3 미국의사이버보안정책과 R&D 전략에관한분석 - 오바마정부 1 기의성과와정책적시사점을중심으로 - 민경식 ( 경제학박사 ) 한국인터넷진흥원정책기획팀수석이코노미스트 (kyoungsik@kisa.or.kr) 지순정 한국인터넷진흥원정책기획팀선임연구원 (sjji@kisa.or.kr) 최근미국오바마대통령이재집권에성공하였다. 과거오바마정부는사이버공간을국가가직접보호해야할대상으로규정하고대통령중심의컨트롤타워를구축해왔다. 본고는오바마정부집권 1기의사이버보안전략의주요내용과성과를분석한다. 또한사이버보안분야의연구개발전략과주요내용을살펴보고우리나라의사이버보안정책과연구개발전략에대한시사점을도출하고자한다. < 목차 > Ⅰ. 서론 / 46 Ⅱ. 미국의사이버보안정책 / 47 1. 사이버보안정책추진경과 : 2008년까지 / 47 2. 오바마정부의사이버보안정책 : 2009년부터 / 48 2. 사이버보안연구개발전략책정프로세서 / 55 3. 사이버보안연구개발전략의구성 / 57 4. 사이버보안연구개발전략의예산현황 / 60 Ⅵ. 결론및시사점 / 60 Ⅲ. 오바마정부의사이버보안 R&D 전략 / 53 1. 미국의연구개발추진체계및현황 / 53 주저자 Internet & Security Focus 2013 1 월호 45
I. 서론 2012 년말미국버락오바마대통령이롬니공화당후보를제치고재선에성공했다. 지난오바마정권 1기를돌아보면, 미국의사이버보안정책은많은변화가있었다. 무엇보다도사이버보안정책에대한정부주도의리더십과책임이강화된것이특징이다. 특히 2009년새로운정부출범부터사이버보안업무를백악관이주도하도록하였고동년 12월하워드슈미츠 (Howard A. Schmidt) 1) 를정부최초의사이버보안조정관으로임명하고사이버공간정책리뷰 (Cyberspace Policy Review) 를중심으로효과적인정보공유및사고대응체계를구축했다. 또한미국방부 (DoD, Department of Defense ) 는 4개년국방정책검토보고서 (QDR, Quadrennial Defense Review Report) ('10.2) 에서사이버공간을육 해 공등타공간과구분한데이어, 국방부사이버공간운영전략 (DoD Strategy for Operating in Cyberspace) 을발표하는등사이버공간을육 해 공 우주에이은제5의전장으로규정하고, 사이버전대응체계를구축하고있다. 미국의사이버보안정책추진의또다른성과는, 전국민대상의사이버보안정책을추진했다는점이다. 미국은국가사이버보안교육 (National Initiative for Cyber security Education) 프로젝트를추진하고있으며이를통해국민인식캠페인 (Stop. Think. Connect), 정규사이버보안교육, 연방보안인력개발등을진행하고있다. 또한국가사이버보안의달 (Cybersecurity awareness month) 을선언하고국토안보부중심으로국가사이버보안인식캠페인을시작했다. 한편, 2011 년 12월사이버보안연구개발전략 (Trustworthy Cyberspace: Strategic Plan for the Federal Cyber security R&D Program) 을발표하고추진중에있다. 본고에서는오바마정부 2기에들어서는시점에서 1기의사이버보안정책의주요성과를분석한다. 세부적으로는사이버공간정책리뷰에제시한단기과제들의추진성과를살펴보고특히연구개발전략의책정프로세스와연구테마를자세히소개한다. 1) 2012 년 5 월사이버보안조정관직을퇴임, 오바마정부의사이버보안조정관으로재직하면서 NSTIC(National Strategy for Trusted Identities in Cyberspace) 와 NICE(National Initiative for Cybersecurity Education) 정책을각각 개발했다. 46 Internet & Security Focus 2013 1 월호
II. 미국정부의사이버보안정책 1. 사이버보안정책추진경과 2) : 2008 년까지 (1) 국토안보부창설이전 (1998 년 ~ 2002 년 ) 1998년 5월, 클린턴정부는 대통령령 (PDD, Presidential Decision Directive) 제63 호 공표를통해주요기반시설에대한범정부적보호체계를처음으로마련하며, 국가주요기반보호를위한전략개발이연방정부를중심으로이루어지기시작하였다. 2001 년 9.11 테러를계기로부시정부는주요기반시설보호를국토안보차원에서다루기시작하여관련행정명령 (EO, Executive Order) 을제정하였다. 행정명령제13228호 ( 01.10.8 제정 ) 에의거하여국토안보국 (Office of Homeland Security) 및국토안보회의 (Homeland Security Council) 가설치 ( 01.10) 되었고, PDD-63 을대부분을계승한행정명령제13231 호 ( 01.10.16 제정 ) 는주요기반시설에대한사이버상의위협에초점을맞추었다. 이후 전자정부법 (E-Government Act) 제3편으로 연방정보보안관리법 (FISMA, Federal Information Security Management Act) 이제정 ( 02.12) 되었다. 이는연방정부의주요정보자원을보호 통제하고, 정부기관의관리 감독권한을국토안보부에부여하는등의목적으로예산관리국 (OMB) 의권한과기능, 연방정보시스템표준에대한책임, 정보보호및프라이버시자문위원회등의내용을포함하였다. (2) 국토안보부주도 (2003 년 ~ 2008 년 ) 2003 년 3월, 국토안보법 (Homeland Security Act, 02.11 월제정 ) 에의거하여국가기반시설보호를담당하는기존부서들을통합하여국토안전및사이버보안주무부처로국토안보부 (DHS, Department of Homeland Security) 가신설되었다. 2003 년 12월, 국토안보대통령령 (HSPD, Homeland Security Presidential Directive) 제7호 가공표되었다. 국가기반보호계획수립, 주요기반시설과자산식별, 정보보호활동의우선순위설정및프레임워크구성등의내용을포함하고있으며, 사이버보안총괄책임자는국토안보부장관으로지정되었다. 2008년 1월, 국토안보대통령령제23호 (NSPD-54/HSPD-23, National Security Presidential Directive-54/Homeland Security Presidential Directive- 23) 가공표되어, 이를바탕으로 국토사이버보안종합계획 (CNCI, Comprehensive National Cybersecurity Initiatives) 이수립되었다. 2) 김은혜외 (2011), 미오바마정부의사이버보안주요정책및법안, 인터넷 & 시큐리티이슈 (8 월호 ) 한국인터넷진흥원 Internet & Security Focus 2013 1 월호 47
< 표 1> 주요사이버보안정책 (2008 년까지 ) 구분 내용 00.1 정보시스템보호를위한국가계획 (National Plan for Information System Protection) 국가주요기반시설에대한사이버위협에대응하기위한최초의국가계획 02.7 국가안보를위한국가전략 (National Strategy for Homeland Security) 03.2 주요기반시설및핵심자산의물리적보호를위한국가전략 (National Strategy for Physical protection of Critical Infrastructure & Key Assets) 03.2 국가사이버공간보호전략 (National Security to Secure Cyberspace) 08.1 국토사이버보안종합계획 (Comprehensive National Cybersecurity Initiatives, CNCI) 08.9 국토안전전략계획 2008-2013 (U.S. DHS Strategic Plan FY 2008-2013) 2. 오바마정부의사이버보안정책 : 2009 년부터 2009 년 1월에출범한오바마정부는사이버보안정책을정부정책의최우선과제로두고동년 2월부시정부에서수립한사이버보안종합계획 (CNCI) 을포함한연방정부의정보통신인프라방어대책에대한전면적인재검토를국가안보회의 (NSC, National Security Council) 및국토안보회의 (Homeland Security Council) 에지시했다. 3) 오바마정부는 2009 년 5월에 사이버공간정책리뷰 (Cyberspace Policy Review) 를발표하였다. 4) 여기에오바마정부는사이버보안정책을추진하기위한단기과제로서다음의 10가지를제시하였다. 여기서는이들과제의성과를살펴보도록한다. 5) < 표 2> Cyberspace Policy Review 의단기실행과제 아젠다 최상위리더십발휘 단기과제 (1) 국가사이버보안정책추진을총괄 지휘하는사이버보안조정관임명및국가안보회의 (NSC, National Security Council) 담당국으로서사이버보안국 (Cybersecurity Directorate) 신설 (2) 정보통신기반을안전하게보호하기위한새로운국가전략마련 (3) 대통령의국정핵심과제로사이버보안책정및성과관리 3) White House, FACT SHEET: Cyberspace Policy Review: Assuring a Trusted and Resilient Information and Communications Infrastructure 4) White House, Cyberspace Policy Review http://www.whitehouse.gov/assets/documents/cyberspace_policy_review_final.pdf 5) 여기서는백악관이 2011 년 5월발표한 10개단기실행과제추진성과를토대로정리하였다. 48 Internet & Security Focus 2013 1 월호
아젠다 단기과제 최상위리더십발휘 디지털국가역량구축 (4) 국가안보회의 (NSC) 내사이버보안국에프라이버시및인권담당관임명 (5) 사이버보안관련관계부처통합지침마련및협력체계구축 (6) 사이버보안촉진을위한범국가차원의인식제고및교육캠페인실시 사이버보안책임공유 효과적인정보공유및사고대응체계구축 혁신촉진 (7) 국제사이버보안정책을위한미국의역할을확립하고국제파트너십관련역량강화 (8) 사이버침해사고대응계획수립및민관파트너십향상을위한대화촉진 (9) 연구개발전략프레임워크구축및연구촉진을위한침해사고정보제공 (10) 프라이버시와인권을배려한사이버보안에기반을둔 ID 관리비전및전략수립 (1) 사이버보안조정관임명및 NSC 담당부서설치오바마대통령은 2009년 12월사이버보안조정관으로지방 연방정부 민간기업에서사이버보안관련요직을지내고부시정부에서 2003년까지대통령주요인프라보호이사회 (President's Critical Infrastructure Protection Board) 부의장및백악관사이버공간보호특별고문을지낸하워드슈미츠를임명하였다. 이후미국의사이버보안정책은슈미츠에의해주도되었다. 여기에국가안보회의내에사이버보안조정관을최고책임자로하는사이버보안국 (Cybersecurity Directorate) 을새롭게설치하였다. 사이버보안국에서는국가경제회의 (NEC, National Economic Council) 등경제담당국과연대하고행정관리예산국 (OMB, Office of Management and Budget) 과과학기술정책국 (OSTP, Office of Science and Technology Policy) 과의긴밀한협력체계를구축하였다. (2) 정보통신기반을안전하게보호하기위한새로운국가전략마련 2010 년백악관의발표 6) 에따르면, 사이버보안국은 국가사이버보안종합계획 (CNCI) 과 사이버공간정책리뷰 의세부실행계획추진을지원하기위한 국토안보대통령령제23 호 (NSPD-54/HSPD-23) 를개정추진중에있다. (3) 대통령의국정핵심과제로사이버보안책정및성과평가방법확립 2010년 4월국가안보회의와행정관리예산국 (OMB) 은연방정보보호관리법 (FISMA, Federal Information Security Management Act) 에관한새로운가이드라인을공표하였다. 7) 이에따라지금까지연방정부기관의문서만으로이루어진 FISMA 현황보고는 6) White House, Cybersecurity Progress after President Obama s Address (2010 년 7월 ) http://www.whitehouse.gov/administration/eop/nsc/cybersecurity/progressreports/july2010 7) OMB, FY 2010 Reporting Instructions for the Federal Information Security Management Act and Agency Privacy Management Internet & Security Focus 2013 1 월호 49
동년 10 월이후자동화툴 CyberScope 를사용하여실시간으로시행될수있게되었다. (4) 사이버보안국에프라이버시및인권담당관임명 2010 년 7 월프라이버시및인권담당자가국가안보회의내에임명되었으나비공개로실명이 알려지지는않았다. (5) 사이버보안관련관계부처통합지침마련및협력체계구축 2010년 10월국방부 (DoD) 는육군 해군 공군 해병대가개별적으로운영하던사이버부대를통합해사이버전과사이버테러에대응하기위한전략사령부내에사이버사령부 8) (USCYBERCOM, U.S. Cyber Command) 를창설하였다. 이에앞서국방부 (DoD) 는 2009 년국방보고서에서 네트워크중심의전투 (NCW, Network-Centric Warfare) 를미군의핵심역량으로규정하고, 군 ( 軍 ) 컴퓨터네트워크통합및보안과공격형사이버무기개발을위한사이버사령부창설 ( 안 ) 을마련하였다. 또한국방부 (DoD) 는국토안보부 (DHS) 와국가사이버보안에관한협력체계를구축하여인력, 기기, 설비등을상호지원하는것을내용으로협약서를교환하였다. 9) 2011년 7월에는국방부 (DoD) 가사이버사령부의역할을포함해국가사이버공간에관한방어전략 10) 을발표하였다. 그밖에도연방정부내에서는원자력규제위원회 (NRC, Nuclear Regulatory Commission) 와연방에너지규제위원회 (FERC, Federal Energy Regulatory Commission) 가원자력망과원자력발전소의사이버보안대책의협력체제에관한각서 11) 를교환하고범부처적인사이버보안협력체계구축이진행되고있다. (6) 사이버보안촉진을위한범국가차원의인식제고및교육캠페인실시 2010 년 3 월국립표준기술연구소 (NIST, National Institute of Standards and Technology) 는사이버보안전문가의육성 활용, 사이버보안의국민의식향상및교육기관의 8) 메릴랜드州포트미이드 (Fort Meade) 에위치한사이버사령부는현재 4만명이상의군인 ( 육군 해군 공군및해병대 ), 전문가, 시민으로구성되어있고, 연간예산으로약 1억 5천만달러 ( 약 1600 억원 ) 가책정되었다. 9) DOD/DHS, MEMORANDUM OF AGREEMENT BETWEEN THE DEPARTMENT OF HOMELAND SECURITY AND THE DEPARTMENT OF DEFENSE REGARDING CYBERSECURITY (2010 년 9 월 ) 10) DoD, DEPARTMENT OF DEFENSE STRATEGY FOR OPERATING IN CYBERSPACE (2011 년 7월 ) 11) NRC/FERC, MEMORANDUM OF AGREEMENT between the U.S. NUCLEAR REGULATORY COMMISSION and the FEDERAL ENERGY REGULATORY COMMISSION (2009 년 9월 ) http://www.ferc.gov/legal/maj-ord-reg/mou/mou-us-nucr-09.pdf 12) NIST, National Initiative for Cybersecurity Education Strategic Plan (2011 년8 월 ) http://csrc.nist.gov/nice/documents/nicestratplan/draft_nice-strategic-plan_aug2011.pdf 50 Internet & Security Focus 2013 1 월호
보안교육추진을목표로하는국가사이버보안교육계획 (NICE, National Initiative for Cybersecurity Education) 을발표하였고 2011 년 8 월에는전략추진문서 12) 를공개하였다. 다음은국가사이버보안교육계획의주요내용이다. 목적 < 표 3> 미국국가사이버보안교육계획주요내용 국가정보보호를강화하기위해건전하고지속가능한사이버보안교육프로그램을책정한다. 프로그램은다음의 4 가지측면에서구성한다. Awareness: 국가사이버보안의식향상 ( 국토부주도 ) Stop. Think. Connect 캠페인, 10 월에는정보보호의달제정등일반인을위한안전한인터넷이용환경조성 내용 Education: 공적인사이버보안교육 ( 교육부및전미과학재단 (NSF) 주도 ) 유치원에서고등교육, 직업프로그램까지를대상으로사이버보안교육을실시하여민간 정부기관에기능인력을공급한다. 13) Federal Workforce Structure: 사이버보안전문인력양성 ( 국토부주도 ) 사이버보안에관한업무와취업, 캐리어패스등을정의한다. 14) Training and Professional Development: 사이버보안전문인력의교육과전문능력개발 ( 국토부, 국방부가주도 ) 산학연협력아래기존연방정부의전문인력강화훈련및전문능력개발을실시한다. 분야는일반 IT 이용, IT 인프라, 관리, 보호, 법집행및대응활동보고, 사이버보안운용의영역을포함한다. (7) 사이버보안분야국제협력강화 2011 년 5월백안관은사이버환경에대한범국가적관리의필요성과이를위한정책방향을제시하고, 기본적자유권 (Fundamental Freedoms), 프라이버시 (Privacy), 정보의자유로운흐름 (Free Flow of Information) 등 3대핵심원칙을바탕으로수립된사이버공간을위한국제전략 (International Strategy for Cyberspace) 을 15) 발표하였다. 정책분야경제네트워크보호법집행군사인터넷거버넌스성장및발전인터넷자유 < 표 4> 사이버공간을위한국제전략주요내용개방형시장환경조성, 기술혁신촉진, 국제표준선도보안성, 신뢰성및연속성제고법공조체계강화 21세기국가사이버보안위협대비효과적인인터넷거버넌스체계마련인터넷역량, 보안및번영구축국가간전자상거래개인정보보호강화및자유로운정보교류환경조성등기본적인자유와프라이버시보장 13) 구체적으로는 NSF의 Advanced Technology Education(ATE) 프로그램과 DHS 주도로 National Centers of Academic Excellence 의사이버보안관련교육사업을강화하였다. 14) 연방정부전문인력은 Office of Personnel Management(OPM) 가연방정부이외의정부는 DHS, 민간에대해서는 SBA( 중소기업국 ), 노동부 (DOL), 및 NIST 가담당한다. 15) White House, "International Strategy for Cyberspace" http://www.whitehouse.gov/sites/default/files/rss_viewer/international_strategy_for_cyberspace.pdf Internet & Security Focus 2013 1 월호 51
(8) 사이버침해사고대응계획수립 2010 년 9월국토보안부 (DHS) 는사이버침해사고대응을위한조직의역할, 책임, 실행계획, 대응방안, 복구계획등전략적프레임워크수립을목적으로하며, 중대한사이버침해사고 에대한대응메커니즘개발에초점을둔 국가사이버보안사고대응계획 (NCIRP, National Cyber Incident Response Plan) 16) 을수립하고국가사이버훈련 (Cyber Storm III) 17) 을실시하였다. (9) 사이버보안연구개발전략프레임워크구축 2009년부터시작된네트워크및정보기술연구개발 (NITRD: Networking and Information Technology Research and Development) 프로그램에서 2년반동안의검토를거쳐국가과학기술회의 (NSTC, National Science and Technology Council) 는 사이버보안연구개발전략 (Trustworthy Cyberspace: Strategic Plan for the Federal Cyber security R&D Program) 18) 을 2011 년 12월에발표하였다. (10) 프라이버시와인권을배려한사이버보안에기반을둔 ID 관리비전및전략수립 2011년 4월백악관은사이버공간의신뢰성높은신원확인을위한국가전략 (NSTIC, National Strategy for Trusted Identities in Cyberspace) 19) 을발표하였다. 본전략은사이버공간에서당사자의신원을신뢰할수있도록 ID 생태계 (Identity Ecosystem) 를구축하는것을목표로하며, 국립표준기술연구소 (NIST) 산하에전담사무소 (NPO, National Program Office) 20) 를설치하여안전한인터넷 ID 발급등 NSTIC 추진을위한세부활동을조정 총괄한다. 2011 년부터거버넌스와프라이버시보호관점에서검토가진행되고있으며 2012년에는여러가지프로젝트가시작되었다. NSTIC 의 2012년도예산은 1,650만달러, 2013 년도예산요구액은 2,450 만달러규모이다. 21) 16) DHS, National Cyber Incident Response Plan http://www.federalnewsradio.com/pdfs/ncirp_interim_version_september_2010.pdf 17) DHS, Fact Sheet: Cyber Storm III: National Cyber Exercise http://www.dhs.gov/files/training/cyberstorm-iii.shtm 18) NSTC, Trustworthy Cyberspace: Strategic Plan for the Federal Cybersecurity R&D Program http://www.whitehouse.gov/sites/default/files/microsites/ostp/fed_cybersecurity_rd_strategic_plan_2011.pdf 19) White House, National Strategy for Trusted Identities in Cyberspace http://www.whitehouse.gov/sites/default/files/rss_viewer/nsticstrategy_041511.pdf 20) 상무부산하의국가표준기술연구소가운영하며, 산 학 연 시민사회등다양한이해관계자와의협력을통해디지털 ID 생태계구축을위한기술적 정책적표준개발및신규사업기회발굴, 혁신촉진과프라이버시보호활동등을수행 21) NIST, NIST FY 2013 Budget Overview (2012 년 2월 ) http://www.nist.gov/director/ocla/upload/final-fy2013_congressional_budget_rollout_presentation.pdf 52 Internet & Security Focus 2013 1 월호
< 표 5> 사이버공간의신뢰성높은신원확인을위한국가전략 추진목표 종합적인 ID 생태계프레임워크개발 실행과제 o 향상된프라이버시보호메커니즘수립 o 위험모델기반의종합적인식별및인증표준수립 o ID 생태계참여자의책임정의및책임성제공메커니즘수립 o ID 생태계프레임워크의표준개발및인증절차관리를위한운영그룹설립 o ID 생태계의민간부문구성요소구축 ID 생태계구현및구축 o ID 생태계의주 지방정부구성요소구축 o ID 생태계의연방정부구성요소구축 o ID 생태계프레임워크구축을위한상호연동솔루션보급촉진 ID 생태계의신뢰및자발적참여확대 o 인식제고및교육프로그램제공 o ID 생태계채택의확산을위한방안마련 ID 생태계의장기적성공과지속성확보 o 적극적인과학기술연구개발을통한혁신추진 o ID 생태계의국제적인통합 III. 오바마정부의사이버보안 R&D 전략 1. 미국의연구개발추진체계및현황현재미국의연구개발정책의기본방침은오바마대통령이 2009년 9월에발표한 미국이노베이션전략 : 지속가능한성장과질높은직장을위해 (America Innovation Strategy: Driving Towards Sustainable Growth and Quality Jobs) 22) 에제시하고있다. 본전략은다음과같은 3개의달성목표를설정하고있다. (1) 국가이노베이션의토대에투자 1 기초연구에서미국의우위를회복 2 글로벌수준의노동력을배출하는한편 21세기시대조류에맞는지식과기술을사용한차세대교육실시 3 탁월한물리적인프라구축 4 고도정보기술에코시스템개발 22) 본전략은 2011 년 2 월업데이트되었다. http://www.whitehouse.gov/administration/eop/nec/strategyforamericaninnovation Internet & Security Focus 2013 1 월호 53
(2) 생산성높은기업정신을만들어내는경쟁시장촉진 1 수출촉진 2 가장유망한아이디어에대해자원을배분하는자유로운투자시장에지원 3 고성장이노베이션에기반한창업활동권장 4 공공부문의이노베이션을권장하고커뮤니티레벨의이노베이션을지원 (3) 국가우선사항대한개선추진 1 그린에너지혁명추진 2 고도차량기술지원 3 의료복지 IT의개선지원 4 21세기의 Grand Challenge 해결에대응 미국의연구개발관련조직으로서백악관에미국의과학기술분야정책을결정하는과학기술정책국 (OSTP:Office of Science and Technology Policy), 예산을책정하는행정관리예산국 (OMB:Office of Management and Budget), 과학기술정책에대해대통령에게조언을하는대통령과학기술자문위원회 (PCAST: President Council of Advisors on Science and Technology) 와각부처간활동을조정하는국가과학기술회의 (NSTC: National Science and Technology Council) 가있다. [ 그림 1] 미국의연구개발정책관련조직체계 출처 : 일본경제산업성 (2011), 해외기술동향조사 54 Internet & Security Focus 2013 1 월호
백악관이추진하고있는 IT 이니셔티브는 네트워크및정보기술연구개발 (NITRD: Networking and Information Technology Research and Development) 프로그램이다. 이것은국가과학기술회의 (NSTC) 가관할하는연구개발프로그램으로여기참가하는 14개연방부처가공동 IT연구개발체계에서활동하고있다. NITRD 의주요연구개발분야는다음과같다. 사이버보안및정보신뢰 (Cyber Security and Information Assurance) 의료 IT 조사및개발 (Health Information Technology Research and Development) 휴먼컴퓨팅인터페이스및정보관리 (Human Computer Interaction and Information Management) 고신뢰성소프트웨어및시스템 (High Confidence Software and Systems) 하이엔드컴퓨팅 (High End Computing) 대규모정보통신네트워크 (Large Scale Networking) 소프트웨어설계 생산성 (Software Design and Productivity) IT 및 IT인력이사회, 경제, 노동환경에미치는영향 (Social, Economic, and Workforce Implications of IT and IT Workforce) NITRD 프로그램은 2010 년예산이약 43억 500 만달러로이중 High End Computing 관련연구개발이 14억 6,940만달러로가장많은예산을배정받았다. 또한백악관이주도하는사이버보안대책을위한이니셔티브로서 2010년 3월발표된 포괄적사이버보안이니셔티브 (CNCI:Comprehensive National Cybersecurity Initiative) 도있다. 미국연방차원에서 IT산업에관한연구개발정책을크게관여하고있는기관으로는전미과학재단 (NSF) 과 NITRD를관할하는국가과학기술회의 (NSTC) 이다. NSF는정부부처가아닌재단으로조직내에서연구개발을수행하고있지는않으나 NSF로부터자금을지원받아각종연구개발이추진된다. NSF 와관련있는조직으로 IT부문의연구개발을담당하는과학기술센터 (Science and Technology Centers) 는 2010 년도약 5,777 만달러, 2011 년약 6,603 만달러를지원받았다. 2. 사이버보안연구개발전략책정프로세스연구개발전략책정에있어우선사이버공간정책리뷰 (Cyberspace Policy Review) 에서요구된 game-changing 적인기술에초점을맞춘연구데마의검토를실시되었다. gamechanging란종래의연구개발의과제 문제 (Hard Problem) 와다른새로운정보보호대책이나비즈니스에대한보다근본적변화를요구하는생각이다. 연구테마검토는연방정부 Internet & Security Focus 2013 1 월호 55
정보통신분야의연구개발을범부처적으로추진하는네트워크및정보기술연구개발 프로그램 (NITRD) 의 10개연구분야중사이버보안과정보보증 (CSIA, Cyber Security and Information Assurance) 의참가기관에의해추진되었다. CSIA에는참가기관의사이버보안관련 PM 등으로구성된범부처작업반 (CSIA IWG, Interagency Working Group on Cyber Security and Information Assurance) 및참가기관대표자들로구성된상급관리그룹 (CSIA SSG, Cyber Security Information Assurance Research and Development Senior Steering Group) 이설치되어있어연구테마의구체적인검토작업은이들조직을중심으로추진되었다. [ 그림 2] 연구개발전략책정의체계 연구테마를도출함에있어 NITRD 는사이버보안의전망을바꾸는 game-changing 적인기술아이디어를미국전역의대학, 정부연구기관, 기업, 비영리단체및이용자단체등으로부터 RFI(Request for Information) 23) 를통해모집하였다. 최종적으로 238 건의아이디어를 5개연구테마로하여 150 여명의산학연관계자의토론이진행되었다. CSIA IWG 는토론결과를토대로 1Moving Target, 2Tailored Trustworthy Spaces, 3Cyber Economic Incentives 의통합된테마를도출하였다. 2010 년 5월에는각테마의비전, 선정이유등을정리하여 Cyber security Game-Change Research & Development Recommendations 24) 을 23) NITRD, National Cyber Leap Year RFI Submissions http://www.nitrd.gov/leapyear/ncly_submissions_public.pdf 56 Internet & Security Focus 2013 1 월호
발표하였다. 다만이연구테마들은초기테마로서매년재검토를하기로되어있다. 재검토에 있어서도공개절차로서사이버보안 R&D 테마에관한포럼및이메일을통한의견수렴 25) 을 진행하고있다. 이러한연구테마재검토를통해 2011 년에는새로운테마로서 Designed-in Security 가추가되었다. 26) 3. 사이버보안연구개발전략의구성연구개발전략은다음의 3가지원칙을가지고있다. 1연구는단순히사이버보안문제에대한대응만이아니라문제의근본적인원인을이해하는데주력한다. 2사이버보안은다면적인문제로전략은폭넓은분야에걸쳐다양한전문지식과역량을투입하는것이필요하다. 3기술과위협의변화에관계없이안전한환경을유지하기위해사이버보안의원칙을유지해나간다. 또한추진의목적은두가지로첫째, 현재의사이버시스템에대한공격을무력화시키는 game-changing적인기술개발, 둘째, 미래사이버시스템의보안과제에대응하는과학적접근기반구축이다. 한편, 연구개발전략은다음의 4개내용으로구성되어있다. (1) 변화의유발 (Inducing Change) 전략의중심이되는 4개연구테마를의미하는것으로 game-changing 적인기술을상정한이들연구테마는, 모두위협의근본적인원인을이해하고지금까지와는다른접근방식으로사회의중요한사이버시스템 인프라의보안을향상시키는것을목적으로한다. (2) 과학적인기반의확립 (Developing Scientific Foundations) SoS(Science of Security) 를확립하여미래사이버보안문제를최소화하는것을목표로한다. SoS 는 4개연구테마에모두적용된다. 연구개발전략에서는 10년내에 SoS 의확립을목표로하여구체적인실현방법으로 3개의방향성을제시하고있다. 이질적분야의지식을체계화 : 폭넓은분야의지식을검증가능한모델이나예측으로 24) NITRD CSIA IWG, Cybersecurity Game-Change Research & Development Recommendations http://www.nitrd.gov/pubs/csia_iwg_%20cybersecurity_%20gamechange_rd_%20 Recommendations_20100513.pdf 25) NITRD, Federal Cybersecurity Game-Change R&D / Your Input http://cybersecurity.nitrd.gov/page/your-input-1 26) Moving Target(MT): 동적으로변화함으로써공격을어렵게하고비용을증가시켜공격을받아도영향이적은시스템구현 Tailored Trustworthy Spaces(TTS): 이용자상황에따른적절한보안요건이실현될수있는신뢰성높은환경실현 Cyber Economic Incentives: 사이버보안에적절한투자판단을가능하게하는과학적지표등을제공 Designed-in Security: 안전한소프트웨어엔지니어링시스템 Internet & Security Focus 2013 1 월호 57
체계적으로구조화한다. 보편적법칙 (universal law) 의발견 : 문제의검증이나계통적설명위에기본적 보편적인이해를실현하는법칙을만들어낸다. 과학적수법에대한엄밀성적용 : 문제에대해계통적수법을이용해접근하고가설을세워, 재현가능한실험을계획 실행해, 데이터를수집 분석한다. SoS는원래 NSF가자금을지원하는 Secure and Trustworthy Cyberspace(SaTC) 프로그램 27) 에관한연구에서주창된생각으로 2008년에는 SoS에관한합동워크숍이개최되었다. 2007 년 8월대통령과학기술자문회의 (PCAST, President's Council of Advisors on Science and Technology) 는 NITRD 활동평가보고서 28) 에서 NITRD 참가기관은기반적, 장기적인 CSIA 연구활동및그를위한인프라정비에중점을두어야한다. 고권고하였다. 이러한지적을반영한것이현재추진하고있는 NITRD 의 SoS 관점의개발전략이라할수있다. (3) 연구효과극대화 (Maximizing Research Impact) 전략에근거하여실시되고있는연구효과의극대화를위해, 타분야의연구테마와의연계나민관협력의커뮤니티활동이추진되고있다. 타분야와의연계에있어서는각연방정부기관이추진하는국가최우선연구분야에사이버보안요구를포함하는프레임워크를제공하고있다. 이프레임워크에의해직접사이버보안을취급하지않는타분야의연구테마에대해서도전략의영향력이미칠수있게된다. 구체적인융합이기대되는사례는 [ 그림3] 에예시된것들이다. 27) 이프로그램은 Trusted Computing(2002 년~2003 년 ), Cyber Trust(2004 년~2008 년 ), Trustworthy Computing(2009 년~2011 년 ) 이라는이름으로추진되었다. 28) PCAST, Leadership Under Challenge: Information Technology R&D in a Competitive World -An Assessment of the Federal Networking and Information Technology R&D Program http://www.nsf.gov/geo/geo-data-policies/pcast-nit-final.pdf 58 Internet & Security Focus 2013 1 월호
[ 그림 3] 타분야의연구테마와의연계 또한공통목적을가진연구자간의논의기반을제공함과동시에위험이나위험에대처에대해서도지속적인대화의기회를제공하여학술적 상업적연구커뮤니티의연구개발참가를촉진한다. 구체적인활동으로서는연구테마와관련된워크숍개최와, 각연구기관의펀딩등의지원강화, 테마별연구인프라구축등이있다. (4) 실용적이행가속 (Accelerating Transition to Practice) 연구개발에서얻어진성과를사이버공간의신뢰성향상에활용하기위해각종실용화 프로그램을추진한다. 구체적인사례는다음과같다. < 표 6> 실용이행프로그램의주요내용 항목 구체적인사례 Information Technology Security Entrepreneurs Forum(ITSEF) ( 정부기관, 창업자, 투자자, 연구자, 산업계상호이익관계를구축해, 기술발견 IT보안솔루션프로바이더와민관의 IT, 통신인프라이용자간을연결하는것을목적으로하는포럼 ) 각연구분야의연구책임자 (Principal Investigator) 회의개최 국책연구소의기술개발관련 Expo 개최 Defense Venture Catalyst Initiative (DoD 조달을위한벤처캐피탈활용 ) 테스트와평가 민관의협력체계, 차세대네트워크환경등실제상황과비슷한설정의실험, 테스트, 평가등을지원한다. 이행, 적용, 상용화 System Integrator Forum(SIF): 벤처캐피탈, SI, 정부담당자등이참가하여상용화가능한성숙한연구성과를리뷰하는오픈포럼 Small Business Innovative Research(SBIR)Conferences: 중소기업연구개발지원제도에서수행된사이버보안연구, 기술및제품을소개등을통해정부고객, 포럼관계자들과의네트워크형성의기회를제공 실용적이행으로성과를올린 PM이나연구책임자에대한평가방법검토 Internet & Security Focus 2013 1 월호 59
4. 사이버보안연구개발전략의예산현황 미국의사이버보안관련연구개발예산은 2012년 2월에발표된대통령예산교서보충자료 29) 에따르면 2013 년도 NITRD CISA 에대한예산요구액은 6억 6,700 만달러규모로 2012 년도추정예산 5억 9,000 만달러대비약 13% 가증액요구되었다. 이금액은 2011 년도확정예산액의약 50% 가증액된것으로 2007 년부터매년꾸준히사이버보안연구개발예산이증액되고있음을확인할수있다. 이것을조직별로살펴보면 NSF 가약 15백만달러, DoD 가약 1,200 만달러, DARPA 가약 2,400 만달러, DHS 가 1,800 만달러증액요구되었다. ( 단위 : 백만달러 ) 800 700 600 589.8 667.4 500 407.1 445.4 400 320.1 300 212.6 268.7 200 100 0 2007년 2008년 2009년 2010년 2011년 2012년 2013년 [ 그림 4] NITRD CSIA 의예산추이 IV. 결론및정책적시사점 본고에서는미국오바마정부 1기의사이버보안정책의주요내용및성과를분석하였다. 오바마정부의사이버보안정책의시사점은리더십, 국가전략, 글로벌거버넌스, 연구개발의측면에서살펴보면다음과같다. 대통령주도의최상위리더십발휘 : 오바마대통령은백악관을사이버보안컨트롤타워로하고대통령실산하의국가안보위원회에특별보좌관인사이버보안조정관을임명하여국가 29) NITRD, Supplement to the President s Budget http://www.nitrd.gov/pubs/2013supplement/fy13nitrdsupplement.pdf 60 Internet & Security Focus 2013 1 월호
최상위수준에서사이버보안정책을리드하였다. 이것은사이버공간이국가의주요한 경제 사회인프라이며국부창출의중요한축 ( 軸 ) 이되었음을인정받은것이라평가할수있다. 오히려미국은한발더나아가사이버공간을제5의전장으로까지규정하여국가공권력에의해보호해야할명분을분명히하였다. 거시적이고일관성있는국가사이버보안전략추진 : 오바마정부는국가안보위원회와사이버보안조정관주도로사이버공간에대한개념과사이버공간보호에대한범국가적관리의필요성을재정립하여백악관주도의국가사이버보안전략이수립되었으며, 국가사이버보안전략을중심으로법제도 대통령령 조직체계 부처별세부전략등전반에걸쳐지속적이고일관성있는정책이추진되고있다. 여기에법국가적인사이버보안인식제고캠페인추진, 사이버보안의달제정, 전문인력양성프로그램개발등디지털국가역량강화에힘쓰고있다. 사이버보안국제협력강화를통한글로벌거버넌스추진 : 오바마정부는사이버공간을위한국제전략을발표하고경제, 네트워크보호, 법집행, 군사, 인터넷거버넌스, 성장및발전, 인터넷자유등 7개분야에대한글로벌협력강화를추진하였다. 이것은미국이오프라인의글로벌리더뿐만아니라사이버공간의글로벌리더로서의역할을수행하겠다는의지를표명한것이라평가할수있다. 사이버보안기술의새로운틀을마련할연구개발전략추진 : 오바마정부의사이버보안연구개발전략의특징은 ⅰ) 기존기술에대한근본적인변화, ⅱ) 중장기적시각에서사이버보안분야의과학적기반확립, ⅲ) 타분야와연계를통한연구개발효과극대화, ⅳ) 중소기업협력등실용화추진으로정리할수있다. 이것은사이버보안의특성상사회공학적기법을활용한해킹등공격기술의빠른진화, 최근의사이버공격이대규모화, 융복합화등사이버전 ( 戰 ) 양상을보임에따라보다근본적인기술적대응책의필요성을느낀선제적조치로평가된다. 이상의오바마정부의정책적특징과시사점을토대로국내정보보호정책에관한몇가지제언을하고자한다. 첫째, 정보보호정책의국가최상위정책으로승격이필요하다. 현재담당부처의소관업무중심의정책수립이대부분인정보보호정책을대통령주도의최상위정책으로승격시켜범부처적으로추진할필요가있다. 둘째, 정보보호분야의글로벌리더십강화가필요하다. 우리나라는세계최고수준의 ICT 인프라와인터넷경제규모를자랑하고있는한편, 어느나라보다많은정보보호역기능을경험하였고그와관련한충분한대응노하우를가지고있다. 반면우리나라의정보보호분야의국제협력활동을보면매우초라하다. 분야별전문가들의국제기구등활동은왕성하나정부부처의예산지원이나관심은우선순위에서뒤처지고있는것이현실이다. 셋째, 토종정보보호기술확보를위한국가의전략적지원이필요하다. 미국의예가 Internet & Security Focus 2013 1 월호 61
아니더라도사이버공간은이미우리의생명선이되었다. 현재국내정보보호기술수준은주요 선진국과의기술격차가 3년이상이며원천기술확보를위한노력도부족한상황이다. 국가별정보보호분야기술보유는미국이 87% 로대부분을차지하고있는상황으로이대로간다면사이버공간은미국의기술에의존하는심각한상황이발생할수있다. 따라서토종의보안기술확보는매우시급한국가적현안과제라할수있다. 참고문헌 김은혜, 이재일 (2011), 미오바마정부의사이버보안주요정책및법안, 인터넷 & 시큐리티이슈, 한국인터넷진흥원, 8 월호. 민경식 (2012), 주요국의사물인터넷정책동향, IT R&D 정책동향, 정보통신산업진흥원, 11 월호. DHS(2010), National Cyber Incident Response Plan DOD/DHS(2010), MEMORANDUM OF AGREEMENT BETWEEN THE DEPARTMENT OF HOMELAND SECURITY AND THE DEPARTMENT OF DEFENSE REGARDING CYBERSECURITY DOD(2011), DEPARTMENT OF DEFENSE STRATEGY FOR OPERATING IN CYBERSPACE OMB(2010), FY 2010 Reporting Instructions for the Federal Information Security Management Act and Agency Privacy Management NIST(2011), National Initiative for Cybersecurity Education Strategic Plan NIST(2012), NIST FY 2013 Budget Overview NSTC(2011), Trustworthy Cyberspace: Strategic Plan for the Federal Cybersecurity R&D Program White House(2009a), FACT SHEET: Cyberspace Policy Review: Assuring a Trusted and Resilient Information and Communications Infrastructure White House(2009b), Cyberspace Policy Review White House(2010), Cybersecurity Progress after President Obama s Address White House(2011a), National Strategy for Trusted Identities in Cyberspace White House(2011b), International Strategy for Cyberspace 三菱總合硏究所 (2012), 平成 23 年度情報セキュリティ産業の活性化方策に係る調査報告書. 62 Internet & Security Focus 2013 1 월호