[국정감사 정책자료집]              국회 문화체육관광방송통신위원회

외국의 정보보호 정책 현황 및 시사점

- 일본 및 EU를 중심으로 -

국회의원  송  훈  석

(무소속, 속초 ․ 고성 ․ 양양)

목      차

≪ 서론 ≫ …………………………………………………………………………1

Ⅰ. 일본의 IT 전략과 정보보호

□ IT전략본부를 중심으로 「IT 新개혁전략」…………………………………2

□ IT新개혁전략의 중심축으로 자리 잡은 정보보호……………………3

□ 정부역할․기능강화를 위해 정보보호 정책회의 및 정보보호센터(NISC) 설치 …………5

□ 내각관방을 중심으로 종합적이고 체계적인 정책추진 ……………5

□ 부처별 정보보호 추진체계  ………………………………………………6

□ 시사점……………………………………………………………………………9

Ⅱ. EU의 IT 전략과 정보보호

□ 미디어 리터러시 전략 ……………………………………………………10

□ 이용자 가이드라인 : 정보보호 인식제고 방안………………………10

□ 정보보호 인식 : 지역정부 및 ISP  ……………………………………11

□ 정보보호 인식제고에 대한 접근 ………………………………………12

□ 정보보호 인식제고 방법 …………………………………………………13

□ 시사점 …………………………………………………………………………14

□ 정보보호 인식 ………………………………………………………………15

□ 주요 기관별 정보보호 현황………………………………………………16

□ 정보보호 인식제고 효과 …………………………………………………16

≪ 결론 ≫…………………………………………………………………………17

≪ 서론 ≫

우리는 IT 강국을 자처하면서도 정보보호에 대한 국민의식과 수준이 이를 따르지 못하고 있으며 정보보호산업도 다른 선진국과 비교해 많이 뒤떨어져 있는 상황임

우리나라는 개인정보 유출의 천국으로 인터넷상에는 수천만 명의 주민등록번호 등 소중한 개인정보가 흘러 다니며 국민적 불안과 사회적 혼란이 날로 가중되고 있음

올해만 옥션 1,800만명, 하나로텔레콤 600만명, GS칼텍스 1,100만명 등 대규모의 개인정보유출 사건이 발생한 것 만 보더라도 우리나라의 개인정보 보호 수준이 얼마나 열악한지 적나라하게 보여주고 있음

우리나라의 정보보호산업은 10년 정도의 짧은 역사에도 불구하고 양적 질적으로 많은 성장을 거듭해 왔으나 아직도 IT산업의 성장세에 비해 크게 떨어지고 있으며, 산업분야의 특수성 때문에 항상 투자 우선순위에서도 밀리며 보안사고가 발생할 때만 반짝 관심을 받는 것이 바로 우리 정보보호산업의 현실임

이러한 결과는 그동안 정보보호에 대한 사회적 관심이 매우 낮은 상태에서 정부의 관리 및 산업진흥 의지 부족이 더해진데 그 원인이 있음.

다행히 최근 잇따라 대형사고가 터지면서 정부는 ‘정보보호 중기 종합대책’을 마련하여 개인정보 보호와 정보보호 기술 및 산업을 적극 육성하겠다고 발표했음

본 정책보고서는 정보보호 선진국인 EU와 일본의 정보보호제도에 대한 분석을 통해 우리나라 제도의 수준을 한 단계 높이는 방안을 모색하기 위한 것으로 향후 정부정책과 지원방안 마련에 본 보고서가 조금이나마 보탬이 되기를 바람

Ⅰ. 일본의 IT 전략과 정보보호

□ IT전략본부를 중심으로 「IT 新개혁전략」

o 일본은 2000년 (IT기본법)」을 마련하고「e-Japan전략」을 통해 국가정보화를 가속

- 2001년 1월부터 내각관방(총리실) 직속의 IT전략본부가 국가정보화 전략을 전담

o 2005년까지 추진한 「e-Japan 전략」의 성과를 평가하고 차세대 IT전략으로서 2006년 1월 「IT新개혁전략」을 발표

- IT를 통한 구조개혁, 이용자 중심의 편의제공, 국제사회에 대한 공헌의 3대 관점에서 전략의 방향을 제시

- e-Japan 전략과 연속선상에서 2010년을 목표로 IT전략본부가 지속적으로 추진

- 경제재정자문위원회, 규제개혁․민간개방추진회의, 종합과학기술회의 등 관련 회의를 연대하여 성과 극대화

- IT 전략본부는 매년 「중점계획」을 발표하여 구체적인 정책집행을 추진

□ IT新개혁전략의 중심축으로 자리 잡은 정보보호

o 정부기관․지방 공공단체의 정보보호대책 강화

- 2009년 초까지 모든 정부기관의 정보보호 대책으로서 「정부기관 통일기준」준수를 추진

- 정부기관, 산하기관에 대한 중장기적인 정보보호대책 강화

- 내각관방 정보보호센터(NISC)를 중심으로 정부기관 상호연대 촉진을 위한 GSOC(Government Security Operation Coordination Team)운영 및 지방자치단체 정보공유․분석센터 운영

o 주요 인프라에 대한 정보보호대책 마련

- 주요 인프라에 대한 정보보호대책 수준을 책정한 「안전기준」을 정비

- 주요 인프라간 정보공유․분석기능(CEPTOAR: Capability for Engineering of Protection, Technical Operation, Analysis and Response)을 정비하고 민관협력을 위한 협의체(CEPTOAR-Council) 설치 추진

o 기업의 정보보호수준 강화를 위한 대책 마련

- 기업의 정보보호 대책이 시장에서 평가 되는 환경을 구축

- 세제우대 등을 통해 질 높은 보안제품 도입 촉진

- 기업의 정보보호 대책추진 및 인력양성센터 개설, 중소기업대상 세미나 개최

o 개인의 IT 이용에 대한 불안감 해소

- 초중고생의 정보보호 교육실시를 위한 교원을 대상으로 세미나 실시 및 관련 자료 수집제공

- 전국민에게 정보보호의 필요성과 이해를 돕기 위해 정보보호 포털을 구축하고 2007년도부터 「정보보호 백서」를 발간

- 개인이 부담 없이 정보보호제품 및 서비스를 이용할 수 있는 환경구축

o 사이버 범죄 박멸을 위한 정보보호 기반 형성

- 국가차원의 제3차 과학기술 종합계획에 정보보호 기술개발전략을 반영하여 추진

- 정보보호 관련 고급인력 양성 및 국제연대․협력 추진

- 내각관방 정보보호센터를 중심으로 정보보호정책 추진체계를 강화

o 청소년 유해 정보차단 등 인터넷 이용환경 개선

- 총무성을 중심으로 인터넷상의 유해정보 차단 및 처벌에 관한 종합대책 마련

- 안심․안전한 정보경제사회 실현을 위한 행동계획을 토대로 정책추진

- 유해정보 필터링 소프트웨어 보급

- 민간단체인 「JEAG: Japan Email Anti-Abuse Group」와 연대하여 스팸메일 대책을 공동전개

o 정보윤리교육 추진

- 인터넷을 통해 정보윤지 교육을 실시하고 2008년까지 연간 1000 강좌 실시를 목표

- 청소년을 유해정보로부터 보호하기 위한 대책 추진

- 유비쿼터스 시대에 따른 새로운 IT 미디어 강좌․교육 프로그램 개발

□ 정부역할․기능강화를 위해 정보보호 정책회의 및 정보보호센터(NISC) 설치

o 2004년 12월, 일본의 정보화 정책을 총괄하는 IT전략본부에서 정보보호문제에 관한 정부의 역할․기능을 재검토 하여 정보보호문제에 관한 정부의 중심적인 역할 강화를 위한 기능․체제를 정비

- 2005년 4월25일, 내각관방에 정보보호센터(National Information Security Center) 설치

- 2005년 5월30일, IT전략본부에 정보보호정책회의 설치

□ 내각관방을 중심으로 종합적이고 체계적인 정책추진

o 정보보호센터(NISC)의 주요임무는 다음과 같다

- 기본정보보호전략 입안․정보보호대책회의 사무국으로서 「정보보호에 관한 기본전략」 입안․주요전략에 관한 홍보 및 국제협력

- 정부기관의 종합적대책촉진․정부의 통일된 안전기준책정과 이에 근거한 각 부처의 정보보호대책의 평가․정부직원의 인재육성․인재확보지원, 각 부처에 대한 안전시스템설계지원

- 정부기관의 긴급사안대처 지원․각 부처에 조기경계정보제공․각 부처의 피해정보파악 및 원인분석․관계기관(경찰청 사이버경찰대, NICT, IPA, Telecome-ISAC, JPCERT)과 연대

□ 부처별 정보보호 추진체계

o 총무성은 개인정보보호, 통신인프라의 정보보호 확보, 전자정부 및 지방자치단체의 정보보호 등 공공부문과 대국민 정보보호에 주안점을 두고 정보통신정책국에서 정보보호 정책을 추진

- 일반국민 대상의 정보보호 정책을 홍보하기위해 「국민을 위한 정보보호 사이트」를 운영하여 대상별 초급정보보호 실천대책을 제공

- 한편, 최근 급증하고 있는 봇넷, 악성코드 등 역기능방지․예방 하기위한 활동을 목적으로 경제산업성과 공동으로 Cyber clean 센터를 2006년 12월 오픈․본 센터는 총무성과 경제산업성의 공동사업으로 일반국민을 대상으로 악성봇에 관한 정보제공, ISP와 협력하여 봇 제거 툴 무료다운로드를 실시․사이버클린센터는 총무성과 경제산업성이 운영하는 사이버클린센터 운영위원회를 중심으로 IPA, JPCERT, Telecom-ISAC이 실무를 담당

o 경제산업성은 주로 소프트웨어, 정보시스템에 대한 정보보호를 중심으로 기업, 일반이용자 대책을 추진

- 정보경제사회의 환경정비 측면에서 정보보안, 인증, 개인정보보호, IT 컴플라이언스 등 정보보호 정책과제를 추진 경제산업성 산하 정보처리추진기구(IPA)8)를 통해 소프트웨어, 웹 보안취약점 점검 및 관련사업 시행

- 최근 증가하고 있는 피싱(phishing) 피해에 대한 대책으로 2005년4월부터「피싱대책협의회(Council of Anti-Phishing Japan)」를 발족하여 이용자와 사업자에게 관련 정보와 지식 및 대응방안을 제공

o 경찰청은 2001년 4월부터 「Cyber Force」를 창설하여 하이테크 범죄예방을 위해 노력 또한 「@police」를 통해 대국민 홍보 및 정보보호 인식제고 활동을 전개

□ 시사점

◎ IT전략의 중심축으로 자리 잡은 정보보호

o 일본의 고도정보화 추진 본부에서 6월, 발표한 IT로드맵의 3대 중심전략으로 안전한 IT 이용환경조성이 포함

- 내각관방 정보보호센터를 중심으로 주요 정보보호 정책을 강력하게 추진

o 향후 정부의 정보화 정책방향을 IT를 활용한 국민편익제공과 안전한 이용으로 하여 정보보호는 일본 IT정책의 중요추진과제로 자리 잡음

◎ 정보보호의 국가모델 정립을 위해 노력

o 일본의 정보보호 정책목표는 "u세계 일류의 정보보호 立슑"v으로 고품질, 고신뢰, 안전․안심을 바탕으로 이른바 정보보호의 "uJapan Model"을 확립하는데 있음

o 제2차 기본계획에서는 보다 현실에 접근한 실질적인 정책추진을 통해 "성숙한 정보보호 국가"건설을 추진

- 이를 위해 기술, 제도 측면뿐만 아니라 사회, 국민의 의식을 함양시켜 정보보호문제를 사회문화차원에서 인식하는 풍토를 조성

Ⅱ. EU의 IT 전략과 정보보호

□ 미디어 리터러시 전략

o EU는 음향시각 및 미디어 정책의 하나로 미디어 리터러시 전략 수행

- 미디어 리터러시 전략은 매스미디어를 통해 국민들의 적극적인 사회참여 유도, 경쟁력 있는 지식경제 사회 구축의 일환으로 시작

o 미디어 리터러시란 매스미디어 상의 다양한 정보와 메시지를 이해하고 비판적으로 평가할 수 있는 능력을 의미

- 다양한 정보와 메시지를 전달하는 미디어 매체로 신문, 텔레비전, 라디오, 대중음악, 영화 등이 있으며, 1990년대 중반부터 인터넷 사용 인구의 급증으로 웹사이트 및 가상 커뮤니티도 미디어 매체에 포함

□ 이용자 가이드라인 : 정보보호 인식제고 방안

o 동 가이드라인은 정형화된 정보보보 인식제고 프로세스를 제공함으로써 이용자의 원활한 인식제고 전략수립 및 프로그램 수행에 도움

- 정보보호 인식제고 프로세스는 크게 계획 및 평가, 실행 및 관리, 평가 및 조정으로 구성

o 주요 대상 그룹은 가정과 중소기업으로 구분

- 가정이용자에는 개인적인 용도로 정보통신기술 지식을 습득하여 사용하는 어린이 및 청소년~실버서퍼 포함

- 중소기업 이용자는 크게 근로자 수 10인, 50인, 250인 미만의 기업으로 구분되며, 이들은 EU 소속 기업의 99%이상 차지

□ 정보보호 인식 : 지역정부 및 ISP

o EU 회원국 지역정부와 ISP(Information security awareness)에 초점을 맞춰 정보보호 인식제고 프로그램의 성공 사례에 대하여 조사

o 지역정부는 개인 및 기밀정보의 수집․처리가 활발하게 이루어지는 특성을 가짐

- 책임자는 해당 조직의 주요 의사결정자 역할

- IT관리진은 IT를 제공하여 업무 기능 및 활동을 지원

- 비즈니스 관리진은 IT를 활용한 업무 지원

- 직원은 일반적인 직무 및 행정업무를 수행

o 인터넷 서비스 공급자(ISP)는 인터넷 접속 서비스를 제공한다는 특성 때문에 기업 및 일반 대중의 정보보호 인식제고에 중요한 역할

- 일반 ISP는 다양한 인터넷 상품 및 서비스를 제공하는 민간 시업이 해당되며, 주로 인터넷 연결 서비스, 전자우편, 채팅, 포털, 미디어 콘텐츠 등의 서비스 제공

- 전문 ISP는 인터넷 접속을 위한 가입 서비스만 제공

o 조사결과, EU회원국들은 정보보호 인식제고와 관련된 다음 특징들을 가지는 것으로 나타남

- 지역정부 조직 내에서의 정보보호 인식제고 활동은 종종 상위 기구에서 행하는 정보통신기술 캠페인의 일환으로 실시

- 또한 대부분의 공공기관 및 조직은 정보보안을 매우 중요한 사안으로 이식하고 있으며 인식제고 사업을 위해 최소 12개월 동안 계획, 준비, 시행

- 특히 공공부문과 민간부문의 제휴를 통해 이루어진 정보보호 인식제고 사업은 매우 효과적인 것으로 나타남

□ 정보보호 인식제고에 대한 접근

o 재부분의 기업들은 정보보호 인식제고 노력으로 정규 보안 정책 수립

- 정규 보안 정책 수립은 정형화된 프로세스 적용 가능

o 영국의 정보보안 침해 조사결과에 의하면 대부분의 기업들이 정보보호 인식제고를 위한 유사한 행동 절차에 따름

- 직원들의 업무지침 및 교육과정에 정보보호 의무사항 강조

- 기업 보안정책 내 직원들의 정보보호 의무교육 조항 추가

- 경영진의 높은 정보보호 인식수준에 따른 높은 교육 빈도

o 대부분의 기업이 정보보호의 주요성을 높게 인식하고 있지만, 인식제고 프로그램 운영을 위한 비용 확보의 타당성 부족

- 응답자의 약 30%만 정당성 확보를 위한 구체적인 업무사례집을 제작․활용하며, 15%는 업무사례 없이 프로그램 수행에 따른 이익 측정

□ 정보보호 인식제고 방법

o 기업들은 정보보호 인식제고를 위해 여러 가지 방법을 도입하여 활용하는 것으로 나타남

o 오프라인 교육은 매우 효율적으로 정보보호 인식제고 교육․훈련에 소요되는 비용 및 시간 공간확보에 따른 부담이 큼

o 컴퓨터를 이용한 온라인 교육․훈련에 소요되는 초기비용은 매우크지만, 시스템 구축 이후 많은 사람들이 동시에 이용할 수 있고 유지비용이 적어 점차 많이 이용될 것으로 전망됨

□ 시사점

o EU는 여러 정보화 및 정보보호 관련 정책에 정보보호 인식의 중요성을 언급하고 있으며, 각종 가이드라인 제작 및 배포를 통해 체계화된 정보보호 인식 프로그램 마련 노력

o EU는 공공, 민간부문의 긴밀한 협조체계 구축으로 효율적이고 효과적인 정보보호 인식제고 업무 수행

- 긴밀한 협조체계는 관련단체 간 장점을 활용, 필요 자원의 원활한 수급을 가능하게 함

- 각국 지역정부와 ISP, 보안업체, 금융기관 등과의 협력을 통한 인식제고 업무 수행의 다양한 통신채널 확보가 대표적인 사례

o EU 회원국 대부분 교육 및 훈련이 정보보호 인식제고를 위한 가장 효율적인 방법

o 국내 정보보호 인식제고 프레임워크 정비 및 체계화

- 정보보호 인식활동이 활발하지 않은 중소기업, 단체 등을 대상으로 한 표준화된 정보보호 인식제고 프레임워크 개발 및 우수사례 연구필요

o 정부조직․부처 간 정보보호 인식제고 업무 협조 프로세스 구축

- 현재 국내 여러 정부기관․부처별 독립적이고 산발적으로 수행되는 정보보호 인식제고 활동은 비효율적

[참고] 국내 정보보호 인식현황

□ 정보보호 인식

o 우리나라는 체계화된 정보보호 프레임 워크가 존재하지 않음

- 2002년 OECD 가이드라인의 영향을 받아 정보보호 문화운동이라는 구호아래 정보보호 취약계층을 대상으로 한 인식제고 사업 주력

- 2003년 인터넷 침해사고를 계기로 정보보호에 대한 범사회적 공감대가 형성되기 시작하여 정보보호 인식제고 활동 활발

- 2007년 모든 계층을 대상으로 정보보호 생활화, 습관화 실천을 위한 문화운동에 주력

□ 주요 기관별 정보보호 현황

o 국내 정보보호 인식제고 활동은 정부기관 중심으로 이루어지고 있으며, 각 기관별 정보보호 문화운동, 교육 및 훈련 등 사업범위와 명확한 구분이 이루어지지 않음

o 정보보호 문화운동의 목표는 사회주체별 정보보호 문화의 화산이며 공공, 민간부문의 연계를 통한 범국민적 정보보호 홍보체계 구축, 대상별 정보보호 캠페인 추진을 통한 생활화, 전문교육 실시 등임

□ 정보보호 인식제고 효과

o 정보보호 정책 수립 기업의 증가는 정보보호 관련 국제 협약 준수의무, 기업이미지 제고 목적으로 예상

o 기업의 정보보호 교육의 필요성은 감소하였으며 대부분의 기업들이 정보보호 교육을 투자가 아닌 비용으로 생각하는 경향 있음

≪ 결론 ≫

현재 EU는 회원국의 연구역량 결집을 강조한 유럽연구영역(ERA)을 통해 유럽통합을 가속화시키고 있으며, 이와 함께 국가 R&D 정책, IT R&D 정책에서 정보보호 분야의 예산 비중을 지속적으로 늘려 관련분야 연구역량을 강화시키고 있음

그리고 일본은 고도정보화 추진 본부에서 발표한 ‘IT 로드맵의 3대 중심전략’에 안전한 IT 이용환경조성 포함 시키며 정보보호를 IT전략의 중심축으로 설정했으며, ‘세계 일류의 정보보호 立國’으로 고품질, 고신뢰, 안전․안심을 바탕으로 이른바 JAPAN Model이라는 정보보호 국가모델 정립을 위해 노력하고 있음

우리나라의 정보보호 수준을 외국선진국 수준으로 획기적으로 향상시키기 위해서는 먼저 정보보호산업을 IT산업의 핵심사업으로 지정하고 정보보호 연구개발 예산을 대폭 늘려 정보보호산업의 활성화를 도모해야 함

그리고 정보보호의 영역이 확대됨에 따라 정부 각 부처간 논의 및 활동을 활성화 시켜 예산의 중복투자를 방지하고 정보보호 연구개발 정책의 효율성을 높여야 함

마지막으로 EU가 미국과 함께 매년 사이버보안에 관한 포럼을 공동으로 개최하는 것처럼, 우리나라도 동 포럼과 같은 주요국과의 정기적인 컨퍼런스나 양자회의를 개최함으로써 세계 정보보호 연구개발의 흐름을 파악하는 등 선진국과의 적극적인 국제협력을 추진해야 함