‘PIMS’ 국제표준화 추진과정은 어떻게 되나?

[인터뷰] 에드워드 험프리 국제표준화 회의 WG1 의장

ITU-T와 ISO/IEC에서 각각 추진...국제표준되려면 3~5년 소요

[보안뉴스 김정완] 방송통신위원회는 지난 10월 20일 개인정보보호 관리체계(PIMS : Personal Information Management System)와 관련 우리나라에서 세계 최초로 제안해 ITU-T와 ISO/IEC에서 국제 표준화 추진 논의를 시작하게 됐다고 발표한 바 있다.

우리나라는 개인정보를 취급하는 기업이 개인정보보호 관리체계를 어떻게 구축했는지를 점검해 일정 수준 이상의 기업에 인증을 부여하는 이 제도를 지난해 11월 도입했으며, 개인정보보호에 대한 관심이 높아지고 있는 시점에서 이에 대한 국제 표준화 추진 소식에 관심이 집중되고 있다. 이렇듯PIMS의 국제 표준화 논의가 시작됐다고는 하지만 실상 그 내용을 알기란 쉽지 않은 것이 사실이다.

그런 가운데 최근 한국을 방문한 에드워드 험프리(Edward Humphreys) 국제표준화 회의(ISO/IEC JTC1/SC27) WG1 의장으로부터 이에 대한 이야기를 들을 수 있었다.

험프리 의장은 국제표준인 정보보호관리체계(ISMS) 표준화 워킹그룹 의장이자 ISO/IEC 27001과 ISO/IEC 27002의 창시자로, 이러한 성과로 인해 ‘정보보호관리 시스템 표준의 아버지’로 인정받고 있는 인물이다.

험프리 의장은 PIMS의 국제표준화 논의와 관련 “한국의 공식적인 제안서는 개인정보보호를 위한 특화된 ISMS를 만들자는 것이었다”며, “ITU-T에서는 한국이 유일하게 공식 제안했으며, ISO/IEC에서는 아직 이에 대한 입장을 밝히지 않은 상황”이라고 설명했다.

한국은 지난 8월말 스위스 제네바에서 개최된 ITU-T 국제표준회의에서 PIMS를 유일하게 제안했으며, 이어 10월에는 케냐 나이로비에서 개최된 ISO/IEC 회의에 참가해 PIMS에 대한 논의(Study Period)를 제안한 상태다. ISO/IEC 회의 때는 한국과 함께 프랑스와 일본이 공동으로 제안했다. 이를 통해 PIMS 국제 표준화는 대표적인 국제 표준기구인 ITU-T와 ISO/IEC에서 공동으로 추진할 수 있는 계기를 마련한 것이다.

험프리 의장은 “현재는 개인정보보호체계와 관련해 국제 표준화를 이루자는 의견들에 대해 논의하고 있는 과정으로 보면 된다”면서 “지금 현 상태는 국제표준화 문서가 확정되기 전에 이런 것들이 필요한지를 공부하는 작업이 진행되는 단계로 그 이후 공식적인 논의단계로 들어가게 된다”고 말했다.

한국이 ISO/IEC 회의에서 이에 대한 논의를 제안(study period)했다는 것은 말 그대로 새로운 표준을 제안 했다는 것이다. 이후 보고서의 의견을 종합해 나온 보고서에 따른 결과가 나오면 이를 투표해 국제 표준화로 인정하는 것인데, 즉 두 번의 표준화 과정을 거친 이후에야 본격적인 작업이 시작된다는 것이다. 이러한 과정을 모두 거치고 PIMS가 국제표준으로 공식 채택되기 위해서는 최소 3년에서 5년 정도 소요된다는 것이 험프리 의장의 설명이다.

현재 ISO/IEC의 경우 PIMS의 Study Period 과정의 보고서 작성자는 4명(한국, 영국, 프랑스, 일본 각 1명)이 지정돼 있으며, 염흥열 순천향대학교 교수(한국정보보호학회 회장)가 그 중 한명이다.

염흥열 교수는 “PIMS는 개인정보보호와 관련한 기술적·관리적·물리적 조치가 모두 필요한 기업이 취할 수 있는 최선의 개인정보보호 프로세스로, 각 나라의 필수적인 법 준수 요구사항을 체크해 볼 수 있는 만큼 기업은 개인정보 문제를 다루고 해결하는 경영과정으로 인식해야 할 것”이라고 말했다.

아울러 염흥열 교수는 ITU-T의 경우 김정덕 중앙대학교 교수, 한국인터넷진흥원(KISA) 연구원 2명과 함께 지난 8월부터 PIMS 표준개발 에디터로 활동하고 있으며, 이들 4명의 에디터들은 통신 분야에 특화된 PIMS에 대한 작업을 진행하고 있다.

한편, 험프리 의장은 “개인정보보호 이슈는 전세계적으로 나타나고 있으며, 유럽을 비롯한 선진국들은 이미 개인정보보호와 관련한 프라이버시 프레임워크 문서를 갖추고 있다”며, “기업은 물론 개개인에게도 개인정보를 보호하는 것은 매우 중요한 일이며, 이를 위한 표준이 필요한 것은 분명하다”고 말했다.

※ ITU-T(International Telecommunication Union Telecommunication Standardization Sector : 국제전기통신연합 전기통신표준화부문)

※ ISO(International Organization for Standardization : 국제 표준화 기구), IEC(International Electrotechnical Commission : 국제전기표준회)

[김정완 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)