4차 산업혁명에 따른 경제 사회 변화 대응을 위한 미래 전략 연구 A Study on the Future Strategy for the Economic and Social Changes Triggered by the Fourth Industrial Revolution

PSD2의 후속조치 중 하나인 규제기술표준(The Regulatory Technical Standard: RTS)은 2018년 3월 확정되어 일정 기간의 준비기간을 거쳐 2019년 9월부터 시행될 예정으로 고객 인증 및 보안 요건과 정보 교환방식 등을 담고 있다. 규제기술표준은 은행과 제3자 결제서비스 제공자(Third Party Payment Service Providers)들 사이에 API에 대한 최소한의 요구사항을 정하여 계좌정보에 접근하도록 하고 있다. 또한 핀테크 기업이 은행 API를 이용할 수 없는 경우, 은행들이 데이터에 접근할 수 있는 다른 방법을 허용하도록 요구하고 있다. 고객 인증은 소비자 보호를 위하여 지식기반(비밀번호 등), 소지기반(보안카드 등), 본인의 생체정보(지문, 홍채 등) 이렇게 3가지 인증 요소를 최소 기준으로 설정하고 이 중 2가지를 혼합하여 인증을 요구하도록 이중 인증 체계 도입을 의무화했다. 먼저, 데이터의 활용 활성화에 필요한 인프라 구축을 해야 한다. 금융데이터의 공유 및 활용을 보다 활성화하기 위해서는 공공 ․ 민간의 다양한 플레이어가 참여할 수 있는 데이터 생태계가 조성되어야 한다. 이를 위해 신용정보원의 ‘금융 빅데이터 개방시스템’, 금융보안원의 ‘데이터 거래소’, 금융결제원의 ‘은행권 공동 오픈플랫폼’을 유기적으로 연계하여 데이터 활성화 지원 인프라를 확장하는 것이 필요하다. 이와 함께 데이터 소유권(data ownership)에 대한 논의의 장을 제공할 필요가 있다. 데이터 소유권에 대한 법적 쟁점을 활발히 논의하고 이에 대한 해결책을 모색함으로써 금융 분야의 발전 및 그 혜택의 고른 향유를 기대할 수 있을 것이다. 데이터 소유권과 관련된 법률을 규정한 국가는 아직 없다. 다만, 개인정보보호 관련 법률에 정보 주체에게 데이터와 관련된 권리가 일부 규정되어 있다. 현재는 적법한 절차를 통해 수집한 데이터의 경우 데이터 집적자가 사실상의 소유권을 가지게 된다. 그런데, 최근 사업자간 협력을 통해 하나의 서비스제공이 이루어지는 등의 환경변화로 데이터 집적자의 통제력이 줄어들면서, 법률상 데이터 소유권에 대한 요구가 제기되었다. 미국의 경우 1990년대 후반부터 기존의 정보보호 정책을 ‘정보보증(information assureance) 정책’으로 확장하여 보안 내재화와 더불어 시스템의 신뢰성을 달성하기 위한 각종 대책을 마련해오고 있다. 일례로 미국 정부는 군에 도입되는 전산 시스템에 신뢰성과 보안 내재화를 동시에 확보하기 위한 표준 방법론인 ‘Military Standard 1785 on System Security Engineering(1989년)’을 2016년에 ‘NIST SP 800-160 Systems Security Engineering’이라는 이름으로 연방정부 표준으로 확대하였다. 또한 민간에서는 마이크로소프트와 IBM이 2002년부터 업계 최초로 보안 내재화 및 신뢰성 개념을 자사 제품에 접목하기 시작했다. 마이크로소프트는 소프트웨어 개발 보안의 내재화를 위해 소프트웨어 개발 단계에서부터 보안을 고려해 완성된 결과물의 취약점을 최소화하는 개발 보안 생명주기(SDL: Security Developmet Lifecycle) 프로세스를 개발하였다. 이를 통해 윈도우즈 운영체제의 취약점을 45%이상 감소시켰다. 미국의 ‘사이버 보안 교육을 위한 국가 계획(NICE: National Initiative for Cybersecurity Education)’의 경우 정보보호 업무 종사자나 전공자 뿐만 아니라 초 ․ 중 ․ 고 학생 및 일반인에 이르기까지 전 국민을 대상으로 정보보호 기술 및 인식 수준의 향상을 목표로 정보보호 교육을 실시하고 있으며 이를 토대로 안전한 디지털 국가를 유지하기 위해 힘쓰고 있다. 또한 정부보증 장학생프로그램(ISAP)를 통해 국가의 사이버 안보문제를 해결하고 정부 기관의 정보 및 정보시스템을 사이버 공격으로부터 보호하기 위한 방어 솔루션 연구 개발할 국방부 인력 양성을 위한 장학생 프로그램을 운영중이다. 이 프로그램의 경우 교육기간 동안의 수업료는 물론 졸업후 DoD 관련 기관 및 NSA 등의 취업혜택까지 주어진다. 5G 네트워크에 직접적으로 연동되는 IoT 기기의 경우 최소 하드웨어 사양을 권장하는 가이드라인을 제시한다. 해당 기기에 탑재될 암호모듈 혹은 네트워크 보안 모듈 등이 정상적으로 작동할 수 있도록 하기 위함으로 이러한 최소 하드웨어 요구사항을 만족하지 못하는 경우 암호화 기능 혹은 네트워크 보안 기능 등이 탑재될 수 없음을 사용자에게 알리는 방법을 취할 수 있다. 5G 네트워크에 직접적으로 연동되는 IoT 기기에 대해 네트워크 접근 통제를 적절히 수행할 수 있도록 정보보호 정책을 정의하는 것이 필요하다. 이러한 정책은 해당 IoT 기기를 운영하는 기업에서 정할 수 있으나, IoT 기기의 유형별로 특화된 네트워크 보안 정책을 IoT 기기 제조사에서 제시할 수 있다. IoT 기기가 가지고 있는 데이터의 민감도 및 서비스의 형태에 따라 요구되는 best practice를 참고 할 수 있도록 개발하는 것도 필요하다. IoT 기기가 처음 공급될 때 탑재되는 소프트웨어에 대한 안정성 보장을 위해 구체적인 체계가 마련되어야 한다. 특히, IoT 기기 중 특수임무를 수행하는 형태의 기기 및 5G 환경에서 활용되는 기기의 경우, 직접적으로 접근망에 영향을 줄 수 있는 가능성이 있으므로 이러한 요구사항이 만족되는지 확인되어야 한다. 또한, 해당 IoT 기기의 소프트웨어가 지속적으로 업데이트되고 취약점의 발견 및 제거가 품질관리 및 개선의 형태로 진행되는지 확인되어야 한다. 마지막으로 IoT 기기가 가지고 있는 라이프 사이클을 고려하여 폐기되어야 하는 시점까지 중단 없는 소프트웨어 품질 관리가 이루어지도록 해야 한다. 또한 5G 네트워크에 직접적으로 연동되는 IoT 기기에 대해서는 평가인증제도를 도입하여 해당 망에 연동되어도 안전하다는 인증을 받도록 할 수 있다. 이러한 인증을 진행함에 있어서 해당 기기를 생산하는 기업의 신용평가등을 고려하여, 기기의 폐기 시점까지 기업의 운영이 안정적으로 될 수 있는지를 확인하는 것이 필요할 수 있다. 그리고 IoT 기기의 경우 하드웨어적인 기능적 특성과 함께 이에 설치된 소프트웨어에 대한 고려가 필요하다. 5G 통신망, 커넥티드카, 스마트 의료기기, F-35와 같은 첨단 무기체계 등 국가적으로 중요한 부분에 조달되는 기기의 경우, 고(高)신뢰성이 확보되었는지를 검증할 수 있도록 평가체계의 고도화가 필요하다. 특히 사물인터넷 기기의 진위와 악성 동작을 판단하는 신뢰 증명기술과 하드웨어 기반 백도어(backdoor) 유무를 검증할 수 있는 평가방법 등의 확보가 요구된다. 고신뢰성이 확보된 기기의 경우, 해킹 사고 발생 시 배상책임의 의무를 경감시켜줌으로써 기업 및 기관들로 하여금 적극적인 도입을 유도해야 한다. 또한 보안수준(레벨)이나 물리적인 안전성 등의 안전기준이 다른 여러 가지 사물인터넷 기기에 대한 정합성 및 일관성을 확보(일명, ‘security composition’)하기 위한 전략마련이 필요하다.