Offcanvas

보안

강은성의 보안 아키텍트ㅣ생체인식기술과 글로벌 규제 (1)

2023.09.18 강은성  |  CIO KR
이 고도로 발달한 IT 시대에 가끔 인감증명서를 떼 오라는 곳이 있어서 주민센터에 가곤 한다. 그래도 어느 동네의 주민센터에서도 떼 주는 것은 IT가 발전한 덕이다.

하지만 인감증명을 떼기 위해 손가락을 지문인식기에 올려놓고, 담당자가 시키는 대로 손가락을 위 아래로 옮기며 지문인증을 하다 보면 다시 “이 고도로 발달한 IT 시대에 아직도~” 라는 말이 절로 나온다. 스마트폰, 노트북, 태블릿 등 일상에서 사용하는 기기에서는 정확도가 “고도로 발달한” 지문인증을 쓰고 있으니 말이다. 
 
그림1. 2021~2028년 전 세계 생체인식 시장 규모 ⓒ 정보통신산업진흥원, 「ICT Global Market Analysis: 품목별 ICT시장동향-생체인식」, 2021.12.

한 시장조사업체에 따르면, 세계 생체인식 시장 규모는 2021년부터 2028년까지 연평균 15%씩 성장하여 2028년에는 1050억 달러(약 140조 원)에 이른다고 한다. 

생체인식기술 시장의 성장은 ▲생체인식기술의 발달로 정확도가 높아지고, ▲트러스트존(TrustZone)과 같은 안전한 저장소가 스마트폰뿐 아니라 노트북, 가전 등 다양한 기기에 탑재되며, ▲FIDO(Fast IDentity Online)와 같은 ‘사실상의 표준’ 제정을 통해 온라인 사용자 인증을 위해 생체인식정보가 저장된 기기에서 외부로 전송될 필요가 없어지는 등 보안성과 편의성이 동반 강화(Usable security)된 것이 그 토대가 된 듯싶다.

그럼에도 생체인식정보는 지문, 얼굴, 홍채 등을 기술적으로 처리하여 생성되므로 ▲생체인식기술 정확도의 한계가 있고, ▲‘유일성’과 ‘불변성’의 속성이 있어서 유출 등 사고가 발생하면 피해가 크고 변경하기 어려우며, ▲얼굴인식 등을 통해 사람을 감시하고, 프라이버시를 침해할 수 있는 등 인권 침해적 요소가 존재하기도 하여 생체인식기술의 확산을 제약하는 요소로 작용한다. 세계 각국에서 생체인식기술에 대한 규제를 만드는 주요 이유이기도 하다.

우리나라 개인정보보호법 하위 고시인 ‘개인정보의 안전성 확보조치 기준’(개인정보보호위원회 고시, 2021.9.15)에서는 ‘생체정보’와 ‘생체인식정보’를 다음과 같이 정의한다.
 

제2조(정의)
16. "생체정보"란 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 인증ㆍ식별하거나 개인에 관한 특징을 알아보기 위해 일정한 기술적 수단을 통해 처리되는 정보를 말한다.

16의2. "생체인식정보"란 생체정보 중 특정 개인을 인증 또는 식별할 목적으로 일정한 기술적 수단을 통해 처리되는 정보를 말한다.
 

이 정의에 따르면, ‘생체정보’ 중에 ‘인증’(이용자를 확인하기 위해 입력한 생체정보를 사전에 저장된 정보와 대조, Authentication)과 ‘식별’(개인의 생체정보를 데이터베이스에 저장된 다수 생체정보와 대조하여 여러 사람 중 특정 개인을 구분하여 확인, Identification)을 목적으로 사용하는 것은 ‘생체인식정보’이다. 개인의 감정 인식, 사람의 분류 등을 위해 사용되는 생체정보는 생체인식정보에 포함되지 않는다.
 
그림2. 생체정보와 생체인식정보 ⓒ 개인정보보호위원회, 「생체정보보호 가이드라인」, 2021.9.

「생체정보보호 가이드라인」(개인정보보호위원회, 2021.9.)에서는 기술적 수단의 처리 대상이 되는 ‘원본정보’와 처리 결과인 ‘특징정보’를 구별한다. 사용자 식별이나 인증을 위해 얼굴을 카메라로 찍어 사진이나 영상을 처리한다고 하면, 그 사진이나 영상은 ‘원본정보’이고, 그로부터 기술적 처리를 통해 생성된 정보는 ‘특징정보’이다. 생체인식정보를 ‘원본정보’와 ‘특징정보’로 분류한 것은, ‘특징정보’만을 ‘생체인식정보’(Biometric data)로 정의한 유럽연합 개인정보보호법(GDPR)과는 차이가 있다.

또한 가이드라인에서는 ‘생체인식 특징정보’가 개인정보보호법에서 정의한 민감정보(시행령 제18조(민감정보의 범위) 제3호)의 하나라고 설명한다. 민감정보는 정보주체에게서 명시적 동의를 받거나 법령에서 처리를 요구·허용할 때만 처리할 수 있다(법 제23조). 개인정보를 정보주체의 동의 없이 처리할 수 있는 여러 요건(법 제15조(개인정보의 수집ㆍ이용) 제1항 제2호~제7호)있는 데 비해 민감정보는 더 엄격하게 규제하는 것을 알 수 있다. 

규제는 법과 정부 정책(행정규칙, 가이드라인), 주요 표준(국제 표준, 사실상 표준 등)으로 분류할 수 있다. 가장 강력한 규제는 역시 법률이다. 생체인식정보를 규제하는 세계 주요 법률은 다음 그림 3과 같다. 
 
그림 3. 생체인식정보률 다루는 글로벌 법률 ⓒ 강은성 교수

법률에서 생체인식정보를 규제하는 방식은 다음 3가지로 나눌 수 있다.
1. 생체인식정보를 민감정보의 한 종류로 정의하여 규제. 
2. 생체인식정보를 별도로 규제
3. 생체인식정보 중 얼굴인식정보에 대해 규제
(10월에 2편으로 이어집니다) 
     
* 강은성 교수는 국내 최대 보안기업의 연구소장과 인터넷 포털회사의 최고보안책임자(CSO)를 역임한 정보보호 및 개인정보보호 전문가다. 현재는 서울여자대학교 정보보호학과 조교수로 있다. 저서로 「IT시큐리티」(한울, 2009)와 「팀장부터 CEO까지 알아야 할 기업 정보보안 가이드」(한빛미디어, 2022) 등이 있다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.