[이슈플러스]車부터 AI 가전까지 정보수집 확대…제품 검증·사후관리 '구멍'

국가정보원이 국가보안시설에 반입되는 카메라 탑재 사물인터넷(IoT) 기기의 보안조치 강화에 나섰지만 정작 국내에는 IoT 제품의 보안기준과 사후관리 체계가 제대로 갖춰지지 않았다.

당장 문제가 된 커넥티드 차량에 대한 기준은 물론 가장 널리 보급된 스마트가전에 대한 보안 체계마저 명확하지 않다.

스마트기기가 수집하는 정보의 범위는 빠르게 확대되고 있다. 과거에는 인터넷 연결을 통한 원격제어나 기기 상태 확인에 그쳤지만 최근에는 카메라와 마이크, 각종 센서로 주변 환경을 인식하고 인공지능(AI)으로 분석하는 기능까지 일반화되고 있다. 제품의 기능이 고도화될수록 외부로 유출될 수 있는 정보의 양과 민감도도 높아지는 구조다.

◇영상·좌표 수집하는 車…로봇청소기도 위험

특히 영상과 위치·공간정보를 동시에 수집하는 기기는 새로운 보안 위협으로 떠오르고 있다. 커넥티드 차량은 카메라와 라이다(LiDAR), 위성항법장치(GPS) 등을 통해 주변 환경을 인식하고 위치정보를 확보한다. 수집한 정보가 외부 통신망을 통해 전송될 수 있다는 점에서 단순한 영상 촬영장비와는 위험의 성격이 다르다. 국가보안시설의 영상과 정확한 좌표정보가 결합돼 외부로 유출될 경우 시설의 위치와 구조, 주요 장비 배치 등이 노출될 수 있다.

해외 정보기관도 리스크 가능성을 제기하고 있다. 에스토니아 해외정보국은 2024년 발간한 연례 안보보고서에서 중국의 자율주행용 라이다 제조사가 차량 주변의 환경정보 전체를 중국 내 데이터베이스로 전송하려 한다는 정보를 확보했다고 밝혔다. 자율주행에 필요하지 않은 정보까지 수집·이전하려한다는 지적이다.

에스토니아 정보당국은 이같은 위험이 자율주행차에만 국한되지 않는다고 경고했다. 로봇청소기처럼 주변 공간을 스캔하는 일반 가전제품도 동일한 위험에 노출될 수 있다는 것이다. 중국 기술기업이 제공하는 서비스와 애플리케이션을 통해 이용자 정보가 수집될 가능성도 지적했다.

자동차와 스마트가전은 사용 목적은 다르지만 주변 환경을 디지털 정보로 수집하고 외부 통신망과 연결할 수 있다는 공통점을 갖고 있다. 정보가 실제 어디까지 수집되고, 어떤 서버로 전송되는지 외부에서 검증하기 어렵다는 점도 유사하다.

국내 IoT 보안인증 제도 및 운영 현황

◇AI가전은 집안까지 들여다보는데…인증도 표준 약관도 미흡

가정용 스마트기기에서는 이미 이같은 정보 수집이 일상화되고 있다. 로봇청소기는 카메라와 라이다 등을 이용해 집안 구조를 파악하고 장애물과 사람, 반려동물 등을 인식한다. 스마트홈 카메라는 단순 영상 녹화에서 벗어나 화면에 등장하는 사람과 사물, 행동까지 분석하는 방향으로 발전하고 있다.

국내 생산 로봇청소기도 마찬가지다. 삼성전자는 스마트싱스를 통해 AI 영상 분석 기능을 제공하고 있다. 카메라 영상에서 사람과 반려동물, 택배 등을 자동인식하고 분류하는 기능이다. 삼성전자는 수집한 정보를 외부 웹으로 공유하지 않고 녹스(Knox) 기반 보안기술로 보호한다는 입장이다. 중국산 로봇청소기의 정보유출을 계기로 불거진 각종 보안 위협을 고려한 조치다.

다만, 영상이 외부로 유출되지 않더라도 개인정보를 어떤 목적으로 수집하고 어디에서 분석하는지, 얼마나 오랫동안 저장하는지, 이용자가 분석을 거부하거나 데이터를 삭제할 수 있는지 등에 대해서는 명확한 기준이 없다. 삼성전자의 녹스 도입 역시 자체 보안기술을 강화해 이용자의 불안을 우선 줄이는데 초점이 맞춰져 있다. 중국 기업이 데이터센터 한국 이전 등을 통해 보안 조치를 강조하는 것도 마찬가지 이유다.

정작 현행 제도는 이같은 시장 변화를 따라가지 못하고 있다. 인증 제도조차도 큰 실효성이 없다. IoT 기기의 정보 수집에 관한 명확한 표준 약관조차 마련돼 있지 않아 개별 제조사마다 취급 방식도 제각각 이뤄지고 있는 상황이다.

국회입법조사처가 7월 발표한 '사물인터넷(IoT) 보안 강화를 위한 입법 및 정책 과제'에 따르면 최근 5년간 국내 IoT 보안인증은 약 450건에 그쳤다. 연평균 90건 수준이다. 이 가운데 가전 분야 인증은 5년간 10건에 불과했다. 통신 분야도 같은 기간 7건에 그쳤다.

현재 국내 IoT 보안인증은 기본적으로 제조·수입업자가 자율적으로 신청하는 제도다. 인증을 받지 않았다는 이유만으로 일반 가전제품의 판매가 제한되지는 않는다. 소비자도 제품 구매 단계에서 해당 제품이 어느 정도의 보안 기능을 갖추고 있는지 객관적으로 판단하기 어렵다.

현재 국가보안시설에 납품된 IoT 제품 가운데 얼마나 많은 제품이 제대로 인증을 받았는지도 미지수다. 카메라 탑재 IoT 제품 전수조사가 국정원의 보안 강화조치에 담긴 것으로 알려졌지만, 전수조사 이후 취할 수 있는 마땅한 제도적 후속 조치도 뚜렷하지 않다. 자체 보안을 강화할 수 밖에 없는 구조다.

2020년 정보통신망법에 제조·수입업자의 정보보호조치와 관련한 규정을 마련했지만 6년이 지난 현재까지 이를 실질적으로 이행하도록 할 구체적인 최소 보안기준과 개선명령, 사후관리 절차는 미비한 상황이다.

◇제조사 넘어 플랫폼까지…보안 책임은 누가 지나

스마트홈 플랫폼 간 연결이 확대되는 점도 보안관리의 새로운 과제다. 삼성전자 스마트싱스와 구글 홈, 애플 홈 등은 서로 다른 제조사의 제품을 하나의 플랫폼에서 제어하도록 지원하고 있다. 국제 스마트홈 연결 표준 매터(Matter) 역시 보안카메라 등으로 지원 기기 범위를 확대하고 있다.

결국 서로 다른 제조사의 제품을 연결하는 과정에서 보안 책임을 나누는 문제가 발생할 수 밖에 없다는게 안팎의 우려다. 카메라 제조사와 스마트홈 플랫폼 운영사, AI 영상 분석 서비스를 제공하는 사업자가 서로 다를 경우 개인정보 수집·처리와 보안사고 대응 과정에서 각자의 역할을 명확히 하는 숙제가 남았다.

특히 AI 영상 분석 기능이 플랫폼 단위로 확대되면 이용자가 실제 어떤 기업의 기술로 영상이 분석되고 있는지 파악하기도 어려워질 수 있다. 온디바이스 AI로 기기 내부에서 분석하는 방식과 외부 클라우드에 영상을 전송해 분석하는 방식은 정보 유출 위험과 관리 방법이 서로 다르다.

해외에서는 이미 스마트기기 보안을 제조사 책임으로 명확히 하는 방향으로 제도가 강화되고 있다. 유럽연합(EU)은 사이버복원력법(CRA)을 통해 디지털 제품의 보안요건과 제조사의 취약점 관리 책임을 강화하고 있다.9월부터 실제 공격에 악용된 취약점이나 중대한 보안사고에 대한 신고 의무가 시행됐다.

국내에서도 IoT 제품의 위험도에 따라 최소 보안요건을 차등화하는 방안이 대안으로 제기되고 있다. 국회입법조사처는 IoT 제품 전반에 적용할 최소 보안기준을 우선 수립하되, 개인정보 유출이나 사회적 피해 위험이 큰 제품부터 단계적으로 보안인증을 의무화할 필요가 있다고 제안했다.

류근일 기자 ryuryu@etnews.com