"사이버공격에 국민안전 위협 우려.. 5G 보안 위해 네트워크 표준 필요"

이준호 한국화웨이 CSO

이준호 화웨이 최고정보보안책임자(CSO). 한국화웨이 제공

5G(5세대) 이동통신, 클라우드, AI(인공지능) 등 다양한 산업들의 디지털전환에 속도가 붙는 가운데 보안 신뢰를 구축하기 위한 네트워크 보안 표준에 대한 필요성이 떠오르고 있다. 수많은 사물과 사람이 연결되는 핵심 인프라인 5G가 사이버 공격에 제대로 대응하지 못할 경우 경제적 손실을 넘어 국민의 생활과 안전에 위협이 될 수도 있기 때문이다. 이 중 NESAS(네트워크 장비 보안 보증 체계)가 5G 보안을 관리하는 표준 방안으로 떠오르고 있다.

25일 이준호(사진) 한국화웨이 CSO(최고보안책임자)는 "5G 보안 위협으로부터 5G 네트워크 사용자 트래픽과 서비스를 보호하고, 보안 위협을 통제 가능한 수준으로 유지하기 위해 장비 제조사, 통신사 등 밸류체인 내 모두가 참여해 통일된 표준을 정의하고 명확한 규제 조치를 제정할 때 모두가 인정할 수 있는 보안 신뢰 체계를 구축할 수 있다"며 "GSMA와 3GPP가 공동 제정한 5G 네트워크 장비에 특화된 보안 보증 체계인 NESAS가 5G 보안을 관리하는 표준 방안으로 떠오르고 있다"고 말했다.

NESAS 인증은 모바일 네트워크 디바이스와 공급업체 프로세스에 대한 보안 평가와 감사 메커니즘이다. NESAS 평가를 통해 네트워크 장비에 대한 보안 요구사항이 충족되는지 확인하고, 해당 장비가 개발 및 제품 수명주기 프로세스 기준에 따라 개발됐는지 검증하기 위해 프로세스 감사와 안전성 테스트를 수행한다.

제품개발 및 생명주기 프로세스 감사는 GSMA 인가 감사팀에서 감사 결과에 따른 감사보고서 작성하고 GMSA NESAS Accreditation Board는 감사보고서 및 감사진 건의서에 따라 장비 제조사에 인가 부여를 결정한다. 제품 안전 테스트는 GSMA 인증 테스트 랩을 통해 3GPP SCAS 표준에 따라 네트워크 제품을 테스트를 실시한다. 앞서 제출된 감사보고서 기반으로 해당 제품이 승인된 개발 프로세스가 적용됐는지 확인한 후 평가보고서를 제공한다.

유럽연합은 NESAS 인증을 국제 표준 방안으로 채택 추진 중이다. 이 CSO에 따르면, EU(유럽연합)에는 회원국들의 정보기관들로 구성돼 있는 NIS CG(Network and Information Systems Cooperation Group)가 있다. NIS CG 5G 서브그룹은 5G 보안과 관련해 GSMA와 3GPP와 협력하라고 권장하고 있다.

이 CSO는 "NESAS를 5G 보안의 표준으로 삼고자 하는 의도가 있는 것으로 해석된다"며 "지난 2월 5G 보안인증체계 구축 요청에 따라 KISA(한국인터넷진흥원)와 같은 ENISA가 워킹그룹을 만들었고 5G 보안인증 후보로 NESAS를 제안하고 있다고 전해지고 있다"고 말했다.

화웨이는 NESAS 1.0 출시 이후 지난해 3월 통신장비 업체 중 처음으로 5G 및 LTE 기지국 장비에 대한 감사를 완료하고 NESAS SCAS(보안보증사양) 시험을 진행했다. 이에 더해 지난 4월 나온 NESAS 2.0 감사까지 모두 단계를 마쳤다. 에릭슨, 노키아, 삼성전자는 NESAS 인증 감사를 마쳤고, SCAS를 진행하고 있는 것으로 파악된다.

이 CSO는 "글로벌 이통사, 장비제조사, 감사기관 및 정부 등이 공동으로 NESAS를 5G 시대의 이동통신 네트워크 보안 인증 글로벌 표준으로 추진 중에 있다"며 "화웨이도 5G 및 LTE 네트워크 장비에 대한 NESAS 체계를 통과한 최초의 장비제조사인 만큼 5G 무선 네트워크 보안 발전을 위해 적극적으로 협력해 나가겠다"고 밝혔다.

한편, 화웨이는 공인된 제3자 인증평가기관을 통해 보안성 검증을 수행하는 등 5G 등 통신장비 보안 우려 해소에 나서고 있다. 화웨이는 FIPS, PCI, ISO27001, ISO 27028, CSA 인증 등 270개가 넘는 보안 관련 인증을 취득해 보유하고 있다. 지난해 6월 화웨이는 세계 최초로 자사 5G 기지국 장비에 국제표준 보안인증인 공통평가기준(CC) 인증도 취득했다. 2년에 걸쳐 제품 개발 과정, 설계, 아키텍처, 제품 평가 등을 거쳐 네트워크 장비로 받을 수 있는 최고 수준인 EAL4+ 인증을 받았다. 아울러 보안성 강화를 위해 매년 매출의 10~15%를 R&D(연구개발)에 투자하고 있으며, 2300명 이상의 사이버보안 전담 인력을 보유하고 있다.

김나인기자 silkni@