IoT 보안 문제는 시한폭탄?

이번 달 초 매사추세츠 캠브리지에서 치러진 TIE 스타트업 콘(TIE Startup Con) 행사에서는 시작부터 흥미로운 담론들이 쏟아져 나왔다. 사회를 맡은 IBM API 경제 및 IoT, 연결형 클라우드 그룹의 프로그램 디렉터 앤디 스레이가 RSA의 CTO 딥팍 타네자에게 던진 질문은 특히 화제가 됐다.

스레이는 “사물 인터넷(IoT)의 보안 문제를 ‘일촉즉발의 시한폭탄’에 비유하는 시각에 동의하는가?”라는 노골적인 질문을 던졌다.



이에 타네자는 “기술의 진보 속도가 기업들의 내부, 클라우드 자원 보안 역량을 크게 앞지르고 있다. 온갖 네트워크 센서와 기구로 채워진 IoT라면 문제는 더 클 것이다. 이에 더해 보안에 대한 투자에 인색한 기업들의 태도도 문제를 더 악화시키는 요인이다. ‘IoT 보안은 시한폭탄이다’라는 명제에 나 역시 동의한다”라고 답했다.

타네자는 이어 심각한 보안 사고를 겪은 이후에야 보안에 돈을 쓰는 분위기가 형성되기 시작할 것이라고 덧붙였다. 타네자는 RSA 합류에 앞서 2013년 보안 업체 아베스카(Aveska)를 EMC에 매각했던 인물이기도 하다.

스레이의 사회로 진행된 대담회에는 타네자 이외에도 SaaS 모델 기반 원격 접속 및 지원 솔루션 업체 로그미인(LogMeIn)의 패디 스리니바산, IDC의 로힛 메흐라가 참여했다.

메흐라는 이러한 취약성에 대한 지적이 IoT 개발에 제동을 걸어야 한다는 의미는 아니라고 부연했다. 그는 “혁신의 바퀴가 돌고 있을 때는 보안이나 프라이버시를 미처 생각할 수 없다. 혁신가에게 무모하다는 비판은 무의미하다”라고 말했다.

로그미인에서 부사장직과 자이블리(Xively) IoT 상품 그룹 대표직을 겸임하고 있는 스리니바산은 IoT의 성장이 과거 클라우드 컴퓨팅의 성장과 다른 점이 있다며, 바로 주도한 집단이 다르다고 강조했다.

그는 “비즈니스 라인들의 요구와 주도로 성장한 클라우드와는 달리 IoT 트렌드는 상품 OEM들이 주도하고 있다. 대부분 별도의 IT 조직이 없는 곳들이다”라고 말했다.

스리니바산은 다음과 같이 설명했다. “예를 들어 전구 제조 업체를 떠올려보자. 그들의 전구는 네트워크에 연결되기 전까진 100%의 보안 성능을 보인다. 하지만 그것이 외부와 연결되면 무수한 고려 사항들이 생겨난다. 지난 수 십 년간 OEM들은 성실하고 순수하게 제품을 생산해왔다. 그들에게 소프트웨어적 지식은 결코 필요치 않은 것이었다. 지금으로선 뭔지도 모를 보안이란 문제로 꽤 큰 지출을 해야 하는 상황이 고민스러울 수도 있다. 그러나 서비스와 비즈니스 모델을 변혁하기 위해선 반드시 필요한 과정임을 그들은 이해해야 할 것이다. 개인적으론 타이어 마모도와 압력을 감지하는 테크놀로지를 적용하며 미쉐린(Michelin)이 내세운, ‘서비스로서의 타이어(Tire as a Service)’라는 슬로건이 주목할만한 모범 사례라고 생각한다.”

IDC의 메흐라는 기기 안에 보안을 녹여내는, 혹은 최소한 믿을만한 파트너 업체로부터 서비스를 지원받아 통합해내는 노력이 IoT 보안의 핵심이라고 강조했다. (IDC는 시장에 공급되는 IoT 기기의 수(보안 기능의 유무를 고려하지 않은 기기의 총합)가 2014년 90억 대에서 2020년에는 300억 대까지 증가할 것이라 내다본다.)

메흐라는 “또는, IoT 벤더들이 리스크를 안고 비즈니스를 밀고 나가, 결국 장렬히 전사하는 상황을 떠올려볼 수도 있을 것”이라고 덧붙였다.

타네자는 “그러나 정작 IoT 기기 제조사들이 보안 문제를 다루려 하면, 이 새로운 테크놀로지 유형에 ‘어떤 보안이 필요한지’를 이해하는 것부터 어려움으로 다가온다. 예를 들어 웨어러블 기기를 생각해보면, 관련 데이터의 소유권을 누가 가질지 등의 여부조차 애매한 부분이 많다. 제조사의 문제가 아닌, 보안 산업 자체가 아직 새로운 모델을 생각해보지 않고 있는 상황이다”라고 설명했다.

스라이는 자신 또한 이런 우려로 아직 새로운 웨어러블 기기들을 이용하지 않는다고 말했다. 스라이는 “기업들은 새로운 정보 수집과 그를 통한 수익 창출 수단을 개발했지만, 사용자들은 아직 그것을 제제하고 통제할 여지를 얻지 못했다. 이제는 우리가 모르는 사이 우리의 몸이 ‘정보의 금광’으로 이용되어버릴 수 있는 것이다”라고 지적했다.

물론 이런 일방적인 이용만이 가능한 것은 아니다. 패널들을 포함한 행사의 참가자들은 IoT 벤더들이 사용자 데이터를 탐구함과 동시에 그에 기반해 사용자들에게 가치 있는 피드백을 전달할 것이라는데 동의했다. (스마트 칫솔이 제공하는 정보를 통해 의료 비용을 절약하고 칫솔질의 문제점을 확인한다는 사례가 예시로 언급됐다)

메흐라는 의료 업계에서의 의료정보보호법(HIPAA) 개정 사례를 설명하며, IoT에 대한 인식이 조금 더 확산되어가며 그 속에서 사용자들의 데이터를 보호하고 그들에게 통제권을 부여할 규제 장치가 마련될 것이라 전망했다.

타네자는 “하지만 사실 이런 논의가 대부분의 일반 사용자들에겐 그리 중요하게 들리지 않을 것이다. 그들은 오히려 새롭게 마련되는 규제를 더 귀찮게 여길지도 모르겠다. 페이스북이나 구글에 가입하며 확인해야 하는 동의 조항들도 귀찮아하는 사용자들이, ‘칫솔 사용 동의’를 반가워할까?”라는 의견도 내비쳤다. ciokr@idg.co.kr