최근 IoT 보안 규제의 실효성 평가: 주요국 입법 현황과 한계

전 세계 정부가 IoT 보안 강화를 위한 규제 입법을 서두르며 시장 성숙을 알리고 있다. 하지만 IoT 환경을 규율하는 일은 복잡하다. 각 법안마다 내용이 다르고, 그 효과가 향후 정책을 가늠할 척도가 된다. 펜 테스트 파트너스(Pen Test Partners) 파트너 켄 먼로(Ken Munro)는 "진정한 잣대는 이 규칙들이 얼마나 잘 채택됐는지, 어디에서 성공하고 어디에서 부족한지에 있다"고 설명한다.

1. 미국 'IoT 사이버보안 개선법안 2017(IoT Cybersecurity Improvement Act of 2017)'
   연방 기관이 사용하는 기기 보안을 목적으로, 알려진 NIST 취약점 데이터베이스에 등재된 취약점이 없어야 하고, 무선 펌웨어 업데이트(OTA) 지원, 원격 관리용 고정·하드코딩 자격증명 사용 금지, 취약점 신속 공개·수정 의무화를 담고 있다. 그러나 NIST 항목 중심이라 고객 대면 앱의 SQL 인젝션 등 일반적 결함은 놓칠 수 있다. 자격증명 없이 작동하는 RF 프로토콜 기기는 재설계가 강제된다. 아직 입법되지 않았으며, 스마트 IoT 법안, DIGIT 법안, 시큐리티 IoT 법안, 사이버 실드 법안, IoT 소비자 팁스 법안 등이 함께 논의 중이다.
2. EU '사이버보안법(Cybersecurity Act)'
   2018년 5월 발효. ENISA를 EU 사이버보안 기구로 지정하고, 커넥티드 카·스마트 제품에 대한 자발적 인증 체계를 전 회원국에 마련했다. 중요 국가 기반시설(Critical National Infrastructure)에만 적용된다. 제조사는 '기본', '상당', '높음' 등급으로 인증 신청 가능. '기본' 등급은 자체 적합성 시험 허용, ENISA는 보안 개선 경고 발령 가능. 집행 메커니즘 미명시, 업데이트·취약점 공개 의무화는 선택 사항. 내부고발·책임 있는 공개는 EU 전역에서 보장된다.
3. 미국 캘리포니아주 'SB-327'
   2018년 8월 통과, 2020년 1월 시행. 미국 주 최초로 스마트 기기 기준 보안 규정을 뒀다. "보호를 위해 설계된 적절한 보안"이라는 모호한 표현으로 제조사가 실질적 보호장치 없이 의도만 주장할 여지가 있다. 고유 비밀번호 의무화했으나 엔트로피 소스는 미규정. 소매업체 면제로 법 시행 전 비준수 기기 유입 우려. 업데이트 지원 의무 없음.
4. 영국 '소비자 IoT 보안 실천 강령(Code of Practice for Consumer IoT Security)'
   디지털·문화·미디어·스포츠부(DCMS) 발행, GDPR 반영. 제조사·앱 개발자·서비스 제공자·소매업체 대상 자발적 가이드라인. 기본 비밀번호 금지, 자격증명·민감데이터 안전한 저장, 소프트웨어 업데이트 권장. 취약점 공개 정책 권고하나 패치 배포 강제는 아님. 그럼에도 소비자 IoT 보안 향상의 의미 있는 첫걸음.

현재 접근은 소프트 규제(soft regulation) 기조로, 자발적 준수 여부가 관건이다. IoT 벤더는 치열한 시장 압력에 직면해 있으며, 자발적 준수엔 명확한 인센티브나 제재가 필요하다. 소비자에게 취약 스마트 기기 반품·환불 권리 부여(통상 기준법 활용), 소매업체가 준수 제품만 취급하도록 유도, 제조사가 인증 제도 참여·제품 시험 의무화 등으로 시장 주도 압박이 가능하다.

자율 규제의 효과를 판단하기엔 아직 이르다. 입법이 안착하고 업계가 적응할 시간을 둔 뒤, 추가적 징벌 조치 필요성을 가늠해야 한다.

켄 먼로, 펜 테스트 파트너스 파트너. 영국·미국 정부 부처 정기 브리핑, EU 소비자 위원회 IoT 규제 자문 역임.