[포럼] IoT 보안가이드라인 필요하다

염흥열 순천향대 정보보호학과 교수


우리의 일상생활이 사물인터넷(IoT) 기기에 크게 의존하게 됐다. 이러한 기기는 스마트 홈, 스마트 폰, 스마트 공장, 스마트 의료 등의 산업 전반에 적용이 확산될 전망이다. 세계적 시장조사기관인 가트너는 2020년까지 다양한 산업 전반에서 약 300억대 사물이 네트워크에 연결될 것이며, 기업과 가정, 공장 내 곳곳에 기기가 사용될 것으로 전망했다.

대표적 사물인터넷 기기는 인터넷 전화, 무선 AP, 보안 카메라, 라우터, 화재경보기, 스마트 TV, 스마트 카 등이다. 사물이 네트워크에 연결되는 이유는 스마트 기능 탑재와 스마트 서비스 제공을 위해서이며, 더욱 많은 기기들이 네트워크에 연결이 가속될 전망이다.

사물인터넷은 우리 생활에 많은 편의성과 산업적 파급효과를 제공하지만, 문제는 역기능인 보안 위협과 프라이버시 침해다. 인공심장박동기와 인슐린 펌프와 같은 의료기기가 해킹되면 해당 환자의 생명에 영향을 줄 수 있다. 스마트 홈 기기인 가스보일러가 해킹되면 설정 온도를 높게 설정하고 인질 값을 요구할 수 있다. 지능형 차량이 해킹되면 제동 장치가 원격 해커에 의해 제어될 수 있어 대형 교통사고가 유발할 수 있다. 화학 공장 센서나 기기가 해킹되면 화학 공정 제어에 문제가 생겨 예기치 않은 화재가 발생할 수 있다. 가정 스마트 미터링 시스템이 해킹되면 전력 사용 패턴의 유출로 인해 이용자 프라이버시가 침해될 소지가 크다. 이와 같이 사이버 공간의 해킹이 실세상의 사람의 생명에까지 지장을 초래할 수 있습니다.

사물인터넷 보안 위협은 먼 얘기가 아니다. 2014년도에는 미국 보안 서비스업체 프루프포인트에 의하면 가정의 스마트TV나 냉장고를 좀비 가전으로 만든 뒤 대량의 스팸 메일과 피싱 메일을 보낸 것으로 밝혀졌다. 국내에서도 2014년 12월 가정용 무선 공유기가 해킹되어 국내 인터넷 사업자 망에 분산서비스거부공격을 감행한 바 있다. 2015년 5월 말에는 중국산 CCTV에 백도어가 심어져 카메라에서 녹화된 영상 정보를 유출시킬 수 있는 보안 취약점이 발견되었다. 2016년 1월에는 중국과 미국에서 스마트TV에 악성코드가 감염되어 카메라 기능을 활성화해 집 안이나 사무실을 촬영해 유출할 수 있는 취약점이 발견되기도 했다. 2016년 10월에는 커피숍 등 무선 공유기가 해킹되어 다시 여기에 접속된 스마트폰에 악성코드가 감염되어 포털계정을 부정 생성하는데 이용되는 보안 사고가 발생한 바 있다.

이러한 위협은 우리나라만의 일이 아니므로 해외 주요국에서도 대책을 서두르고 있다. 대표적으로 금년 7월 일본 네트워크보안협회는 '컨슈머 IoT 보안 가이드'를 공개했고, 금년 7월 5일에는 일본 총무성과 경제산업성은 '사물인터넷 보안 지침'을 발표한 바 있다. 또한 세계적인 국제 표준화 기구인 ITU-T와 ISO/IEC 에서도 사물인터넷 보안 위협에 대응하기 위한 다양한 국제 표준을 개발하고 있다.

미래창조과학부도 2015년 5월 '사물인터넷 정보보호 로드맵 3개년 시행 계획'을 발표한 바 있고, 다시 금년 9월에 모든 산업 군에 적용될 수 있는 '사물인터넷 공통 보안 가이드'를 발표했다. 이 가이드라인의 핵심 내용은 설계, 개발, 운영, 관리체계, 침해사고 대응 체계 측면의 15가지 보안 요구사항과 기술·관리적 권고사항을 상세히 담고 있다.

이러한 대책은 민간의 참여와 민관 공조가 절실하다. 이러한 가이드라인이 실효성을 갖기 위해서는 다음 사항이 고려되어야 한다. 정부에 의해 발표된 보안 가이드라인이 민간 주요 참여 주체에 의해 실천되어야 한다. 다시 말해, 서비스 제공자, 제조업자, 이용자 등 주요 참여 주체의 보안 가이드라인 실천이 담보되어야 한다. 제조, 설치, 운영, 폐기 과정을 거친 기기 전주기에 대한 가이드라인 적용이 먼저다.

사물인터넷 기기 설계와 운영 과정에서 보안 및 프라이버시 내재화 원칙의 적용이 필요하다. 개인정보보호 원칙에 근거한 수집 정보 최소화와 개인정보의 익명화를 위한 비식별화 기법 등 프라이버시 보호 기법의 적용이 요구된다.

사물인터넷은 주요 응용 부문이 될 스마트 의료, 공장 자동화, 자동차 등 다양한 산업 전반에 걸쳐서 적용될 예정이다. 따라서 산업 부문별로 보안 가이드라인의 개발과 활용이 필요하다.

미래 지능정보사회의 달성은 사물인터넷 기반 서비스나 제품의 보안 및 프라이버시에 달려있음을 명심해야 한다.