로봇청소기 몰카 위협 증가...IoT 보안 제도 재정비 필요성 커져
로봇청소기에 탑재된 IoT 카메라에 대한 보안 위협이 날로 커지고 있다. 이에 따라 IoT 보안 수준을 높이기 위해 모든 제품에 적용할 수 있는 최소 보안기준을 마련하고, 위험도에 따라 보안인증을 차등 의무화해야 한다는 문제 제기가 이목을 끈다. 국회 입법조사처는 최근 보고서를 통해 현재 IoT 보안인증이 자율인증 중심으로 운영되고 있어 보안 수준을 지속적으로 높이는 데 한계가 있다고 지적했다. 정부는 IoT 기기 종류와 기능, 네트워크 접속 방식 등이 다양해 공통 보안기준을 마련하기 어렵다는 입장이나, 보고서는 이는 획일적인 고도화 기준 적용이 어렵다는 의미일 뿐 기본적인 보안 조치까지 제외해야 하는 근거는 아니라고 꼬집었다. 즉, 모든 IoT 기기에 공통 적용할 수 있는 최소 보안기준을 정보보호지침에 포함할 필요가 있다 주장이다. 예컨대 범용 디폴트 비밀번호 사용 금지, 제조사의 보안 취약점 신고 연락처 공개, 보안 업데이트 지원기간 공개 등을 대표적인 최소 보안요건으로 꼽았다. 보고서는 IoT 보안인증 체계도 위험도에 따라 차등 적용해야 한다고 강조했다. 의료·교통 등 해킹 사고 발생 시 국민 생명과 안전에 미치는 영향이 큰 고위험 IoT 기기는 정보통신망법 개정을 통해 보안인증을 의무화하고, 위험도가 낮은 기기는 제조사가 자체 점검한 결과를 인증기관이 확인하는 간편인증 제도를 도입하는 식이다. 이와 같은 단계적 의무화가 중소 제조업체의 부담을 줄이면서도 실질적인 보안 수준 향상에 도움이 될 것으로 전망이다. 아울러 주요 국가와의 인증 상호인정을 확대하고, IoT 보안인증 제품을 공공조달 우선구매 대상에 포함하는 등 인증 취득에 따른 인센티브를 강화할 필요성도 제기됐다. 이밖에 제품 출시 이후 사후관리 체계도 보완하는 방안도 검토 사안에 포함됐다. 입법조사처는 “새로운 보안 취약점이 지속적으로 발견되는 만큼 정보통신망법에 IoT 기기 보안 실태점검 권한을 명확히 규정할 필요가 있다”면서 “특히 국민 안전과 개인정보에 미치는 영향이 큰 기기를 중심으로 실태점검을 실시하고, 보안 취약점이 확인될 경우 개선명령과 리콜, 이행 결과 제출 요구, 결과 공표 등 후속조치를 할 수 있는 법적 근거를 마련해야 한다”고 강조했다.
