정보보호산업의 글로벌 동향—시장, 정책, 법 규제를 중심으로

최근 정부와 민간을 포함하는 다양한 주체가 참가하는 국제회의에서 정보보호 행동강령, 사이버 공간 이용행위에 대한 국제법 적용 및 인터넷 거버넌스 등 정보보호에 관한 논의가 활발하게 이루어지고 있다. 하지만 정보보호산업에 대하여 아직까지 세계적으로 통용되는 정의는 없는 실정이며, 유럽 네트워크 정보보호원(ENISA: Europe Network and Information Security Agency)의 National Cyber Security Strategies-Principal Guide on Development and Execution(2012. 12.)에서도 EU 수준 또는 국제수준에서도 사이버 보안의 정의에 대한 합의가 결여되고 있다고 밝히고 있다[3].

국내에서도 역시 학계와 산업계를 아우르는 공통의 정의는 아직 존재하지 않으며, 관련법에 명시된 정의를 준용하고 있다. 국가정보화 기본법 제3조 제6호에서는 정보보호를 "정보의 수집, 가공, 저장 검색, 송신, 수신 중 발생할 수 있는 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적·기술적 수단"으로 정의하고 있으며, 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조는 정보보호산업을 "정보보호제품을 개발, 생산 또는 유통하거나 정보보호에 관한 컨설팅 등과 관련된 산업"으로 규정하고 있다[4].

Gartner(2014.)는 <표 1>과 같이 정보보호산업을 크게 기업(Enterprise) 영역과 소비자(Consumer) 영역으로 구분한 후, 기업 영역은 인증접속 관리(Identity Access Management), 인프라 보호(Infrastructure Protection), 네트워크 보안 장비(Network Security Equipment), 기업용 보안서비스(Security Services)의 4개 영역으로 세분하였으며, 소비자 영역은 소비자용 보안 소프트웨어(Consumer Security Software)로 분류하였다[5].

<표 1>

세계 정보보호산업 분류체계[5]

국내에서는 학계 및 산업계 간 공통으로 적용되는 정의가 아직 존재하지 않기 때문에, 정보보호산업에 대한 명확한 분류체계가 정립되어 있지 않다. 정보보호산업은 제품과 서비스의 통합화 및 융합화가 매우 빠르게 진행되어 기존의 하드웨어, 소프트웨어, 서비스의 3대 분야로의 구분이 점차 모호해지고 있다. 지식정보보안산업협회(2013.)는 국내 정보보호산업을 크게 크게 컴퓨터 또는 네트워크상 정보의 유출, 훼손 등을 방지하기 위한 '정보보안'과 재난, 재해, 범죄 등을 방지하기 위한 '물리보안'으로 구분한 후, 각각 제품 산업과 서비스 산업으로 세분하여 분류하고 있으며, 구체적인 내용은 <표 2>와 같다[6].

<표 2>

국내 정보보호산업 분류체계[6]

정보보안 제품산업에는 네트워크 보안, 시스템 보안, 콘텐츠/정보유출방지 보안, 암호/인증, 보안관리, 기타 제품 등 여섯 가지 제품군이 포함되며, 정보보안서비스 산업에는 보안 컨설팅, 유지보수, 보안관제, 교육/훈련, 인증서비스 등 5개 서비스군이 해당된다. 물리보안 제품산업에는 DVR, 카메라, IP영상장치, 엔진/칩셋, 솔루션, 주변장비, 접근통제, 바이오 인식, 알람/모니터링, 기타 등 10개 제품군이 포함되며, 물리보안서비스 산업에는 출동경비, 영상보안, 기타보안 등 3개 서비스군이 포함된다.

Gartner(2014.)에 따르면, 세계 정보보호산업의 시장규모는 2013년 659억달러에서 연평균 8.3% 성장하여 2018년에는 971억달러에 이를 것으로 전망된다. 이 중 기업용 보안서비스(Security Services)의 시장은 2013년 369억달러 규모로 세계 정보보호산업의 절반 이상을 차지하며, 연평균 성장률(CAGR)도 모든 분야에서 가장 높은 수준으로 나타나 정보보호산업 중 가장 유망한 분야로 예측된다. 이어서 시장 규모 측면에서는 인프라 보호가, 성장률 측면에서는 인증 접속 관리와 네트워크서비스 장비분야가 활발한 성장을 보일 것으로 전망되며, 소비자용 소프트웨어는 시장 규모 및 성장률 모두 상대적으로 저조한 수준에 머물 것으로 예측된다[<표 3> 참조].

<표 3>

세계 정보보호산업 시장동향[5]

지식정보보안산업협회(2013.)에 따르면, 2013년 국내 정보보호산업 시장은 7조 1,454억원 규모에서 연평균 20.1% 성장하여 2018년에는 17조 8,371억원에 이를 것으로 전망된다[(그림 1) 참조]. 정부의 법·제도 및 규제의 강화, 여러 차례의 보안 사고로 인한 경각심 고조, 정부 및 기업의 보안투자 강화, 물리보안 수출의 확대 등의 요인이 이러한 국내 정보보호산업의 높은 성장을 견인할 것으로 전망된다.

(그림 1)

국내 정보보호산업 시장동향[6]

정보보호산업의 시장구조를 살펴보면, 2013년 제품산업 대비 서비스산업의 비율이 7:3 수준으로 제품산업 위주로 형성되어 있는 것으로 나타났으며, 향후에도 서비스산업에 비해 제품산업이 더욱 활발하게 성장해 향후 국내 정보보호산업은 제품산업 위주로 성장할 것으로 예측된다.

각 분야별 시장동향을 살펴보면, 2013년 물리보안 제품이 약 3조 8,610억원 규모로 정보보호산업의 절반 이상을 차지하는 것으로 나타났으며, 이어서 물리보안 서비스(23.4%), 정보보안 제품(17.8%), 정보보안 서비스(4.8%)의 순으로 나타났다[<표 4> 참고]. 국내 정보보호산업은 모든 분야에서 6% 이상의 성장률을 보이고 있으나, 물리보안 제품이 여타 분야에 비해 상대적으로 매우 높은 성장률을 보여 정보보호 제품산업의 성장은 물리보안 제품산업의 급격한 성장에 기인하는 것으로 나타났다. 하지만 지식정보보안산업협회의 시장 전망은 세계 정보보호산업 시장의 전망과 비교해 볼 때 지나치게 낙관적인 전망이라 볼 수 있다.

<표 4>

국내 정보보호 산업의 분야별 시장동향[6]

9.11 테러 이후 국가 주요 기반 시설에 대한 국가적 보호 필요성이 크게 제기됨에 따라, 미국에서는 정보보호를 국가가 직면하는 가장 심각한 경제적 및 국가 안정보장상의 과제로 인식하고 있다. 2010년 5월 백악관이 발표한 국가안보전략에서도 사이버 보안에 대한 위협이 국가안보, 공공안전과 경제발전에 가장 심각한 도전으로 자리매김되고 있으며, 이러한 인식을 토대로 2011년에는 분야별 정보보호 전략이 발표되었다.

2011년 5월 미 국무부가 발표한 사이버 보안 국제 전략에서는 국제무역의 지원, 국제안보의 강화, 표현의 자유, 혁신의 촉진, 개방성, 상호운용성, 안전 및 신뢰성을 담보할 수 있는 사이버 공간을 국제적으로 발전시킨다는 미래상을 제시하였으며, 비전 달성을 위하여 국내외 및 민관의 협력이 필요한 활동 영역으로 1) 경제협력, 2) 네트워크 보호, 3) 법 집행력 강화, 4) 군사협력, 5) 인터넷 거버넌스, 6) 국제적 발전, 7) 인터넷의 자유를 우선적인 정책으로 제시하고 있다[7].

2011년 6월, 미 상무부가 발표한 '인터넷 비즈니스 분야의 혁신을 저해하지 않고 경제적·사회적 가치를 지키기 위한 전략'에서는 중요한 정보 인프라로 분류되지 않는 온라인 서비스를 제공하는 중소기업이나 대기업을 대상으로 1) 가이드라인 작성에 의한 취약성 최소화를 위한 국가적 접근, 2) 사고보고 및 정보 공유 등에 관한 인센티브 구축, 3) 교육 및 연구 개발, 4) 국제 표준화 및 우수사례 공유 등의 국제협력을 권고하고 있다[8].

2011년 7월, 미 국방부가 발표한 '사이버 공간 운용을 위한 국방부 전략'에서는 이니셔티브로서 1) 사이버 공간을 전략 분야 중 하나로 자리매김하고 우선적으로 전략을 구상할 수 있는 체제 구축, 2) 국방부 정보 네트워크 보호를 위한 새로운 전략의 수립, 3) 타 기관 및 민간 기업과의 제휴 추진, 4) 동맹국과의 협력 강화 및 국제 파트너십 구축, 5) 인재 육성과 혁신적인 기술개발 추진이 나타나고 있다[10].

2011년 11월, 미 국토안보부가 발표한 '국토 안보 분야 사이버 보안 전략'은 주요 정보 인프라 보호 및 사이버 에코 시스템의 확립을 도모할 목적으로 안전하고 강건한 인프라를 지원하고, 혁신과 번영을 동반하며, 설계 단계에서부터 프라이버시 등 시민의 자유를 보호하는 사이버 공간을 제공하기 위하여 마련되었다. 주요 정보 인프라 보호 부문은 1) 중요한 정보 인프라의 특정(特定) 및 기술혁신에 의한 위험 감소, 2) 비상사태에 대비한 우선 대응책의 확보, 3) 정보의 분석·공유, 전문적 훈련 제공 등, 인재 육성에 의한 상황 인식의 공유, 4) 시스템 장애에 대한 저항력 강화를 목적으로 하며, 사이버 에코 시스템의 구축은 1) 정부 및 민간의 인재 육성, 보급·계발에 의한 활용능력 향상, 2) 취약점 감소 및 편리성 향상에 의한 제품 신뢰성 향상, 3) 장비 간의 상호 운용성 향상 및 보안 프로세스 자동화에 의한 연계 체제 구축, 4) 공중위생에 대한 정보 공유, 보안 정보 공유, 인증 기기 등의 정보 공유, 인센티브 부여에 의한 투명성 확보를 목적으로 한다[11].

2013년 2월, 오바마 대통령은 '주요 인프라 사이버 보안 강화에 관한 대통령령'에 서명했다. 이 명령에는 사이버 공격에 관한 정보공유를 군수산업에서 모든 주요 인프라 사업자로 확대하는 절차를 확립하는 조치와 주요 인프라에 대한 정보보안의 위험을 경감하기 위한 조치가 포함되어 있으며, 구체적인 내용은 <표 5>와 같다[9].

<표 5>

주요 인프라 사이버 보안 강화에 관한 대통령령의 주요 내용[9]

2013년 2월, 유럽위원회(EC)의 통신네트워크·콘텐츠·기술총국과 내무총국은 유럽연합(EU)의 외무·안보정책 고위대표와 공동으로 네트워크 정보보안 관련 지침 제안을 담은 'EU 사이버 보안 전략'을 발표하였다. 안전이 보장된 사이버 공간을 슬로건으로 하는 EU의 사이버 보안 전략은 사이버 공격의 대응에 관한 포괄적 비전을 제시하는 것으로, 자연재해나 테러는 물론, 경제 스파이나 국가 지원에 의한 사이버 공격과 같은 국경을 초월한 새로운 위협으로 사이버 보안 사고의 빈도 및 규모가 증가하고, 전력 및 자동차 등의 주요 서비스 공급의 중단으로 국가안보와 경제에 막대한 손해를 입을 수 있다는 인식에 기초하고 있으며, 자유·민주주의의 심화 및 디지털 경제의 안정적 성장을 촉진하는데 그 목적을 두고 있다. EU는 사이버 보안 전략에서 1) 사이버 복구력의 향상, 2) 사이버 범죄의 극적인 감소, 3) 사이버 국방 정책의 추진 및 공통의 보안방어 정책의 실현, 4) 사이버 보안 관련 산업 및 기술자원의 발전, 5) EU의 핵심 가치를 추진하는 포괄적 사이버 공간정책의 수립 등 사이버 보안을 위한 5대 우선과제를 제시하였다[12].

영국은 EU의 기본적 정보보안 및 개인정보보호 방침을 자국 법으로 수용하는 데 적극적이며, 미국, EU 등 타 국가들이 주도적으로 추진하는 정보보안 정책들을 수용하고 있다. 1998년 수립된 정보보호법(Data Protection Act)을 중심으로 정보보호 관련 사항을 규제해왔으나, 사이버 범죄의 인식 확대와 민간 대응능력 제고를 위해 2009년 6월 최초의 사이버 보안 전략을 발표하였다[13]. 그러나 사이버 공격이 지속적으로 증가함에 따라 사이버 공간 내 범죄 예방을 위해, 2011년 11월, 2015년까지 유연하고 안전한 사이버 공간에서 거대한 경제적·사회적 가치를 구현한다는 비전하에 새로운 사이버 보안 전략을 발표하였다[14]. 2013년 3월, 사이버 보안에 관한 정보를 민간과 정부가 신속하고 풍성하게 공유하기 위하여 '사이버 보안 정보 공유 파트너십(CISP: Cyber-security Information Sharing Partnership)'을 발표하였으며, 2013년 12월에는 사이버 보안 전략 추진과정 검토와 함께 향후 전략 추진 방향을 담고 있는 '국가 사이버 보안 전략 계획'을 발표하였다[15][16].

일본은 2005년 고도정보통신 네트워크사회 추진전략본부하에 정보보안 정책회의와 내각 관방 산하에 정보보안센터를 설치하였다. 정보보안 정책회의는 혁신 IT기술 관련 정책의 중심축 역할을 담당하며, 정보보호센터는 IT 정보보호 정책회의의 컨트롤 타워 역할을 담당하고 있다. 또한 경찰청(사이버 범죄 대응), 총무성(통신 네트워크 정책), 경제산업성(IT 산업 정책), 방위성(국방 정책)의 4개 주무부처가 정보보호센터를 중심으로 사이버 보안 관련 정책의 성격별로 의견수렴 및 국가 차원의 보안 전략을 수립하는 형태를 취하고 있다[17].

정보보안 정책회의는 혁신 IT기술 관련 정책의 중심축 역할을 하고 있으며, 정보보안 분야의 기본전략으로써 제1차 정보보안 기본계획(2006. 2.), 제2차 정보보안 기본계획(2009. 2.), 국민을 지키는 정보보안 전략(2010. 5.)을 수립하여 정부와 민간의 연계를 통한 정보보안 대책 강화에 주력하고 있다. 2011년 7월에는 정보보안 연구개발을 위한 7대 기본전략을 발표하였으며, 2012년 6월 발표한 정보보안 연구개발 로드맵에서는 기본전략을 보다 구체화시킨 4대 전략과 12대 과제를 제시하였다.

2013년 6월 정보보호센터는 사이버 보안 주체들의 상호 연계를 통한 보안 수준 향상 및 사이버 공격 대응력 강화와 사이버 보안 입국 실현을 목적으로 하는 '사이버 보안 전략 2014'를 수립하였으며, 그 내용은 (그림 2)와 같다[18]. 2014년 6월에는 '사이버 보안전략 2014'의 향후 전략적 방향성을 재조정하기 위한 중간보고서를 발간하였다. 동 보고서에서는 사이버 보안에 초점을 맞춘 '강력한 사이버 공간 구축', 산업 진흥에 주목한 '활력 있는 사이버 공간 구축', 국제 사회에서 일본의 역할을 강조한 '세계를 선도하는 사이버 공간 구축'의 세 가지 전략방향을 제시하였다. '강력한 사이버 공간 구축' 전략에서는 사이버 공격 대응력 강화, 취약성 보완, 사이버 공격 관련 정보 공유 등을 과제로 제시하였으며, '활력 있는 사이버 공간 구축' 전략에서는 사이버 보안 관련 산업 활성화, 보안기술 개발, 인재 및 관련 학문 육성 등을 주요 과제로 제시하였다. '세계를 선도하는 사이버 공간 구축' 전략에서는 정부 차원의 영향력 강화, 국제적 법규 마련에 대한 적극적 참여, 해외시장 전개 강화, 보안 역량 및 신뢰도 향상 촉진 등 사이버 공간에서의 우위 선점 등을 과제로 제시하였다.

(그림 2)

사이버 보안 전략 2014의 개요

<출처>: 1) 일본총무성, "정보통신백서," 2013. 7.

2) 김방룡, 홍재표, 고순주, "정보보호 산업의 Trend와 경제적 파급효과 분석," 한국전자통신연구원, 2014.

2013년 11월 19일, 미국 정보보호 규제기관인 FTC는 사물인터넷 관련 워크숍(Internet of Things - Privacy and Security in a Connected World)을 개최하여 사물인터넷에 연결되어 있는 개인정보 및 보안문제에 대하여 FTC를 비롯한 규제기관, 사업자, 소비자의 입장에서의 대처 방안을 논의하였다[19]. FTC의 위원인 Julie Bril은 본 워크숍에서 이루어진 토론을 바탕으로, 2014년 3월 14일, "The Internet of Things: Building Trust and Maximizing Benefits Through Consumer Control"이라는 제목의 강연에서 사물인터넷을 제공하는 단말기 또는 서비스 사업자는 사물인터넷과 관련하여 보다 철저한 개인 정보보호 대책을 강구해야 한다고 지적하였으며, 주요 내용은 <표 6>과 같다[20]. 이러한 내용은 FTC가 2012년에 발표한 소비자 기밀보호 보고서(Protecting Consumer Privacy in Era of Rapid Change)에도 나와 있는 내용이지만, 사물인터넷에는 더욱 그 기준을 강화할 필요가 있다고 주장한다.

<표 6>

Julie Bril 강연에서의 IoT 관련 정보보호 대책[20]

2014년 9월 16일, EU의 정보보호 지침 제29조 실무그룹은 현재 시행되고 있는 EU 정보보호 지침을 사물인터넷에 어떻게 적용할 것인지에 대한 검토 의견이 제시된 "Opinion 8/2014 on the on Recent Developments on the Internet of Things"를 공표했다[21]. 이것은 2013년 3월 15일에 공표한 "Opinion 02/2013 on Apps on Smart Devices"를 보완하는 형태로 작성되었다.

제29조 실무그룹은 검토 대상 범위를 시계, 안경, 의복 등에 센서 기능을 입혀 그 기능을 확장시킨 Wearable Computing, 개인의 습관과 라이프 스타일 정보를 기록하고 이를 데이터화하는 Quantified Self, 인터넷에 연결된 가전제품과 같은 Home Automation의 세 가지 분야로 한정하고, 이들 세 가지 검토 대상에 대한 정보보호 과제를 도출하였다. 제29조 실무그룹은 사물인터넷 단말 제조업체, 소셜 플랫폼, 응용프로그램 공급업체, 데이터 플랫폼 등의 이해관계자들은 반드시 EU 정보보호 지침을 따라야 한다고 지적하였으며, 몇 가지 중요한 사안을 살펴보면 <표 7>과 같다.

<표 7>

IoT 정보보호에 관한 EU 지침의 주요 내용[21]

세계 각국의 정보보호 감독기관 및 학계 인사들은 2014년 10월 13일부터 16일까지 3일에 걸쳐 모리셔스에서 국제회의를 개최하였는데, 특히 사물인터넷 정보보호에 관한 주제가 집중적으로 검토되었다[22]. 이는 사물인터넷의 정보보호 문제가 전 세계가 주목하는 글로벌 과제로 인식되고 있다는 사실을 대변하며, 토론 결과를 토대로 공표된 IoT에 관한 모리셔스 선언의 주요 내용을 살펴보면 <표 8>과 같다.

<표 8>

IoT에 관한 모리셔스 선언의 주요 내용[22]