F O C U S 1 영국의사이버보안추진체계및전략분석 배병환 *, 강원영 **, 김정희 *** 최근국경을넘나드는사이버위협의증가와조직적형태의사이버범죄가등장함에따라미국, 영국등주요국을중심으로국가차원의사이버보안전략을마련하고있는상황이다. 특히영국은사이버보안과관련한기술과전문인력을보유한사이버보안선진국가로이미국가차원의사이버보안전략을수립 시행하고있으며, 매년사이버보안전략추진현황과성과를검토하고있다. 본고에서는영국의인터넷이용환경및보안위협현황등사이버보안전략수립배경을살펴보고, 영국의사이버보안전략, 추진과정및성과를소개함으로써, 국내사이버보안정책수립에참고할만한시사점을도출해보고자한다. Ⅰ. 서론 Ⅱ. 영국의인터넷이용환경및보안위협현황 1. 영국의인터넷이용환경 2. 영국의사이버위협현황 Ⅲ. 영국사이버보안추진체계및전략 1. 영국사이버보안추진체계 2. 영국사이버보안전략및추진사항 3. 영국사이버보안전략추진성과 Ⅳ. 시사점 * * 한국인터넷진흥원정책기획팀주임연구원 (bbh0113@kisa.or.kr) *** 한국인터넷진흥원정책기획팀책임연구원 (wykang@kisa.or.kr) *** 한국인터넷진흥원정책기획팀팀장 (kimjh@kisa.or.kr) 4 INTERNET & SECURITY FOCUS August 2014
Ⅰ. 서론 인터넷이용의보편화와함께국민의경제, 사회적활동전반에걸쳐 ICT 의존도가확산되 FOCUS 면서사이버공간에서발생하는위협은사회안정및국가안위로직결되는중요한요인이되고있다. 최근사이버공간에서발생하는위협을통해신종사이버범죄증가, 사이버범죄로인한피해규모가크다 1 는점에서사이버보안의중요성인식도한층높아지고있다. 특히사이버침해로인한피해는하나의국가에서발생하더라도다른국가를경유하여또다른피해가발생하는등개별국가차원에서사이버위협이아닌국가간경계가없이확대될수있다. 또한, 지능형지속위협 (APT) 과같은최신기법의사이버위협의등장과같이기존의사이버보안대응매뉴얼, 탐지시스템으로탐지 분석할수없는신규사이버위협들이계속해서등장하고있어, 국가차원의선제적보안위협에대응하기에어려움이발생하고있다. 이에따라, 영국등주요국에서는사이버위협에대한효과적인대응을위해국가차원의사이버보안전략을수립하고시행중이다. 영국은 EU 국가내에서도사이버보안과관련한기술과전문인력을보유한사이버보안선진국가에속한다. 특히기업들의정보보호정책수립비율은국내에비해 5배가량높으며, 정보보호투자와관련해서도국내에비해 16배높다. 2 또한, 국가사이버보안전략수립이후, 매년추진과정과성과를검토해차년도사이버보안전략실행계획에반영하는등사이버보안전략실효성제고를위해노력중에있다. 이밖에도최근우리나라와도사이버보안분야글로벌협력체계를구축 3 하는등사이버보안분야협력을강화해가고있다. 본고에서는영국이국가전반에걸친사이버보안역량강화를위해수립한국가사이버보안전략을중심으로이를실천하기위한세부추진사항등을살펴보고, 국내사이버보안정책수립에참고할만한시사점을도출해보고자한다. 1 세계연간사이버범죄로인해발생하는경제적손실은약 4,450 억달러 (452 조원 ) 규모로추산되며, 사이버범죄의경우투자대비이를통해취할수있는이득이높아확대되는추세 ( 맥아피, 14,6 월 ) 2 Information Security Breaches Survey( 13. PWC) 3 한국인터넷진흥원과영국사이버보안청간 사이버위협정보공유및침해사고공동대응, 정보보호기술공동연구및상호인력교류, 국가사이버보안정책개발협력및공유등사이버보안전분야에걸친협력강화추진등의내용으로업무협력 MOU 체결 ( 14.5 월 ) 5
Ⅱ. 영국의인터넷이용환경및보안위협현황 1. 영국의인터넷이용환경 영국경제를견인하는성장동력은금융위기이전까지문화콘텐츠가중심이었으나, 금융위기이후 ICT 산업으로그축이이동하고있다. 대표적으로 2010년데이비드캐머런총리는취임과동시에 ICT 경쟁력강화를통한경제성장을이끌기위해 테크시티프로젝트 를추진하였다. 그결과 2013년기준런던동부지역내구글, 아마존등글로벌 ICT 기업과스타트업기업등약 1,300개이상의기업들을유치하는성과를올렸다. 4 또한, 영국은자국민들의인터넷이용편의성증진을위해유무선브로드밴드기간시설망구축및투자확대등국가차원의지원을지속적으로강화하는노력을기울였다. 그리고이러한노력의결과로영국, 프랑스, 독일, 스페인, 이탈리아등 EU 5개국내유 무선브로드밴드서비스경쟁력이가장높은국가로선정 5 되었으며, 인터넷이용률역시 87% 로전년보다계속해서증가 6 하고있는것으로나타났다. 출처 : BCG( 12.3 월 ) [ 그림 1] 2016 년 G-20 국가 GDP 대비인터넷경제비중 ( 좌 ) 및 G-20 국가전체소매시장대비온라인소매비중 )( 우 ) 4 이진우기자, 영국 테크시티 로재도약, MK 뉴스, 2014.01.01 일자. 5 ONS, Internet Access Quarterly Update, Q4 2013 6 Ofcom, The European Broadband Scorecard, 2013.3.5 6 INTERNET & SECURITY FOCUS August 2014
영국은 G-20 국가내에서국내총생산량 (GDP) 대비인터넷경제가많은비중을차지하고 있는국가다. 글로벌컨설팅회사 BCG(Boston Counsulting Group) 에따르면, 2016 년영 국의인터넷경제비중이약 2.8 조달러 ( 약 2,800 조원 ) 로전체 GDP 대비약 12.4% 를차지 FOCUS 할것으로전망하고있으며, 이는조사대상 G-20 국가에서도가장큰비중을차지하고있는것으로나타났다. 또한, 전체소매시장중온라인소매비중이 23% 로이역시 1위를차지했다. 이처럼영국은국가경제성장을견인할신성장동력의수단으로 ICT를활용함과동시에경제구조에있어 ICT가차지하는비중이높게나타나고있다. 또한, 영국국민들의사이버상에서의이용율이높게나타나고있음을알수있다. 2. 영국의사이버위협현황 영국기업혁신기술부 (Department for Business Innovation & Skills) 의 2014 Information Security Breaches Survey(ISBS) 에따르면, 2014년민간기업대상의침해사고건수가작년보다감소한것으로조사되었으나, 피해액은크게증가한것으로나타났다. 7 또한, 영국통신 (British Telecom) 의 IT 의사결정자를대상으로조사 8 한설문결과를살펴보면, 조사대상자의 17% 만이사이버보안을정책의사결정시우선순위로고려하고있는것으로나타나사이버위협에대한인식역시미흡한것으로조사된바있다. 1) 사이버위협피해경험및유형대기업의 81% 가악의적인침해 (malicious breaches) 공격을받은것으로나타났으며, 대기업의 66% 는심각한침해사고를경험한것으로조사됐다. 중소기업의경우에도 60% 가악의적인침해공격을받았으며, 50% 는심각한침해사고를경험한것으로조사됐다. 사이버위협의유형으로는바이러스와악성소프트웨어에의한감염으로피해가가장많으며, 대기업의 73% 와중소기업의 45% 가경험한것으로조사되었다. 이와같은수치는지난해보다각각 14% 와 4% 씩증가하였다. 7 영국 2014 년사고피해비용은 6 십만 ~115 만유로로 2013 년기준 4 만 5 천 ~8 만 5 천유로보다크게증가한것으로나타남 8 2013 년 10 월, 영국, 프랑스, 독일, 미국, 브라질, 홍콩, 싱가포르의 IT 의사결정자 500 명을대상으로설문조사를수행 FOCUS 1 영국의사이버보안추진체계및전략분석 7
출처 : Department for Business Innovation & Skills(14.7 월 ) [ 그림 2] 민간기업의사이버위협피해경험 ( 좌 ) 및사이버위협유형 ( 우 ) 2) 사이버침해사고에따른피해규모 2014년사이버침해사고에따른피해액은중소기업 65,000~115,000 유로 ( 약 8,830만원 ~ 약 1억 5635만원 ), 대기업 600,000~1,150,000 유로 ( 약 8억 125만원 ~ 약 15억 3,574만원 ) 으로전년대비약 1.5~2배수준으로증가한것으로나타났다. 또한유형별로는아래의표와같이사업중단, 사고대응에소요되는직접적인비용지출등이가장큰비중을차지하 는것으로나타났다. < 표 1> 영국사이버침해사고피해액규모 ISBS 2014 small businesses ISBS 2014 large organisations Business disruption 40,000-60,000 over 7-10 days 350,000-650,000 over 5-8 days Time spent responding to incident 3,000-9,000 12-24 man-days 12,000-34,000 45-85 man-days Lost business 3,500-7,000 17,500-24,000 Direct cash spent responding to incident 9,000-17,000 80,500-135,000 Regulatory fines and compensation poyments 2,000-4,000 24,000-40,000 Lost assets (including lost intellectual property) 5,000-10,000 70,000-100,000 Damage to reputation 1,600-8,000 50,000-180,000 Total cost of worst incident on average 65,000-115,000 600,000-1,150,000 2013 comparative 35,000-65,000 450,000-850,000 2012 comparative 15,000-30,000 110,000-250,000 출처 : Department for Business Innovation & Skills(14.7 월 ) 8 INTERNET & SECURITY FOCUS August 2014
Ⅲ. 영국사이버보안추진체계및전략 FOCUS 1. 영국사이버보안추진체계 영국의사이버보안전략은내각부 (Cabinet Office) 를중심으로운영되고있다. 내각부는정보보호정책총괄과함께정부기관의정보보호활동및업무조정을담당하고있으며, 산하기관으로정보보증중앙기구 (CSIA), 9 사이버보안청 (OCSIA), 10 민간비상대비사무처 (CSS) 11 등이속해있다. 이외에도영국주요기반시설보호를담당하고있는내무부 (Home Office) 와통신정보수집 제공을담당하고있는외무부 (Foreign&Commonwealth Office), 국가산업발전을위해정보보호정책을담당하는기업혁신기술부 (Department for Business Innovation and Skills) 등이영국의사이버보안을담당하고있는대표적인정부부처이다. [ 그림 3] 영국사이버보안체계 9 정보보증중앙지원기구 (CSIA, Central Sponsor for Information Assurance) 10 사이버보안청 (OCSIA, Office of Cyber Security and Information Assurance) 11 민간비상대비사무국 (CSS, Civil Contingencies Secretariat) FOCUS 1 영국의사이버보안추진체계및전략분석 9
1) 내각부 (Cabinet Office) 내각부는정부가수립한목표달성을위해총리를지원하는핵심적인역할을담당하는정부부처로내각의업무를지원하고정부내각부처간의연계와정책시행을위해노력하고있는정부부처다. 사이버보안과관련해서는정보보증중앙지원기구 (CSIA), 사이버보안청 (OCSIA), 민간비상대비사무처 (CSS) 등을통해사이버보안활동총괄을담당하고있다. 정보보증중앙지원기구는영국정부의정보보증 (Information Assurance) 12 개선을주로담당하고있으며, 이를위해정보통신기술을활용해정부의공공서비스가원활히제공될수있도록지원하며, 훼손될위험이있는정보및정보시스템을보호해국가기반보호센터 (CPNI), 중대조직범죄청 (SOCA) 등협력관계있는기관들을주도해정보보안활동을전개해나가고있다. 사이버보안청은정부전략의수립및사이버보안강화기능을담당하고있으며, 2009년발표된영국최초의국가사이버보안전략에따라설립된기관이다. 내각부장관감독하에사이버보안전략실행을위한재정지원프로그램인국가사이버보안프로그램의관리와조정을담당하고있다. 13 민간비상대비사무국은내각부내의비상사태에대응하는업무를담당하기설립된기관이다. 비상사태가발생할시문제의상황을분석하고, 행정부와주요관계자들과의협력을통해비상상황의대응과복구노력을기울이고있다. 2) 내무부 (Cabinet Office) 내무부는테러 범죄및반사회적위험으로부터사회를지키며, 주요기반시설의보호와입국관리, 테러대응, 경찰통솔등을담당하고있는정부부처다. 내무부산하에는미국의 FBI와유사한국가사이버범죄대응기구인국가범죄수사국 (NCA) 과국가기반보호센터 (CPNI) 를두고있으며, 이들기관은영국에서발생하는주요사이버범죄와주요기반시설대상의물리적, 전자적공격으로부터보호업무를담당하고있다. 특히, 특정위협, 취약성에대한정보를주요협력기관들과공유함으로써적절한대응책을마련하고주기적인평가정보를제공하고있다. 12 정보시스템상정보가적절한목적과시기에맞게제공되며합법적인통제아래보호될것이라는확신 13 국가사이버보안전략실행을위한재정지원프로그램으로서 2011 년부터 2015 년까지 4 년동안 6 억 5,000 만파운드 ( 약 1 조 1 천억원 ) 예산지원계획수립 10 INTERNET & SECURITY FOCUS August 2014
< 표 2> 영국주요기반시설분야및소관부처 부문 통신 소관부처 상업기술규제개혁부 (Department for Business, Innovation and Skills) FOCUS 앰뷸런스 보건부 (Department of Health) 긴급 서비스 화재해양경비경찰에너지재정식량정부보건교통물 지역사회정부부 (Department for Communities and Local Government) 교통부 (Department for Transport) 내무부 (Home Office) 에너지기후관리부 (Department for Energy and Climate Change) 재무부 (HM Treasury) 환경농촌식품 식품인증처 (Department for the Environment, Food & Rural Affairs and Food Standards Agency) 내각부 (Cabinet Office) 보건부 (Department of Health) 수송부 (Department for Transport) 환경농촌식품부 (Department for the Environment, Food & Rural Affairs) 3) 외무부 (Foreign&Commonwealth Office) 외무부는해외에서의영국이익을증진하기위한목적을가진정부부처로산하에정보통신본부 (GCHQ) 를두고있다. 정보통신본부는통신정보 (Signals Intelligence) 의수집 제공과관련기관에보안정보를권고 보고하는업무등크게 2가지업무를담당하고있다. 14 정보보안과관련해서는정부의정보통신시스템을포함한정보를사이버위협으로부터보호하는것과관련되며, 정보통신본부산하의국가정보보증기술국 (CESG, The National Technical Authority for Information Assurance) 에서이를담당하고있다. 15 4) 기업혁신기술부 (Department for Business Innovation and Skills) 기업혁신기술부는영국의산업생산성을증진하고기업들의사업환경개선을담당하는 정부부처다. 사이버보안과관련해서는기업혁신기술부내정보보안정책팀 (Information 14 정보통신본부가제공하는정보는테러를위한대응의일환으로, 통신정보수신 제공은국가보안이나경제적복리증진, 심각한범죄예방등에한해서만허용 15 국가정보보증기술국에서는공공부문조직들의컴퓨터보안사고에대응하는 GovCertUK 도운영중 FOCUS 1 영국의사이버보안추진체계및전략분석 11
Security Policy Team) 을통해 1기업의사업상정보보호와관련된권고내용을담은홈페이지운영과관련출판물등을제공하고, 2정보보안실태조사를 2년에한번씩실시해기업들이직면하는보안위험에대한이해도높이는노력을하고있으며, 또한, 3업계의의견을반영한국내외기준및규제정책을마련하며, 유럽네트워크정보보안국 (ENISA) 운영위원회의일원으로업무지원활동수행하고있다. 5) 기타이외에도국방부산하국방정보국 (DIS, Defence Intelligence Staff) 를통해사이버보안관련군사정보수집과방첩활동을지원하고있으며, 영국정보기관인군정보청 5과 (MI5), 군정보청 6과 (MI6) 를통해보안, 국방등영국의중대한이익에영향을미치는문제에관하여국외비밀정보를수집하고있다. 2. 영국사이버보안전략및추진사항 영국은사이버공간에서증대되고있는위협으로부터모든시민들을보호하기위해 2009 년 6월영국최초로사이버보안전략을발표했다. 이전까지정보보호법 (Data Protection Act 1998) 을중심으로정보보호관련사항을규제했던영국은최초전략을통해사이버범죄의인식확대와민간대응능력제고등을목표로제시하였다. 하지만국가기반시설을위협하는사이버공격이계속해서증가함에따라, 사이버보안의중요성에대한정부의인식이확대되었고, 이후 ICT 기술발전과함께증가하는사이버공간내범죄예방을위해 2011년 11월새로운사이버보안전략과함께전략목표에따른계획및진행현황에관한보고서를발표하였다. 사이버보안전략에관한세부목표및주요추진사항을살펴보면다음과같다. 1) 영국사이버보안전략의주요목표영국사이버보안전략 (The UK Cyber Security Strategy) 은 2015년까지유연하고안전한사이버공간에서거대한경제적 사회적가치를구현한다는비전을바탕으로 1사이버범죄억제및안전한사이버공간구현, 2사이버공격에대한복원력복원력강화와사이버상의권익보호, 3열린, 역동적, 안정적인사이버공간구현, 4사이버보안지식, 기술, 능력구축등 4가지의목표를세우고 57개의세부실행과제를제시하였다. 또한, 4년간 6억 5천만 12 INTERNET & SECURITY FOCUS August 2014
파운드 ( 약 1 조 1 천억원 ) 의국가사이버보안프로그램 (National Cyber Security Programme) 을통해사이버보안정책수행에필요한재원을마련하는등사이버보안전략추진을위한 노력이진행되었다. FOCUS 영국은사이버보안전략세부실행과제를통해국가기관의사이버공격대응력및보안강화와함께민간사이버범죄에대한강력한대응, 민간기업의사이버보안관리장려및정보공유, 사이버보안관련국제협력강화등공공, 민간, 국가간협력을통해안전한사이버공간구현에노력을기울이고있다. 또한, 사이버보안위협이사이버범죄, 국가안보에영향을미칠수있는것으로판단, 법집행기관, 수사기관, 민간, 개인등다양한주체간의대응협력과자체능력강화를위해노력할필요가있다는것을제안하고있다. < 표 3> 영국사이버보안전략세부실행과제 목표 1. 사이버범죄억제및안전한사이버공간구현 주요내용 온라인범죄에대한영국법원의적절한법적제재도입 2013년까지새로운국가사이버범죄대응부서를국가범죄국 (NCA, National Crime Agency) 일부로설립 민간, 국제협력기관과의협력강화및강력조직범죄국 (SOCA, Serious Organised Crime Agency) 의국제사이버범죄에대한조사강화 2. 사이버공격에대한복원력강화와사이버상의권익보호 주요국가기반시설 (Critical National Infrastructure) 관리기업과의협력 사이버사고에대응하기위해영국및국제파트너들과의대응절차확립 정부 ICT 전략을통한안전한정부 ICT 네트워크구축및유지 사이버공격의성격및속성식별능력제고 사이버상에서자유및행동을보장하기위한역량유지 3. 열린, 역동적, 안정적인사이버공간구현 사이버공간에서허용되는행동의국제규범설정 영국의통신산업과관련된규제 정책검토수행 ITU, 유럽의회및 OSCE(Organization for Security and Co-operation in Europe) 등국내외주요기관과협력하여사이버범죄대응을위한제도마련 사이버공간에서국제인권법률프레임워크적용방법을논의할다자간, 양자간채널사용 사이버이슈를공동대응하기위한 EU 및유럽위원회와의공조체계강화 4. 사이버보안지식, 기술, 능력구축 사이버공간에대한기술절차및사회적행동발달을예측하는능력향상 사이버공간에서영국을공격하는위협및취약점에대한이해확산 혁신적인사이버보안솔루션구축을위한다양한부문지원 사이버연구우수센터선정및투자 공공및기업들의위협에대한인식제고와자기보호능력향상 FOCUS 1 영국의사이버보안추진체계및전략분석 13
2) 국가사이버보안전략계획 (National Cyber Security Strategy Our Forward Plans) 영국은사이버보안전략을기본으로세부과제를지속적으로평가 관리하기위해매년전략추진과정검토와목표별진행현황을발표하고있다. 2013년 12월영국은사이버보안전략추진과정검토와함께향후전략추진방향을담고있는 국가사이버보안전략계획 을발표하였으며, 영국사이버보안전략의 4가지주요목표를중심으로국가대응능력향상, 영국주요기반시설및네트워크복원력강화, 사이버인식및위험관리능력향상, 일반국민의사이버보안인식제고및전문인력양성, 국제협력등에관한계획을수립하고있다. < 표 4> 국가사이버보안전략계획주요추진내용 1 고도화된사이버위협에대비한국가대응능력향상 2 인터넷비즈니스신뢰성강화및사이버범죄해결을위한법집행기관역할강화 3 영국주요시스템및네트워크복원력강화 4 영국산업내사이버인식및리스크관리능력향상 5 대중들의사이버보안인식제고및제품, 서비스에대한높은수준의사이버보안요구 6 사이버보안연구및교육강화를통한보안전문인력양성 7 사이버범죄해결및개방적이고안전한사이버공간구축을위한국제협력지원 (1) 목표 1 : 사이버범죄억제및안전한사이버공간구현영국정부는사이버범죄억제및안전한사이버공간구현목표를달성하기위해사이버보안위협에관한인식제고및효과적인사이버보안위험관리체계확립을목표로민간부문과의협력을강화하겠다는계획을밝혔다. 이를위해 2014년말까지사이버보안정보공유협력체 (CISP) 를 500개까지확대, 기업들을위한사이버보안관련지침서제공, 업계주도의사이버보안관련표준화를지원하는등안전한사이버공간구현을위해민 관협력을주요한내용으로하고있다. 특히, 고객이시장에접근하고사업을수행하는것을돕기위해사이버보안전문가, 사이버보안제품및서비스의산업규격합격품표시 (kite marking) 를확대하는등사이버보안산업육성에도관심을기울이고있는것으로나타나영국산업내정보보호인증제품확산을위한노력도추진되고있다. (2) 목표 2 : 사이버공격에대한복원력강화와사이버상의권익보호 사이버공격에대한복원력강화와사이버상의권익보호의목표를위해정부부처, 기관 14 INTERNET & SECURITY FOCUS August 2014
등자체위험관리제도마련을통한사이버위험관리를지원하고주요기반시설사업자들과 의사이버위협정보공유를확대할계획을밝히고있다. 그리고이를위해네트워크복원력 강화와같은표준화된접근방식을포함하고있는공공부문네트워크 (Publick Sector FOCUS Network) 를구축하고모든정부부처 정부기관이사회의자체리스크관리제도를통해사이버리스크관리를지원하는등사이버위협으로부터의복원력강화를위한계획을밝히고있다. 16 이외에도영국컴퓨터비상대응팀 (CERT-UK) 설립을위한관련업계와의파트너십체결, 주요기반시설사업자들과의사이버위협정보공유를위한사이버보안정보공유협력체 (CISP) 기능확대를추진하고자하였다. (3) 목표 3 : 열린, 역동적, 안정적인사이버공간구현열린, 역동적, 안정적인사이버공간구현의목표를달성하기위해사이버공간에대한행동규범을마련하고사이버공간내기술과정책을선도할수있도록국가간, 기관간협력을강화하겠다고밝히고있다. 이는최근사이버공간내국경이없는만큼국제적인협력의중요성이강조됨에따라 EU, NATO, 인도, 한국등국제기구와국가간의협력을확대하고, 공동작업을통한영국의사이버공간의가치를전파하는데노력을기울이겠다는의미로이해할수있다. 또한, 사이버범죄퇴치와사이버공간내에서의국제법적용과관련한작업에서도영국의입장을반영할수있도록국제회의에적극참여하여국제사이버보안정책, 전략을선도하겠다는계획을밝히고있다. (4) 목표 4 : 사이버보안지식, 기술, 능력구축영국은사이버보안지식, 기술, 능력구축의목표를달성하기위해교육, 학계및산업부문간협력을통한사이버인재를양성하는등사이버보안전문인력의수급을강화하고사이버보안기술관련연구개발을지원할것이라는계획을밝혔다. 이를위해사이버보안전문인력양성을위해초등학교, 대학교등학교교과과정과연계및가능한폭넓은인재풀을형성하기위해사이버보안경력자들의경력단절을막기위한직업경로를개발하는등단순한인력 16 공공부문네트워크 (Public Sector Network) 는영국공공부문의중심에산업표준에기반한네트워크를구축함으로써개방적이고경쟁력있는 ICT 시장을만드는것을구축목표로영국정부전역의실질적인커뮤니케이션비용을줄이고정보공유로인해시민의편익을극대화하기위해구축 FOCUS 1 영국의사이버보안추진체계및전략분석 15
양성이아닌전문성과사후관리에도집중을하겠다는계획을밝히고있다. 더불어개방대학을통해사이버보안공개온라인과정을개발, 다수의학생들을대상으로사이버보안에대한인식을제고할수있도록하였다. 이밖에도내무부등정부부처의페이스북을활용한일반대중들의사이버보안인식제고에도노력을기울일계획을밝혔다. 3. 영국사이버보안전략추진성과 영국은보다안전한사이버공간을구현하기위해사이버보안전략에서제시한기본방향과실행계획을토대로사이버범죄억제, 복원력강화및사이버상의권익보호, 열린 (Open), 역동적, 안정적인사이버공간구현, 사이버보안지식, 기술, 역량확보등을위해노력해왔다. 그리고이러한결과를바탕으로 2013년 12월영국은 2013년도에수행한사이버보안전략의추진성과를조명하기위해 국가사이버보안전략의목표별진행현황 (Progress against the Objectives of the National Cyber Security Strategy) 를통해각목표별주요결과를발표한바있다. 목표별주요활동결과를보면다음과같다. 1) 목표 1 : 사이버범죄억제및세계에서가장안전한사이버공간구현 (1) 사이버범죄억제영국은국가사이버범죄를전문적으로대응하기위해국가범죄수사국 (NCA) 발족의일환으로 2013년 10월국가사이버범죄수사대 (NCCU) 를설립했다. 국가사이버범죄수사대는이전강력조직범죄국 (SOCA) 의사이버수사대와 PCeU(Police Central e-crime Unit) 의전문성과기술을통합해고도화된사이버범죄를퇴치하기위한조직으로미국 FBI 등과의협력을통해 5억달러 ( 약 5,142억원 ) 규모의인터넷사기범죄를소탕하는등다양한성과를올리고있다. 또한, 법집행기관들의보안역량을강화하기위해 9곳의지역범죄수사대 (Regional Organised Crime Unit) 내전담사이버수사팀설립을추진하고, 경찰대학 (College of Policing) 내사이버수사기법을교과과정주요과목으로편입했다. 해외에서발생한사이버위협과관련해서는국제기관들과의협력을통해사이버범죄에대한국제대응을강화하고있으며, 국제합동사이버수사모델개발에착수하는등사이버범죄위협의원천을차단하기위한국제협력을강화하고있다. 16 INTERNET & SECURITY FOCUS August 2014
(2) 안전한사이버공간구현 영국은 2013 년 3 월안전한사이버공간구현을위해사이버위협정보를실시간으로교류할 수있는플랫폼인사이버보안정보공유협력체 (CISP) 를발족하였으며, 기업들이사이버위협 FOCUS 으로부터주요서비스를보호할수있도록사이버보안안내서를발간하는등정부차원의지원과자문을제공했다. 또한, 영란은행 (Bank of England) 의금융정책위원회 (Financial Policy Committee) 에서금융부문의사이버사고대응실태를점검하기위해 Waking Shark Ⅱ 훈련을실시하였으며, 훈련을통해사이버보안정보공유협력체 (CISP) 플랫폼의필요성을인식하는계기가되었다. (3) 경제성장촉진영국기업들의해외시장진출을지원하고, 사이버수출활동을적극적으로지원하기위해 2013년 5월 영국사이버수출전략 (The UK Cyber Exports Strategy) 을발표했다. 또한, 영국내사이버보안산업의내수시장확대와함께수출성장을촉진하기위해영국과산업계간협력체인 사이버성장파트너십 (Cyber Growth Partnership) 을설립했다. 더불어중소기업의사이버보안을강화하고아이디어를보호하며성장을지원하기위해기업들이외부전문인력 / 기술을도입해성장할수있도록지원하는제도인 사이버보안혁신바우처 (Innovation Voucher) 를통해 50만파운드 ( 약 8억원 ) 의자금을지원했다. 2) 목표 2 : 사이버공격에대한복원력강화와사이버상의권익보호 (1) 사이버공격에대한복원력강화영국은 30개제휴업체와 25개의정부부처및기관들과협력하여 10차례의훈련을통해금융, 교통, 수도등핵심부문을대상으로사이버복원력을시험하였다. 또한, 정부 IT 시스템의복원력강화를위해전문가를통한사이버보안자문서비스를제공하였고, Android, Windows 8, Blackberry 10, ios, 삼성등보편적으로사용되는 11개의데스크톱, 모바일플랫폼을포괄하는보안안내서를공공부분조직들을대상으로발행했다. 특히, 정부, 업계, 학계및국제기구와긴밀히협력하여영국내외에발생하는사이버공격의효과적인대응을위해 CERT-UK 의설립에합의하는등사이버공격에대한복원력을강화하기위한모범체제를마련중에있다. FOCUS 1 영국의사이버보안추진체계및전략분석 17
(2) 사이버공간에서의권익보호영국은군과방위산업공급망내부의사이버보안을강화하기위해 12개주요방위산업체및중소기업을대표하는 ADS, tech UK와함께 국방사이버보호파트너십 (Defence Cyber Protection Partnership) 을체결하였으며, 2013년 5월에는군의사이버역량을강화하기위해 JFCyG(Joint Forces Cyber Group) 을창설했다. 또한, 국방부는사이버국방역량테스트와군교육프로그램개발을통해사이버안보전문가육성에노력을기울였다. 3) 목표 3 : 열린 (Open), 역동적, 안정적인사이버공간구현영국은사이버공간에서의충돌위험에대한이해증진과위험완화에기여하기위해국제회의참여하고있다. 2013년 6월유엔정부전문가그룹 (UNGGE) 과함께사이버공간에국제법이적용된다는것에대한컨센서스보고서에합의한바있으며, 2013년 12월유엔안보협력기구 (OSCE) 의 57개참여국과함께제 1차사이버공간에서의다자간신뢰구축조치에합의했다. 이들두합의는사이버문제와관련해서다자간협력의중요성을널리알리는이정표역할을했다. 또한, 2013년 10월서울사이버스페이스총회에참석하여, 개방적인인터넷을유지해야한다는영국의정책적입장을전파하였으며, 다자간인터넷거버넌스모델의입장을지지하는등활발한국제협력활동을하고있다. 4) 목표 4 : 사이버보안지식, 기술및역량구축 (1) 기술및역량정부는중등교육자격시험 (GCSE) 및영국대입준비시험 (A Level) 에활용될사이버보안학습및강의교재 10개모듈을개발하는데필요한자금을지원하고, 제휴기관들과협력하여소프트웨어설계와개발시보안취약점을예방하기위한교재를개발하는등학교내사이버관련내용을늘리고강화하는노력을기울였다. 또한, 업계및학계와협력하여직장내에서사이버기술의활용도제고를위해국가사이버보안 HE 인턴제도를시범적으로실시했으며, e-skill UK의 사이버아카데미 (Cyber Academy) 와고용주가주도하는기술교육프로그램을지원했다. 공공부문에대한사이버보안인식제고와함께사이버기술역량강화를위해자체인력교육에대한투자도진행해왔다. 국가기록보관소 (National Archives) 는 2013년에정보보증및사이버보안분야에대해 697명의직원들을교육시켰으며, 국가사기범죄관리청 (National 18 INTERNET & SECURITY FOCUS August 2014
Fraud Authority) 와함께 정보에대한책임 (Responsible for Information) 이라는전자학 습과정을만들었다. FOCUS (2) 연구및인식확대세계적인사이버보안연구역량을확보하기위해영국내대학교 3곳 ( 버밍엄, 캠브리지, 뉴캐슬 ) 에 사이버보안연구학술센터 (Academic Centres of Excellence in Cyber Security Research) 를신설했다. 또한, 옥스퍼드대학교와로열할로웨이대학교에서주관하는사이버보안박사센터 2곳을개설해박사과정의학생들이첨단사이버보안기술을습득해미래사이버위협에대응할수있도록교육을추진할예정이다. 17 또한정부는업계와협력하여인식제고캠페인 ( The Devils in Your Details ), 공공부문및업계의안전한온라인이용을위한실질적인조치를장려하는 GSO(Get Safe Online) 와같은인식제고활동을추진하고있다. Ⅳ. 시사점 영국은사이버보안강화를위한전략과실행계획수립을통해사이버침해위협에대응하기위한노력을지속적으로추진하고있는국가로사이버보안전략, 실행계획과함께이행사항을매년점검하고있다. 특히국가사이버보안프로그램 (National Cyber Security Programme) 을통해사이버보안정책수행에필요한재원을마련하는등보다체계적인추진력을갖출수있는기반이마련되어있음을확인할수있었다. 또한사이버보안이슈가점차국가주요기반시설에대한보호, 사이버범죄등다양한분야와연계될뿐만아니라국가간경계없이진행된다는점에서사이버보안위협에대한대응력및복원력강화에중점을두고있는것으로나타났다. 이와같은영국의사이버보안전략분석및영국정부가사이버보안전략을추진, 이행하 17 이외에도영국정부는영국내사이버재능파이프라인을만드는 ( 사람들에게 e-skills 과사이버커리어지원 ) 노력의일환으로개방대학 (Open University, 한국의방송통신대와비슷함 ) 과함께사이버보안커리큘럼을만들어약 20 만명의사람들에게교육을제공한다는계획을밝힘 ( 14.6.30) FOCUS 1 영국의사이버보안추진체계및전략분석 19
는과정상우리에게주는시사점을도출해보면다음과같다. 첫째, 사이버보안대응을위한국가간, 기관및민간부문간협력강화가필요하다. 사이버위협요인이점차다양화되어감에따라, 이를신속하게파악하고대응하기위해서는협업및정보공유의중요성이더욱강조되고있다. 영국의경우에도민 관간실시간사이버위협정보공유플랫폼인사이버보안정보공유협력체 (CISP) 의확대와함께사이버위협대응모범사례전파, 국가간사이버보안훈련실시등전방위적인민 관 군 국제기구간의유기적인사이버보안협력체계를구축하려는노력을하고있다. 이는영국정부가국가내사이버보안전담부처만의노력이아닌효과적인사이버위협대응을위해다양한주체들과의협력이얼마나중요한지를보여주고있는것이라고할수있다. 둘째, 국가주요기반시설에대한사이버위협대응방안마련이필요하다. 영국은국가주요기반시설의사이버위협발생시이로인한피해가국가안보에까지미칠수있다는점에서주요기반시설의사이버보안훈련을실시하고있다. 금융분야에서는 2013년 11월사이버보안복원력을시험하기위해영란은행 (The Bank of England), 금융정책위원회등금융기관, 관련인프라담당자와함께사이버훈련 Waking Shark II 훈련을실시하였다. 이외에도교통, 수도, 식품등주요기반시설대상으로 30개제휴업체와 25개정부부처및기관들과협력하여 10차례의사이버보안훈련을가졌다. 이와같은사이버대응훈련은사이버보안의중요성에대한공감대형성의계기가되었을것이다. 셋째, 사이버보안관련국제협력강화를통한국가간공조체계마련이필요하다. 영국은다양한국제회의참석을통해영국의국가사이버보안가치전파와함께미래전세계미래사이버보안관련활동에도적극참여하고있다. 이와관련세계정보사회정사회의 (WSI), UN 정부전문가그룹 (UNGGE) 회의등다양한국제회의참여및국제사이버범죄퇴치를위한국제사이버수사모델개발등을위해노력하고있다. 끝으로, 사이버보안전문인력양성을통해사이버보안기술, 연구역량을강화가필요하다. 영국은사이버기술의활용도제고를위한교육프로그램마련및연구환경을조성하였으며, 안전한온라인이용을위한캠페인등인식제고활동을통해자체적인역량강화를추진하고있다. 전세계적으로사이버보안의중요성이부각되고있는가운데국내에서도정보보호와관련한대책을통해, 사이버침해대응력강화를위한노력을기울이고있다. 본고에서살펴본영국의경우국가차원의사이버보안전략수립과함께이행력강화를위해지속적으로다양 20 INTERNET & SECURITY FOCUS August 2014
한정책들을실행해가고있음을알수있었다. 우리의경우에도정보보호관련정책을실행 함에있어다양한벤치마킹사례를발굴, 적용하고사이버보안의중요성인식확산을통한 사회전반에정보보호환경조성을위해노력해나아가야할것이다. FOCUS 참고문헌 미래창조과학부 (2013). 정보보호산업발전종합대책. 한국인터넷진흥원 (2012). 2012년정보보호실태조사 ( 기업편 ). MK 뉴스 (2014). [2014 신년기획 ] 영국 `테크시티`로재도약. British Telecom (2014). UK companies lag behind the US in cyber security readiness, survey reveals. Cabinet Office (2013). The National Cyber Security Strategy: Our Forward Plans. Cabinet Office (2013). Progress against the Objectives of the National Cyber Security Strategy. Department for Business Innovation & Skills (2014). 2014 Information Security Breach Survey. Department for Business Innovation & Skills (2013). 2013 Information Security Breach Survey. Ofcom (2013). The European Broadband Scorecard. The Boston Consulting Group (2012). The Internet Economy in the G-20. THE INQUIRER (2014). UK government to team with the Open University to teach cyber security. FOCUS 1 영국의사이버보안추진체계및전략분석 21