 보호, 인터넷TV(IPTV) 보안 기술, 아이디 관리, USN보안 등이 있다. 이러한 아이템은 특성상 ITU-T SG17에서 산ㆍ학ㆍ연 협동으로 국제 표준화를 추진하는 것이 바람직하다. 또 VoIP 보안을 비롯한 인터넷 보안 표준은 IETF에서 산업체와 연구소 주도로 추진하고 바이오 인식과 암호 알고리듬, 그리고 암호 프로토콜 등은 ISO/IEC JTC1을 통해 산ㆍ학ㆍ연 협동으로 수행해야 할 것이다.
사이버 공격 증가로 정보보호 기술 중요성 부각
IT 서비스 호환성 위한 정보보호 표준화도 대두
표준화 경쟁 서둘러 정보통신 강국 입지 굳혀야
염흥열 정보통신연구진흥원(IITA) 정보보호PM(hyyoum@iita.re.kr)
이제는 우리의 일상 생활에서 IT를 빼놓고 말할 수 없고 특히 경제활동은 IT기술에 많이 의존하고 있어 IT서비스의 신뢰성이 곧바로 국가 및 개인 경제의 안정성과 직결되고 있다. 그런데 최근 부각되고 있는 인터넷전화(VoIP) 서비스처럼 IT서비스 초기에 정보보호 기능을 고려하지 않았다가 보안 취약성을 이용한 사이버 공격이 크게 문제가 되자 뒤늦게 정보보호 기능을 부가하는 경우도 종종 생기고 있다. 이처럼정보보호 기능의 중요성이 부각되면서 IT서비스나 디바이스에 정보보호 기술이 더해지는 추세다. 이에 디바이스나 서비스의 호환성을 담보하는 정보보호 표준화도 IT서비스의 질 향상을 위해 매우 중요한 문제로 대두되고 있다. 예를 들면 일상생활에서 널리 사용되는 인증서가 국내외적으로 표준화되지 않는다면 다양한 인터넷 사이트에서 인터넷뱅킹 서비스를 비롯한 다른 여러 IT서비스를 이용할 수 없어 불편함을 초래할 것이다.
◇기관별 정보보호 표준화 영역=정보보호 표준화는 다음과 같은 국제기구를 통해 이루어진다. 통신망 정보보호 표준화를 다루는 ITU-T(International Telecommunication Union - Telecom sector), 정보보호 기반 기술에 대한 표준화를 추진하는 ISO/IEC(International Organization for Standardization/International Electrotechnical Commission) JTC1(Joint Technical Committee 1), 인터넷에서 보안 표준화를 주로 제정하는 IETF(Internet Engineering Task Force) 등이 대표적이다. 이외에 이동 통신 표준을 개발하는 3GPP2(3rd Generation Partnership Project), 디지털권한관리에 대한 표준화를 다루는 OMA(Open Mobile Alliance), 그리고 근거리통신망 보안 등을 다루는 IEEE(Institute of Electrical and Electronics Engineers) 등의 표준화 기구도 있지만, 영향력 면에서 보면 앞에서 언급한 세 가지 국제 표준화 기구가 글로벌 정보보호 표준화를 주도하고 있다.
각 표준화 기구는 각기 고유의 영역을 가지고 있다. ITU-T는 통신망 보안, 아이디 관리, 해킹 및 침해 대응 등 사이버 보안, 홈 네트워크 보안, 망 관리 보안, 차세대 네트워크 보안, 멀티미디어 보안, 스팸의 기술적 대책 등 통신망 정보보호 표준화를 주도하고 있다. ISO/IEC JTC1은 정보보호 기반 표준을 개발하고 있어 암호 알고리즘 및 프로토콜, 정보보호관리체계, 정보보호 제품 공통평가, 아이디 관리 및 개인정보보호 기술 등을 다루고 있다. 인터넷을 위한 정보보호 표준화를 추진하고 있는 IETF는 앞의 두 국제 표준화 기구와 달리 산업체가 주도하고 있으며 관심이 있는 모든 전문가에게 회의 참여와 표준 개발시 발언권을 주는 등 영향력이 매우 크다.
표준화 항목을 살펴보면 ITU-T는 주로 통신망 보안 표준을 여러 스터디그룹(SG)에 걸쳐 수행하고 있다. SG4에서는 관리망 보안, SG9에서는 디지털 케이블망을 위한 보안, SG13에서는 차세대 네트워크를 위한 보안, SG16에서는 멀티미디어 보안, 보안 측면에서 ITU-T 리드 SG 역할을 수행하는 SG17에서는 통신망의 전반적인 보안 표준을 개발하고 있다.
ISO/IEC JTC1에서는 SC27을 중심으로 경량/저전력 암호 알고리듬에 대한 표준화를 진행하고 있으며 최근에는 안전한 그룹 통신에 대한 표준화도 추진 중이다. 또 지난해 신설된 SG27 산하 작업반에서는 아이디 관리와 개인정보보호 표준화를 시작했고 SC17과 SC37에서도 IC카드 보안과 바이오인식에 대한 표준화를 추진하고 있다.
IETF에서는 전통적으로 인터넷을 위한 인증서 표준, 인터넷 프로토콜 보안 표준, 종단간 프로토콜 보안 표준을 개발했으며 주로 응용 계층을 포함하는 인터넷프로토콜(IP)계층 이상의 보안 표준을 개발하고 있다. 최근에는 확장 가능한 인증방식에 대한 개선 방식, 인터넷 보안 프로토콜의 활용도를 높이기 위한 보안 표준, 그리고 인터넷에 접근을 원하는 단말에 대한 보안성을 평가해 접근 가능 여부를 결정하기 위한 네트워크 단말 보안성 평가 표준 등을 개발하고 있다.
◇글로벌 표준화에 역할도=최근 우리나라도 표준을 제안해 글로벌 표준화를 리드하고 있다. ITU-T에서는 우리나라의 홈 네트워크 보안 프레임워크 및 홈 네트워크인증 메카니즘 가이드라인, 안전한 패스워드 인증 및 키 분배 프로토콜 가이드라인, 모바일 웹 서비스 보안 프레임워크 등이 국제표준으로 채택됐고 유비쿼터스센서네트워크(USN) 보안 프레임워크, 텔리바이오인식 등의 표준이 개발되고 있다. ISO/IEC JTC1의 경우, 국내 표준 암호 알고리즘인 SEED암호 알고리듬을 국제 표준화하는 실적을 거둔바 있으며 바이오 인식 등의 표준이 개발되고 있다. IETF의 경우, 국내에서 개발한 SEED 암호 알고리듬을 인터넷 보안 프로토콜이나 보안 메시지 요소의 암호 알고리듬 슈트에 부가하기 위한 여러 표준과 인증서에 주민등록번호를 삽입하기 위한 가입자 신원확인 기술 표준을 개발했고 현재는 VolP 보안을 위한 표준을 개발 중이다.
지금까지 글로벌 정보보호 표준화 활동을 평가해보면, IETF와 ISO/IEC JTC1의 경우, 국내에서의 가시적인 성과가 있지만 여건상 한국 주도의 표준 개발은 당분간 어려울 전망이다. 그러나 ITU-T는 홈 네트워크 보안 등에서 가시적인 성과를 거뒀고 향후에도 우리가 보안분야 표준화를 주도할 가능성이 매우 크다.
국내 표준화기구는 ITU-T와 IETF에서 수행하는 표준화에 주로 대응하고 있는 한국정보통신기술협회와 ISO/IEC JTC1에서 수행하는 표준화에 대응하고 있는 기술표준원 등 2곳이 있다. 한국정보통신기술협회에서 개발된 정보보호 표준은 홈 네트워크 보안, 디지털포렌식, 그리고 IP 감시 및 역추적 관련 표준이 있고 기술표준원은 ISO에서 개발한 표준을 준용해 KS표준을 선정하고 있다.
◇경제효과 보다 호환성에 무게 둬야=원칙적으로 국제표준 개발목적은 호환성 확보지만, 부가적으로 지적재산권을 가지는 정보보호 기술을 개발하고 국제 표준화에 반영함으로써 경제적 파급효과를 만드는 것이다. 그러나 정보보호 분야는 현실적으로 지재권을 가지는 기술을 국제 표준으로 개발하는 것이 쉽지 않다. 미국은 차세대 미국 암호 알고리듬 표준을 공개 모집하면서 요구사항으로 알고리듬과 연관된 모든 지재권과 로열티를 포기한다는 조건을 내세워 그 조건으로 공모된 알고리듬을 AES(Advanced Encryption Standard)로 채택한 바 있다.
그렇다면 우리 정보보호 분야의 표준화 목표는 무엇이 돼야 하나. 먼저 국내 정보보호산업체의 국가 경쟁력 강화와 제품간 호환성을 보장하기 위한 국내 표준화 활동이 적극 권장돼야 할 것이다. 지재권 창출이 가능한 표준을 꾸준히 개발하는 한편 새로운 개념 검증과 확산, 그에 기인한 서비스 신뢰성을 검증하고 토의하기 위한 글로벌 표준화 활동도 전개해야 한다. 또 국내에서 개발한 정보보호 알고리듬 등 다양한 정보보호 분야에서 국제 표준화를 지속적으로 완성, 정보통신 강국으로써 입지를 강화하고 국내 정보통신업체의 국제 경쟁력 강화에 간접적으로 기여할 수 있을 것이다. 또 개발된 국제 표준은 대외 통상 마찰의 빌미 제공을 원천적으로 차단해 국가간 분쟁 소지도 없앨 수 있다.
향후 정보보호 기술의 표준화를 효율적으로 추진하기 위해서는 다음과 같은 전략이 필요하다. 첫째, 각 표준화 주제마다 그에 합당한 국제 표준화 기구를 찾아 글로벌 표준화를 추진해야 한다는 것이다. IPTV 보안 표준은 ITU-T SG17에, 아이디 관리 표준은 ITU-T SG17과 ISO/IEC JTC1에 가서 추진되어야 한다.
◇표준화도 업계 수요 고려해야=둘째, 산업체가 표준화 과정에서 중요한 역할을 수행할 수 있도록 유도해야 한다. 원칙적으로 표준은 산업체의 수요 제기에 의해 이뤄져야 하며 산업체의 참여를 통해 주제를 발굴해야 한다. 셋째, 국내 정보보호 제품과 서비스에 대한 호환성을 보장하기 위해 국내 표준을 자체 기술로 개발하거나 이미 국제표준화 기구에서 만들어진 표준안을 적시에 채택해야 한다. 넷째, 정부지원 연구개발(R&D) 사업과 표준화를 연계해야 한다. 정부 지원과제를 통해 지재권 확보가 가능한 정보보호표준의 개발을 지속적으로 유도할 필요가 있다. 마지막으로 국제 표준화 기구에서 의장 등의 역할을 맡을 전문 인력을 확보해야 한다. 현재 정통부와 한국정보통신기술협회에서 추진하고 있는 국제표준전문가 사업은 아주 바람직한 사례라고 할 수 있다.
시급히 개발돼야 할 새로운 표준화 아이템으로는 사이버 범죄의 증거 자료를 체계적으로 획득하고 증거 데이터를 추출하기 위한 IT포렌식, 인터넷에서 공격자의 근원지를 추적하기 위한 IP 감시 및 역추적, 모바일 환경에서의 디지털 미디어 보호, 인터넷TV(IPTV) 보안 기술, 아이디 관리, USN보안 등이 있다. 이러한 아이템은 특성상 ITU-T SG17에서 산ㆍ학ㆍ연 협동으로 국제 표준화를 추진하는 것이 바람직하다. 또 VoIP 보안을 비롯한 인터넷 보안 표준은 IETF에서 산업체와 연구소 주도로 추진하고 바이오 인식과 암호 알고리듬, 그리고 암호 프로토콜 등은 ISO/IEC JTC1을 통해 산ㆍ학ㆍ연 협동으로 수행해야 할 것이다.
