IoT 기기 보안 강화…최소 기준 마련과 인증 차등 의무화 필요

로봇청소기 등 사물인터넷(IoT) 기기에 탑재된 카메라를 통한 사생활 침해 위협이 증가하면서, 모든 IoT 제품에 적용 가능한 최소 보안기준을 마련하고 위험도에 따라 보안인증을 차등 의무화해야 한다는 주장이 제기됐다. 국회 입법조사처는 최근 보고서를 통해 현행 IoT 보안인증 체계가 자율인증 중심으로 운영돼 보안 수준을 지속적으로 높이는 데 한계가 있다고 지적했다.

보고서는 정부가 IoT 기기의 종류와 기능, 네트워크 접속 방식이 다양해 공통 보안기준을 마련하기 어렵다는 입장을 보이고 있지만, 이는 획일적인 고도화 기준 적용이 어렵다는 의미일 뿐 기본적인 보안 조치까지 제외해야 하는 근거는 아니라고 강조했다. 모든 IoT 기기에 공통 적용할 수 있는 최소 보안기준을 정보보호지침에 포함해야 한다는 것이다. 대표적인 최소 보안요건으로 범용 디폴트 비밀번호 사용 금지, 제조사의 보안 취약점 신고 연락처 공개, 보안 업데이트 지원기간 공개 등이 꼽혔다.

보고서는 IoT 보안인증 체계도 위험도에 따라 차등 적용해야 한다고 밝혔다. 의료·교통 등 해킹 사고 시 국민 생명과 안전에 미치는 영향이 큰 고위험 기기는 정보통신망법 개정을 통해 보안인증을 의무화하고, 위험도가 낮은 기기는 제조사 자체 점검 결과를 인증기관이 확인하는 간편인증 제도를 도입하는 방식이다. 이 같은 단계적 의무화는 중소 제조업체의 부담을 줄이면서도 실질적인 보안 수준 향상에 도움이 될 것으로 전망된다.

아울러 주요 국가와의 인증 상호인정을 확대하고, IoT 보안인증 제품을 공공조달 우선구매 대상에 포함하는 등 인증 취득에 따른 인센티브를 강화할 필요성도 제기됐다. 입법조사처는 제품 출시 이후 사후관리 체계 보완도 검토해야 한다고 덧붙였다. 새로운 보안 취약점이 지속적으로 발견되는 만큼 정보통신망법에 IoT 기기 보안 실태점검 권한을 명확히 규정하고, 국민 안전과 개인정보에 미치는 영향이 큰 기기를 중심으로 실태점검을 실시한 뒤 보안 취약점이 확인될 경우 개선명령과 리콜, 이행 결과 제출 요구, 결과 공표 등 후속조치를 할 수 있는 법적 근거를 마련해야 한다고 강조했다.