염흥열 순천향대 정보보호학과 교수
![[포럼] 사물인터넷 보안, 글로벌 협력은 필수다](http://contents.dt.co.kr/images/202207/2022071802102369073001[1].jpg "[포럼] 사물인터넷 보안, 글로벌 협력은 필수다")
기기에는 다양한 보안 취약점이 존재한다. 기기가 제조업자가 설정한 아이디와 비밀번호를 변경하지 않고 사용한다며, 해커가 알려진 디폴트 아이디와 비밀번호를 이용해 기기에 침투해 악성코드를 설치한다면 기기에 있는 영상 정보를 유출하게 되어 이용자의 사생활을 침해하거나 해킹된 여러 기기를 모아 봇넷 군단을 형성한 후 특정 사이트나 서비스에 분산서비스거부 공격을 수행할 수 있게 된다. 만약 가정에서 사용하는 IP 카메라가 해킹되면 촬영된 영상이 유출되어 입주민의 사생활이 고스란히 일반에 노출될 수 있다. 자동차에 있는 기기나 의료 서비스 이용 기기가 해킹되면 탑승자나 환자의 생명에까지 영향을 미친다. 주요 국가기반시설에서 운영되는 IP 카메라가 해킹되어 영상 정보가 유출되면 바로 해당 시설의 물리적 침투로 연결되어 그 시설이 제공하는 국민 필수 서비스의 마비를 초래할 수 있다.
국제표준화 기구에서도 사물인터넷 보안을 위한 국제표준을 개발하고 있다. 필자가 의장으로 있는 국제전기통신연합 전기통신부문 정보보호 연구반(ITU-T SG17) 에서는 사물인터넷 보안 기기의 보안 기준의 중요성을 인정하여 사물인터넷 보안인증에 활용 가능한 국제표준(X.1352)을 올해 5월 SG17 회의에서 사전 채택했고, 올해 8월 SG17 회의에서 최종 채택할 예정이다. 유럽전기통신표준협회(ETSI)에서도 사물인터넷 보안 요구사항(ETSI EN 303 645, 2020), 보안 요구사항 구현 가이드라인(ETSI TR 103 621, 2022), 적합성 평가 방법론(ETSI TS 103 701, 2021)에 대한 표준을 최근 개발해 공개한 바 있다. 미국 국립표준기술연구원(NIST)도 사물인터넷 기기의 보안 수준을 개선하기 위한 권장 사항을 제공하는 기술보고서(NISTIR 8259)를 2020년 발표했다.
세계 주요국도 기기 보안의 중요성을 인정하고 보안 인증제도를 시행할 수 있는 표준과 법·제도적 기반을 마련하고 있다. 2019년에 채택된 유럽연합(EU)의 '사이버보안법'(cybersecurity act)에서는 제품과 서비스에 대한 사이버보안 프레임워크를 정의하고 있다. 또한 사이버보안 프레임워크에 기반해 사물인터넷 제품과 서비스에 대한 자발적인 보안인증 제도를 시행하기 위한 법·제도적 기반을 마련했다. 보안 인증 보증 등급은 △기술 문서를 검증하는 기본 등급 △알려진 취약점의 부재와 보안 기능의 구현 적합성에 점검하는 중간 등급 △알려진 취약점 부재, 보안기능 구현 적합성, 침투시험에 대한 저항성 평가를 포함하는 고급 등급으로 구분된다. 유럽연합 집행위원회는 2020년 12월 사물인터넷 기기 사용 증가와 개인 정보보호, 사이버보안에 대한 관련 새로운 위험을 인정하는 결론에 승인했다. 이 결론에서는 이 중요한 문제를 해결하고 장기적인 입법의 필요성을 강조했다. 미국 안전규격 인증회사인 UL에서도 사물인터넷 기기 보안인증 프로그램을 2020년 발표했으며, 사물인터넷 기기의 해킹 위험성을 측정하고 보안 수준을 명시하는 기준도 발표했다.
정부는 2020년 정보통신망이용촉진 및 정보보호에 관한 법을 개정해 정보통신망 연결기기 등과 관련된 침해사고가 발생하여 국민의 생명·신체 또는 재산에 위험을 초래할 가능성을 인정하고 침해사고 대응과 자발적 인증 시행을 위한 법적 근거를 마련했다. 이 법적 기반으로 정보통신망 연결기기에 대한 보안 인증제도를 시행하고 있다. 식별 및 인증, 암호, 데이터보호, 소프트웨어 보안, 하드웨어 보안 등에서 세부 평가 기준을 정하고 있다. 기기 인증은 3개의 인증 등급(Lite, Basic, Standard)으로 구분되어 있다. 보안 등급은 △최소한의 보안 평가 항목을 갖는 기본(Lite) 등급 △해킹 사고 등 사례를 통해 알려진 보안 취약점의 악용을 방지할 수 있는 수준의 일반적 평가 항목으로 구성된 중간(Basic) 등급 △향후 국외 인증과의 상호 인정을 고려하여 국제적으로 요구되는 수준의 보안 항목으로 구성되는 고급 (standard) 등급으로 구성되어 있다.
우리나라 인증제도의 효과성을 확대하고 경쟁력을 강화하기 위해서는 국내 사물인터넷 보안인증 제도의 국제화를 도모해야 하며, 주요국과의 상호 인정을 마련해야 한다. 우리나라에서 인증받은 기기나 서비스가 미국, 유럽 등에 수출되어 추가로 보안인증을 받지 않고 효력을 인정받을 수 있기 때문이다.
이를 위한 주요 국가 간의 보안인증 제도의 상호 인정을 적극적 추진해야 한다. 고려될 수 있는 지역은 유럽연합이다. 이에 대한 정부의 관심, 쌍무 협상과 대화가 필요하며, 유럽연합표준협회(ETSI)와 한국정보통신기술협회(TTA) 간의 상호 인정을 가능케 하는 공통 표준 개발 활동도 필요하다.
인증 평가 대상도 가전, 의료 분야 등의 8대 분야 외 다른 분야로의 확대도 고려해야 한다. 예를 들어 가스, 전력 등에서 이용되는 기기도 인증 대상에 포함해야 한다. 고위험으로 평가되는 주요 부문에 이용되거나 프라이버시 침해가 매우 큰 영역의 기기에 대한 인증 의무도 고려할 필요가 있다. 또한 인증 기준의 고도화도 필요하다. 향후 다양한 5G, 블록체인, NFT 등 신규 기술과 어우러지는 기기가 출현할 것을 고려해 새로운 위협에 대응하기 위한 인증 기준은 지속해서 고도화되어야 한다.
기기와 서비스에 대한 △사이버보안 요구사항 △사이버보안 규정 표준 준수를 보여주는 구현 가이드라인 △평가 방법 가이드라인 등에 대한 정보통신단체 표준이나 국가 표준으로 개발할 필요가 있다. 표준화 과정을 통해 사물인터넷 기기와 서비스의 다양한 이해 당사자의 의견을 반영해 실효성 있는 보안 인증제도 시행을 위한 표준의 품질을 보장받을 수 있다.
이를 위한 민간과 공공이 참여하는 가칭 '보안인증 표준 협의체' 구성도 고려되어야 한다. 기기의 안전성 확보의 시작은 보안인증 제도이다. 이는 국민의 사생활 보호뿐만 아니라 국가 안보를 보장할 수 있기 때문이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
