<시리즈> 심층진단 정보보호산업 현주소 (35)

<네덜란드의 정보보호체계 발전>

선진 각국은 국가의 비밀정보를 보호하기 위한 수단으로 각종 정책, 법, 제도, 관리, 기술 등을 체계적으로 발전시켜 가고 있다. 또 국가의 비밀정보가 아니더라도 자국의 이익과 경쟁력 강화를 위해서 보호돼야 할 중요 정보들을 지키는데 최선을 다하고 있다. 이는 민간부문 및 산업체 영역의 중요 정보들이 보호되어야 할 주요 대상으로 점차 인식되고 있기 때문이다.

미국이나 유럽 국가들은 이미 자국의 정보보호체계를 확립해 정보보호산업 분야를 이끌어가고 있다. 유럽의 경우 영국, 독일, 프랑스, 네덜란드 등을 중심으로 정보보호 시스템을 평가하기 위한 공동의 기준인 ITSEC 개발운영을 통해 이 분야 기반을 구축하고 있다. 또한 이들 국가는 미국의 TCSEC와 유럽의 ITSEC 등을 반영해 CC(Common Criteria)를 국제표준으로 추진하고 있다.

유럽 국가들 중 암호장비 등을 포함한 정보보호시스템 평가방법론 및 기술을 수십년간 축적해 온 네덜란드의 경우 국가통신보안국(NCSA)을 중심으로 정보보호체계가 정립되어 있다. 네덜란드의 NCSA는 국가의 비밀정보에 관련된 통신보안 업무를 관장하는 기관으로 약 50년의 역사를 가지고 있다. 외형적으로는 네덜란드 외무부(MOFA) 소속 기관이며, 국방부(MOD)와 밀접한 관계를 가지고 있다. 국내적으로 국가통신보안위원회(NL-NCSB)와, 국제적으로는 유럽 국가 및 NATO와 협력체제를 유지하고 있다.

NCSA는 네덜란드 국가보안 차원의 통신보안 및 암호를 관장하는 것을 주요 임무와 기능으로 하고 있다. 비

밀로 분류된 정보의 보호임무 측면에서 국가비밀정보를 보호하는 임무를 수행하고 있으며 기술적인 측면에서 법, 제도적인 측면에 이르기 까지의 업무영역으로 하고 있다. 민간부문 및 상용의 정보보호임무 측면에서 비밀로 분류되지 않으나 국가적으로 중요한 정보를 보호하기 위한 정보보호기술 분야의 업무도 NCSA에서 관장하고 있다.

특히 암호기술 및 정책에 관해서는 국가보안용 암호기술 및 장비의 연구 개발과 보안장비에대한 운용 업무를 담당하고 있고 키 생성 및 관리의 임무를 수행하는 국가보안용 키관리센터역할을 수행하고 있다.정보보호시스템 평가 및 인증에 관한 임무를 위해 유럽의 ITSEC 개발에 주도적으로 참가했며 CC를 ISO/OSI 국제표준화 시키는 작업에 참여하고 있다.

네덜란드의 경우 자국에서 개발된 보안장비는 수출시에 통제하고 있으나 일반적으로 보안장비의 수입통제는 하고 있지 않는 실정이다.

그러나 수입된 보안장비를 국가기관용으로 사용할 수 없으며 요구시 반드시 NCSA의 보안성 평가를 받도록 하고 있다. ITSEC을 공동 개발한 이들 유럽 국가들은 정보보호 시스템 평가에 있어서 국가간의 상호 인증 정책을 채택, 운영하고 있다.

네덜란드의 경우 유럽국가들과 상호인증을 체결한 후 ITSEC에 의하여 평가 및 승인된 제품은 그대로 수용하고 있다. 단 E3 등급까지만 인정하고 있는 실정이며 그 이상의 보안성 등급을 받은 정보보호시스템에 대해서는 NCSA를 중심으로 한 별도의 관리 체계를 따르고 있다.

네덜란드 NCSB(국가통신보안위원)는 각 정부부처의 위원들로 구성돼 있으며 정보보호관련법, 제도와 기술에 대한 정책적인 기관으로 각종 보안정책과 보안장비 수출입정책 등을 관장하며 이를 시행하는 기관은 NCSA이다. 이외에 네덜란드는 정보보호특별위원회(NL-SISC)의 설립, 운영을 추진하고 있어서 97년도에는 NCSA/NCSB 및 SISC 체계로 정보보호체계를 활성화시켜 갈 예정으로 있다.

우리나라도 지난 4월 설립된 한국정보보호센터를 중심으로 정보보호체계 및 정보보호산업 활성화를 위해 각종 정보보호기술의 연구개발, 정보보호시스템 평가기준 및 평가기술연구 등을 활발히 추진하고 있다.

이같은 국내 정보보호 분야의 활성화 추진은 국내외 관련 분야의 동향을 분석해 볼 때 매우 시의적절한 것으로 판단된다.

특히 국제적으로 우위를 선점할 수 있는 정보보호기술의 선도적 연구개발과 자체 평가기준의 개발, 확보는 국내의 정보보호 환경기반을 조성하고 국제화 추세에 발 맞추어 가는 매우 의미있는 발판을 구축한 것이라 볼수 있다.

<홍기융 한국정보보호센터 응용연구팀장>