사이버보안 국제표준, 올해 13개 표준 개정

국제표준: 올해 13개 표준 개정, 신규 3개 제정, 현재 61개 개정 혹은 제정 작업중

[보안뉴스=박태완 국제표준화기구 보안분과위원회(ISO/IEC JTC1 SC27) 한국대표위원] SC27은 1990년도에 구성돼 지난 27년간 IT보안 분야 표준화를 담당하고 있는 조직입니다. 현재 171개의 국제표준을 제정, 관리하고 있습니다. 2017년도에는 13개의 표준이 개정 되었고 3개의 새로운 표준도 제정되었습니다. 현재는 61개가 개정 혹은 제정 작업중에 있습니다.

[이미지=iclickart]

57개국이 정회원이며, 19개국이 준회원으로 활동 중입니다. 매년 2차례의 회의를 개최하고 있으며, 올해는 4월에는 뉴질랜드 해밀튼, 10월에는 독일 베를린에서 표준화 회의가 진행되었습니다.

SC27은 5개의 워킹그룹(WG, Working Group)으로 구성돼 각 분야별 표준화 활동을 수행하고 있습니다. 2017년도의 주요활동으로는 WG1은 정보보호경영시스템의 표준화를 담당하고 있으며 올해 정보보호경영시스템 전문가의 자격 또는 적격성을 위한 표준이 새롭게 마련됐습니다.

WG2는 암호화 분야의 표준화 활동을 수행하고 있으며, 특히 올해에는 IoT, Big Data등에 활용할 수 있는 암호화 알고리즘의 경량화 표준화에 활동을 하고 있습니다. WG3는 보안제품 평가 방법의 표준화를 담당하고 있으며, 올해에는 관련 표준들의 개정 작업이 시작되었습니다. WG4는 보안 서비스에 대한 표준을 담당하고 있으며 네트워크 보안, 어플리케이션 보안에 관련된 표준화 작업들이 진행되고 있습니다. WG5는 인증 및 개인정보보호 분야를 담당하고 있으며 최근에는 개인정보보호와 관련된 많은 표준화 작업이 진행되고 있습니다.

2017년도는 SC27에게는 표준화 프로젝트가 예년에 비해 매우 많은 한해였습니다. 한국은 과학기술정보통신부 국립전파연구원에서 운영 중인 정보보안 전문위원회를 통해 표준화 활동을 수행하고 있습니다. 특히2017년은 한국 전문위원들이 신규 프로젝트에 에디터 역할을 수임하기도 하고, 한국에서 주도적으로 제안하고 개발한 표준이 다수 제정됐습니다. 이는 IT보안의 중요성이 어느때보다도 중요하다는 의미이며, 지속적으로 표준화 요구가 증가하는 추세여서 좀더 의미있는 한 해였습니다.

특히 암호 분야에서는 한국이 개발한 경량블록암호(LEA, Lightweight Encryption Algorithm)와 키 관리 기술을 국제표준화하기 위한 프로젝트를 시작했습니다. 개인정보보호 분야는 개인정보보호를 위한 보호대책 지침, 개인정보영향평가 가이드라인 등의 표준을 제정했습니다. 이는 한국 정보보안 분야 전문가들의 다년간 노력한 결실입니다.

하지만 어려운점도 있습니다. SC27 국제회의에는 한국 뿐 아니라 각국의 전문가들의 참여가 증가하는 추세입니다. 특히 타 SC에 비해 참여자가 많은 회의 중에 하나입니다. 반면 이로 인해 회의를 주최하는 국가들의 예산 부담이 증가돼 회의 주최 희망국들이 점점 줄어들고 있는 실정입니다. 이는 최근 대두되고 있는 문제이기도 합니다.

그럼에도 불구하고 효과적인 조직 운영을 위해 SC27은 올해 MAG(Management Advisory Group)을 새로이 구성했습니다. MAG은 최소 10여년의 SC27 활동 경력을 가지고 있는 10명의 정예 멤버로 구성했으며, 향후 SC27의 전략적인 방향에 대하여 보다 심도 있는 고민을 할 예정입니다.

▲박태완 국제표준 보안분과위원회 한국위원

2018년도는 현재 타이틀인 ‘IT Security Technique’에 대해 좀더 다양한 논의가 진행될 예정입니다. SC27 타이틀 변경 회의는 2017년 베를린 회의에서 처음 논의됐는데, 현재 SC27이 수행하고 있는 표준화 업무의 내용을 충분히 반영하고 있지 않고, 향후 IoT, Big Data, AI 등 새로운 IT 기술의 대두에 대비 차원에서도 적절하지 않다는 여러 국가의 의견이 있었습니다. 향후 SC27의 운영 형태까지도 함께 MAG에서 검토해 2018년 4월 중국 우한에서 개최되는 회의에서 논의될 수 있도록 결정했습니다. 따라서 내년에는 SC27에게 새로운 도전의 해가 될 것입니다.

이어 외국 전문가의 시각에서 한국을 바라보면, 북한으로부터 지속적인 사이버 공격을 받고 있는 나라로서 사이버 보안과 관련해 상당한 경험과 노하우가 있을 것으로 예상합니다. 그런데 국내 기업에 소속된 전문가들의 참여가 저조하다 것에 대해 의외로 받아들이고 있는 것 같습니다. 2018년도에는 국내 전문가들의 보다 많은 그리고 적극적인 참여를 기대해 봅니다.
[박태완 선임심사원(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)