칼럼 | 사물인터넷 보안과 프라이버시의 근거없는 통념 5가지

사물인터넷(IoT)은 일상의 많은 부분들을 향상시킬 잠재력을 갖고 있다. 해당 사항을 꼽자면 그 목록이 끝이 없을 정도다. IoT가 발전하면 사물이 서로 연결되어 정보 파악과 시너지 효과가 높아진다. 그러나 이런 상호연결성은 반드시 극복해야 할 보안과 프라이버시에 관한 우려를 제기하기도 한다.

사물인터넷(IoT)은 사람이 자연 환경, 인공 환경에 더 지능적이면서 효율적으로, 안전하게, 심지어는 선행적으로 적응할 수 있도록 만드는 큰 잠재력을 갖고 있다.

IoT는 일상의 많은 부분들을 향상시킬 잠재력을 갖고 있으며, 그 리스트가 끝이 없을 정도다. IoT가 발전하면 사물이 서로 연결되어 정보 교환과 시너지 효과가 높아진다. 그러나 이런 상호연결성은 반드시 극복해야 할 보안과 프라이버시에 대한 우려를 제기하기도 한다.

필자는 IoT 보안과 프라이버시에 대한 담론을 발전시키기 위해 5가지 근거없는 통념을 제시한다. 이에 동의하든 반대하든, 숙고의 가치가 있는 통념들이다.

통념 1: 보안을 높이면 프라이버시가 낮아지고, 프라이버시를 높이면 보안이 낮아진다
필자는 2014년 12월 벨기에 브뤼셀에서 열린 인터넷 거버넌스에 대한 IEEE 서밋(IEEE Summit on Internet Governance)에 참석했는데, 여기에서 '보안 대 프라이버시' 문제를 다뤄야 한다는 제안이 제기됐었다.

업계에서는 이를 거론하지 않고 있다. 그러나 우리는 보안과 프라이버시 문제를 극복해야 한다.

필자는 IEEE가 이런 방식을 장려하면서 글로벌 공동체에 봉사하고 있다고 생각한다. 보안과 프라이버시, 이 두 개념은 서로 연결되어 있다. 기술적으로 '공통분모'를 갖고 있으며, 서로를 강화해주는 역할을 한다.

유사성도 있다. 일이나 작업을 하는데 있어 신뢰도를 높이는 개념이기 때문이다. 사람들은 접하는 일(사물)과 프로세스를 확신을 갖고 처리하기 원한다. 일이나 프로세스가 수행되는 방식에서 장애물이 되는 악성 인자가 존재하지 않는다는 확신을 원한다는 것이다.

두 개념을 비교하면, 프라이버시는 시스템에 정보를 제공하더라도 여기에 개인적인 피해를 입지 않는다는 개념에 초점이 맞춰져 있다. IoT에 있어 사용자의 관점을 더 중시하고 있는 개념이다.

보안은 가치를 창조하고, 이 가치를 보호한다는 개념에 초점이 맞춰져 있다. 공급업체의 관점을 반영하는 경우가 많다. 그러나 시스템에 참여한 대가로 가치를 창출하고 있다면 사용자의 관점도 반영되어 있다고 할 수 있다.

예를 들어, 가정의 에너지 사용량을 정밀하게 기록하는 스마트 미터기(계량기)는 사용자와 공급업체 모두에게 가치를 제공할 수 있다. 다만 사용자의 프라이버시, 공급자의 과금 데이터, 시스템 무결성이 안전하게 유지되어야 한다.

기술적으로 보안과 프라이버시는 공통분모를 갖고 있다. 예를 들어, 두 개념 모두 암호화에 의지한다.

체계적인 설계 프로세스가 보호 체계 구현에 도움을 줄 것이다. 둘 모두 유사한 실패에 직면한다. 엔지니어가 문제 의식 없이 시스템이나 소프트웨어를 설계할 경우 설계상의 취약점을 간과할 수 있다.

IoT의 개별 요소는 '시스템의 시스템'을 구성하는 요소가 되기 때문에, 최초 요소 개발자가 다른 요소 및 시스템과 연결이 됐을 때의 보안과 프라이버시 측면의 함의를 고려하지 않을 수 있다.

예를 들어, 최근 연구 결과에 따르면, 암호화 취약점을 갖고 있는 개인 의료기기(PMD)가 많은데, 이것이 해당 기기의 보안, 이 기기가 기록 또는 전송하는 데이터, 사용자의 프라이버시를 취약하게 만들 수 있다(미국 FDA 조사도 마찬가지 결과였다).

이런 점을 감안하면 첫 번째 통념은 잘못된 이분법이고, 따라서 잘못된 선택을 유도할 수 있다. 보안과 프라이버시를 이분화하는 관점을 갖게 되면, IT 커뮤니티에서는 실용적인 보안과 프라이버시 수준을 결정할 때 사회가 고려해야 할 선택권을 정확히 설명할 수 없다.

기존의 IT가 보여줬듯이 기능성은 '0'인 경우에만 100%의 보안을 구현할 수 있다. 따라서 비용 효율적이면서도 실용적인 절충점을 찾아야 한다.

통념 2: 기존의 IT 보안과 프라이버시 개념, 관행만으로도 IoT의 과제를 극복할 수 있다

필자는 컴퓨터 공학 부문의 이론가다. 우리는 이론적으로는 보안과 프라이버시를 구현하는 방법을 안다. 그러나 이를 효율적으로 구현하는 방법을 모를 뿐이다.

항상 우선순위가 중요하다. 동네 서점의 웹사이트에 보안 체계를 구축하는데 10억 달러를 투자하겠는가?

핵 탄두는 어떤가? 아마 좋은 투자가 될 것이며, 정책 입안자들 또한 그런 결정을 내릴 것이다. 보안 수준을 높이면 가격 곡선 또한 급상승할 수밖에 없다.

특히 민간 기업은 실용적인 절충점을 찾아야 한다. 보안 기능에 투자할까, 아니면 수익을 창출하는 기능에 투자할까? 물론 양자 선택은 아니다. 하지만 절충을 해야 한다.

다시 효율성 측면의 도전과제를 이야기해보자. IoT는 상상할 수 없을 정도로 많은 장치와 시스템이 서로 연결되기 때문에 보안과 프라이버시 또한 기하급수적으로 증가한 효율성이 무엇보다 필요하다.

구글의 최고 인터넷 에반젤리스트인 '인터넷의 아버지' 빈트 서프는 지난 브뤼셀 회의에서 구글이 32비트 체계의 IP 주소를 선택한 이유를 설명했다.

서프와 동료들이 추산한 결과, 20억~40억 개의 IP 주소가 필요하게 될 것이며, 따라서 32비트 주소 체계만으로도 이를 충분히 감당할 수 있을 것이라는 판단을 내렸다.

우리는 향후 수십 년 이내에 모든 사람들이 수백 또는 수천 개의 IP 주소를 가진 사물을 갖게 될 것이라고 예상하고 있다. 이렇게 수가 기하급수적으로 복잡하게 증가한다.

따라서 효율성도 이 정도의 증가가 필요하다. 아마 수 조에 달하는 사물이 서로 연결될 것이다. 그러면 사물당 1원을 투자하는 것도 지나치게 비싼 투자가 될 수 있다.