방통위-KISA, ‘암호정책 수립기준 설명서’ 발간

기업에 암호정책 수립 기준을 제시

방송통신위원회와 한국정보보호진흥원(KISA, 원장 황중연)은 최근 ‘암호정책 수립 기준 설명서’를 발간하고, 이를 통해 기업의 정보보호 담당자들에게 올바른 암호정책 수립을 위한 기준을 제시할 방침이라고 밝혔다.

각 기업이나 기관은 주요 정보자산을 외부 위협으로부터 안전하게 보호하기 위해서 적절한 암호제품 및 서비스를 도입하도록 하는 암호정책을 수립해야 한다. 기업의 정보보호관리체계를 심사하는 ISMS 인증기준에서도 암호통제라는 항목을 두어 암호정책 수립 여부를 확인하는 등 암호정책의 중요성은 날로 높아지고 있다.

그러나, 암호정책 수립을 위한 구체적인 암호기술 도입 기준이나 방법 등에 대한 도움 자료가 부족하여 기업 등이 암호정책 수립에 어려움을 겪고 있다. 이제까지 일부 기업에서는 자사의 암호정책 수립에 있어 안전하지 않은 암호기술을 도입함으로써 주요 정보자산의 노출 위협이 발생하는 등 암호정책의 적절성 및 실효성에 대한 문제가 제기되어 왔다.

KISA는 이번에 발간된 설명서를 통해 정보보호관리체계 관련 제도 및 표준에서 명시하고 있는 요구사항에 적합한 상세 암호정책 수립기준을 제공함으로써 올바른 암호정책 수립 방법을 제시할 수 있을 것으로 기대한다고 밝혔다.

이번 설명서는 ▲암호 정책 수립 기준, ▲세부 기준에 대한 상세 해설, ▲△암호 정책 모범사례 등으로 구성되어 있다.

암호정책 수립을 위한 기준 제시에 대한 내용은, 크게 총칙 및 책임사항, 암호관리, 키 관리, 문서 및 기록의 4개 항목으로 구성되어 있다. 각 항목별로 포함되어야 할 내용에 대해 17개 세부 기준들을 명시하고 있으며, 그 중 국내/외 정보보호 관리체계 관련 제도 및 표준에서 공통으로 요구하는 항목에 대해서는 필수로 포함할 것을 권고하고 있다.

암호정책 수립기준 해설에서는 각 기준들에 대해서 왜 이런 기준들이 필요한지에 대한 목적과 어떠한 방법으로 정책을 수립하여야 하는지에 대한 해설 및 예시 등을 제시하고 있다. 또한 국내/외 권고 암호알고리즘, 안전한 패스워드 기준 등을 함께 제공함으로써 암호정책 수립 시 참고할 수 있도록 하고 있다.

기업 및 기관이 실제 암호정책을 수립하는 과정에서 도움이 될 수 있도록 가상의 기업을 설정하여 암호정책 수립기준과 자신의 비즈니스 환경에 맞춰 암호정책을 수립한 모범사례를 제시하고 있다.

이번 발간 자료는 보안 컨설팅, 안전진단 및 ISMS 인증 업체 및 인증 심사원 등에게 배포되며, KISA 홈페이지에서도 PDF형태로 다운받을 수 있다. 또한, 함께 참고할 수 있는 기존 발간자료인 ‘암호이용가이드라인’, ‘패스워드 선택 및 이용가이드’ 등도 함께 다운받아 볼 수 있다.

[오병민 기자(boan4@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다