EU와 영국의 사이버보안 전략 사례 분석을 통한 정보 공유, 전문 인력 양성 및 민·관 협력 강화의 중요성과 국내 전략에 대한 제언 doc_id PCY_201412020205548711_3

EU는 사이버보안 전략을 통해 국가별 네트워크 및 정보보호(Network and Information Security) 권한 기관 간, 유럽경찰기구(Europol), 유럽방위청(European Defense Agency) 등 민 ․ 관 ․ 군의 위협 정보 공유의 중요성을 밝혔다. 이에, 유럽경찰기구는 유럽검찰기구와 함께 사이버범죄 대응 관련 정보공유에 노력하고 있으며, 더불어 유럽경찰기구 내 유럽 전역의 인터넷 범죄자들의 신원, 범죄 행태 등에 대한 정보를 공유하고 있다. EU는 효과적인 사이버범죄 위협에 공동 대응하고자 유럽사이버 범죄센터(European Cybercrime Centre)를 2013년 1월에 설립하는 등 효과적인 사이버위협 정보 공유를 위한 노력을 기울이고 있다. EU는 회원국들에게 네트워크 및 정보보호 교육과 훈련을 위한 국가적 차원의 노력 강화의 필요성을 계속해서 제기하고 있는 상황이다. EU 사이버보안 전략 내 회원국들에게 2014년까지 학교 교과 과정에 네트워크 및 정보보호 교육을 포함시키고 컴퓨터 과학 전공 학생들을 대상으로 네트워크 및 정보보호 및 안전한 소프트웨어 개발과 개인정보 보호에 관한 교육을 실시하고, 공공 기관에 근무하는 인력들을 위해 기본적인 네트워크 및 정보보호 교육을 실시해 줄 것을 밝히고 있다. 또한, 유럽네트워크정보보호기구에 IT 전문가들(예: 웹사이트 관리자)의 기술과 역량 강화를 위한 자발적 인증프로그램인 네트워크 및 정보보호 운용자격증(Network and Information Security driving licence) 로드맵을 제안했다. 이외에도 유럽경찰대학(CEPOL)과 유럽경찰기구 등 사법 기관에 대해 사이버범죄에 효과적으로 대응하기 위해 필요한 지식과 전문기술을 강화할 수 있도록 교육 과정의 설계와 계획을 조율해 줄 것을 언급 한바 있다. 영국은 사이버 공간에서 증대되는 공격으로부터 모든 시민들 안전하게 보호하기 위해 2009년 6월 최초로 사이버보안 전략을 수립하였다. 사이버보안 전략 수립 전에는 정보보호법(Data Protection Act 1998)을 근거로 정보보호 관련 사항을 규제했던 영국은 본 전략의 발표를 통해 사이버범죄의 인식 제고와 민간 대응능력 강화 등을 목표로 설정하였다. 그럼에도 불구하고 국가기반시설을 위협하는 사이버공격의 위험에 노출되면서 사이버보안 전략의 목표에 따른 계획 및 진행현황에 관한 보고서를 매년 발표하게 된다. 영국 사이버보안 전략(The UK Cyber Security Strategy)은 2015년까지 안심할 수 있는 사이버 공간 하에서 경제적 ․ 사회적 가치를 창출한다는 비전을 바탕으로 ▶ 사이버범죄 감소 및 안전한 사이버 공간 구축, ▶ 사이버 공격에 대한 복원력 강화와 사이버상의 권익 보호, ▶ 열린, 역동적, 안정적인 사이버 공간 구현, ▶ 사이버보안 지식 ․ 기술 ․ 능력 구축 등의 네 가지 목표 하에 세부 실행과제 57개를 제시하였다. 사이버보안 핵심 전략을 근거로 보면 영국은 국가 기관 전반의 사이버보안 대응력 및 복원력 강화 외에도 민간 사이버범죄 소탕, 민간기업의 사이버보안 관리 강화 및 필수적 정보공유, 사이버공격의 효과적 대처를 위한 국제협력 강화 등 공공 ․ 민간 ․ 국가 간 협력을 통해 안전한 사이버 공간 구현을 주요 정책 목표로 삼고 있다. 또한, 사이버보안 위협이 사이버범죄를 유발하고, 국가 안보에 악영향을 미칠 수 있는 것으로 판단하여, 법 집행기관 ․ 수사기관 ․ 민간 ․ 개인 등 여러 주체간의 협력 및 각각의 능력제고를 위해 노력해야 한다는 것을 제안하고 있다. 사이버보안 전략 세부 과제의 지속적인 평가 및 관리를 위해 매년 전략 추진과정 검토 작업을 수행하고 있으며 목표별 진행현황도 발표하고 있다. 또한 영국은 사이버 보안 전략 추진과정 검토 보고서를 2013년 12월에 발표하였고, 전략 추진 방향을 제시하는 ‘국가 사이버 보안 전략 계획(The National Cyber Security Our Forward Plans)’을 발표하며, 영국 사이버보안 전략의 4가지 기본 목표를 비롯하여 사이버 공격의 국가적 대응 능력제고, 주요기반 시설 ․ 네트워크의 복원력 강화, 사이버보안 인식 확산 및 위험관리 능력 향상, 전문 인력 양성, 국제협력 등에 관한 계획을 추진하고 있다. 영국은 다양한 주체별 대상의 맞춤형 사이버보안 인식제고 방안을 마련하고 추진중에 있다. 사이버보안의 학위를 신설해서 학생들의 관심을 모으고 있으며 보안 박람회 등을 개최해 중소기업의 인식제고에도 앞장서고 있다. 올해 8월, 영국은 새로운 인식제고 프로그램인 ‘사이버 상식(Cyber Streetwise) 캠페인’과 ‘사이버 센츄리온(Cyber Centurion)’의 추진을 발표했다. 사이버 상식 캠페인은 범죄수사국을 주체로 해서 영국 시민들이 안전한 사이버 생활을 영위하는데 필요한 보안 관련 정보와 상식을 알려주는 행사이며, 사이버 센츄리온은 12~18세 청소년들이 참여하는 대회로 청소년들이 사이버보안 진로에 관심을 갖도록 독려하기 위한 목적으로 시행되는 행사이다. 영국은 학계와 산업 부문의 협력기관을 통해 사이버보안 인재 풀을 넓히고 수급을 강화하는 노력을 기울이고 있다. 특히 IT분야 인력 교육기관인 e-skill과의 공동연구를 통해 다른 직종에서 사이버분야 경력으로의 이직을 희망하는 사람들이 참고할 만한 사이버보안 경력을 위한 직업경로를 개발하는 등 단순 인력양성을 넘어 사이버보안 경력의 체계적 관리도 지원하고 있다. 또한, 사이버보안 전략의 일환으로 정보통신본부(CGHQ)산하 국가정보보증기술국(CESG)에서 사이버보안 전문가 인증제도(Certified Professional)를 시행해, 사이버보안 및 정보보호와 관련된 직업들을 상세하게 분류하고, 각 직군별 기술 수준을 데이터화함으로써 정보보안 관련 여러 직종별 역할 및 역량을 정립하였다. 이상 주요국의 사이버보안 전략 비교 ․ 분석을 토대로 국내 사이버보안 전략 추진에 관한 제언을 하면 다음과 같다. 첫째, 주요국의 사이버보안 전략의 핵심이라고 할 수 있는 사이버위협 정보공유와 민 ․ 관 협력의 강화이다. 사이버위협에 효과적으로 대응하기 위해서는 민간과 공공의 정보가 원활하게 공유되어야 하고 이를 통한 협업이 필수적이다. 미국의 정보공유서비스(ECS), EU의 협력 메커니즘 운영, 영국의 사이버보안정보공유협력체(CISP) 등이 소속을 초월한 협업 프로세스를 만들기 위한 노력을 보여준다고 할 수 있다. 국내도 이러한 정책들을 참고해 사이버위협 정보를 공유하고 협력을 강화하는 협력체 설립 혹은 프로세스 확립 등을 검토해 볼 수 있을 것이다. 둘째, 효과적인 사이버위협 대응을 위한 체계적인 사이버침해 정보 공유 절차 마련 등 민 ․ 관 사이버보안 협력 프로세스 마련과 함께 이를 점검할 사이버보안 훈련을 분야별(금융, 의료, 제조 등)로 수행하는 것도 생각해볼 수 있다. 이를 위해 국내 유관기관(산 ․ 학 ․ 연 ․ 관) 담당자로 구성된 침해정보 공유 협의체를 구성하여 효과적인 사이버위협 정보(대응 우수사례 포함) 공유 방안과 절차를 마련하고, 산업 분야별로 이를 점검하는 대응 훈련을 시행해야 할 것이다.