QUIC·HTTP/3, ISMS-P 등 국내 보안지침 6종에 미반영…통신망 규격 개편 필요성 제기

핵심 요약

- ISMS-P 안내서 등 국내 주요 보안지침 6종에서 QUIC·HTTP/3 프로토콜 관련 언급이 전무한 것으로 확인 - 암호화 도메인 특허 보유 플랜티넷, 통신망 보안 규격 개편 시 주요 수혜 기업으로 평가받아 신용등급 A-로 상향 - 차세대 통신 프로토콜 확산에 따른 국내 보안지침 및 인증기준 개편 필요성 대두

주요 내용

ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 안내서를 포함한 국내 주요 보안지침 6종을 전수 검색한 결과, QUIC(Quick UDP Internet Connections) 및 HTTP/3 프로토콜에 대한 언급이 전혀 포함되어 있지 않은 것으로 2026년 9월 확인됐다. 이는 글로벌 표준으로 자리잡은 차세대 통신 프로토콜이 국내 보안 규제 체계에는 아직 반영되지 않았음을 의미한다.

QUIC은 구글이 개발해 2021년 IETF 표준(RFC 9000)으로 제정된 전송 프로토콜로, 기존 TCP 대비 연결 지연을 줄이고 암호화를 기본 적용하는 특징을 갖고 있다. HTTP/3는 QUIC을 기반으로 한 차세대 웹 프로토콜로, 2026년 현재 글로벌 웹 트래픽의 상당 부분을 차지하고 있다. 그러나 국내 ISMS-P, 개인정보 안전성 확보조치 기준, 전자금융감독규정 등 주요 보안지침에는 이들 프로토콜에 대한 보안 요구사항이나 점검 기준이 부재한 상황이다.

이러한 가운데 암호화 도메인 관련 특허를 보유한 플랜티넷이 통신망 보안 규격 개편의 주요 수혜 기업으로 지목받고 있다. 플랜티넷의 기업신용등급은 2026년 4월 이크레더블 기준 A-로 상향 조정됐으며, 투자분석기관 CMIR은 통신사의 법적 대응 필요성을 주요 투자 포인트로 제시한 것으로 전해진다.

업계 전문가들은 QUIC·HTTP/3의 확산에 따라 기존 TCP 기반 보안 장비와 정책으로는 트래픽 가시성 확보가 어려워지고 있다며, 국내 보안지침의 조속한 개편이 필요하다고 지적하고 있다. 특히 ISMS-P 인증심사 시 네트워크 암호화 구간에 대한 점검 기준이 신규 프로토콜을 포괄할 수 있도록 세부 통제항목 개정이 시급하다는 의견이 제기되고 있다.

전문가 시각

ISMS-P 선임심사원으로서 현장 심사를 수행하면서 최근 가장 우려되는 부분이 바로 이 지점이다. 현행 ISMS-P 인증기준 2.8.2(네트워크 보안) 및 2.8.6(무선 네트워크 보안) 항목은 주로 TCP/IP 기반 통신을 전제로 작성되어 있어, QUIC처럼 UDP 기반에 자체 암호화를 내장한 프로토콜 환경에서는 적용 해석에 어려움이 발생한다. 특히 DPI(Deep Packet Inspection) 장비나 방화벽이 QUIC 트래픽을 제대로 분석하지 못하는 경우, 보안 통제의 공백이 발생할 수 있음에도 이를 점검할 명확한 기준이 없는 실정이다.

기업 입장에서는 당장 두 가지 대응이 필요하다. 첫째, 현재 운영 중인 웹서비스나 API에서 HTTP/3·QUIC 사용 여부를 명확히 파악하고, 사용 중이라면 해당 트래픽에 대한 가시성 확보 방안(QUIC 지원 보안 장비 도입, TLS 복호화 정책 재검토 등)을 마련해야 한다. 둘째, ISMS-P 인증 유지 기업이라면 차기 사후심사 전까지 내부 보안정책 문서에 신규 프로토콜 관련 보안 요구사항을 선제적으로 반영하고, 이를 이행하고 있음을 입증할 증적을 준비하는 것이 바람직하다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 (네트워크 접근 및 이용 관리)
심사 시 네트워크 구간별 암호화 프로토콜 현황을 점검할 때, HTTP/3·QUIC 사용 여부를 확인하고 해당 트래픽에 대한 모니터링·차단 정책이 수립되어 있는지 검토해야 한다. 특히 차세대 프로토콜 지원 여부가 불분명한 구형 보안 장비를 사용하는 경우, 우회 가능성에 대한 위험 평가가 수행되었는지 확인이 필요하다. 개인정보보호법 제29조(안전조치의무)의 기술적 조치 요구사항 관점에서도 신규 통신 프로토콜에 대한 보안 통제 공백은 법적 리스크로 작용할 수 있다.

2. 인증기준 2.10.4 (암호정책 적용)
QUIC은 TLS 1.3을 필수로 사용하여 전송 계층부터 암호화가 적용되므로, 기존 암호화 정책(암호 알고리즘, 키 길이 등)이 TLS 1.3 요구사항을 충족하는지 재검토가 필요하다. 심사 시에는 웹서버·CDN 설정에서 지원하는 TLS 버전 및 Cipher Suite를 점검하고, QUIC 활성화 시 암호 설정이 조직의 암호정책과 일치하는지 확인해야 한다. 개인정보의 안전성 확보조치 기준 제6조(개인정보의 암호화)와 연계하여, 전송 구간 암호화 방식의 적절성을 평가하는 것이 중요하다.

3. 인증기준 2.9.3 (로그 및 접속기록 관리)
QUIC·HTTP/3 트래픽은 기존 로그 수집 체계에서 누락되거나 불완전하게 기록될 가능성이 있다. 심사 시 웹 접근 로그, 방화벽 로그 등에서 HTTP/3 요청이 정상적으로 식별·기록되고 있는지, 로그 분석 도구가 신규 프로토콜을 지원하는지 확인해야 한다. 특히 개인정보 처리 시스템 접속 기록은 개인정보보호법 시행령 제30조에 따라 최소 6개월 이상 보관해야 하므로, 프로토콜 전환으로 인한 로그 누락은 법적 요구사항 위반으로 이어질 수 있다.

CPPG·ISMS-P 연계 포인트

전송 계층 보안(Transport Layer Security)
QUIC은 기존 TCP+TLS 구조와 달리 UDP 기반에 TLS 1.3을 통합한 형태로, 핸드셰이크 과정에서 연결 설정과 암호화 협상을 동시에 수행한다(0-RTT, 1-RTT 연결). CPPG 시험에서는 OSI 7계층 모델상 전송 계층 암호화 방식의 차이를 이해하고, ISMS-P 관점에서는 각 계층별 보안 통제 적용 방법(L4 vs L7 방화벽, TLS 종단 지점 등)을 구분할 수 있어야 한다.

프로토콜 가시성(Protocol Visibility) 및 DPI 한계
QUIC은 페이로드 전체가 암호화되어 기존 DPI 장비로는 애플리케이션 계층 정보를 확인할 수 없다. 이는 악성 트래픽 탐지나 데이터 유출 방지(DLP) 측면에서 보안 통제의 사각지대를 만든다. ISMS-P 인증심사에서는 이러한 가시성 저하에 대한 보완 통제(엔드포인트 보안 강화, 클라우드 프록시 활용 등)가 수립되어 있는지를 평가하며, CPPG에서는 암호화와 보안 모니터링 간 trade-off 관계를 이해하는 것이 핵심이다.