영국 IoT 보안 규제, 소비자에게 더 안전한 연결 기기 요구권 부여

영국 정부가 IoT(사물인터넷) 기기에 대한 포괄적인 규제 프레임워크를 추진 중이며, 이는 급속히 확장하는 IoT 생태계를 보호하기 위한 전 세계적 흐름에 부합한다고 DigiCert의 IoT 보안 부문 부사장 마이크 넬슨(Mike Nelson)은 전합니다.

수년간 IoT 제품들은 치명적인 취약점을 안고 시장에 출시되어 왔습니다. 해킹 가능한 자동차부터 원격 감시 도구로 악용되는 인형, 그리고 미라이(Mirai) 봇넷처럼 인터넷 핵심 인프라를 위협한 대규모 사고까지 새로운 위협 벡터를 양산했습니다. 이러한 위험이 영국의 규제 대응을 촉발했습니다.

새 규제는 2018년 실천 강령 '설계 단계부터 보안 확보(Secure by Design)'를 기반으로 합니다. 이는 제조사와 소비자에게 모범 사례 가이드라인을 제시했으며, 안전한 자격 증명 저장, 공격 표면 최소화, 지속적인 소프트웨어 무결성 및 업데이트, 암호화된 통신 등을 포함합니다.

2018년 강령은 자발적 준수를 목적으로 했으나, 정부는 이제 핵심 조항을 의무화하기로 했습니다. 규제 당국은 최소 세 가지 핵심 요구사항을 강제할 예정입니다.

세 가지 지침

첫째, IoT 기기 비밀번호는 고유해야 하며 공장 초기화 값으로 재설정될 수 없어야 합니다. 이는 공격자가 기본 자격 증명을 악용하는 위험을 원천 차단합니다.

둘째, 제조사는 취약점 신고를 위한 공개 연락처를 게시해야 하며, 보안 결함의 신속한 신고와 수정을 가능하게 해야 합니다.

셋째, 기기 제조사는 보안 업데이트가 제공되는 최소 기간을 공개해야 하며, 소비자가 기기 폐기나 추가 보안 조치 시점을 명확히 알 수 있도록 해야 합니다.

이 기준을 충족하는 기기는 정부 승인 보안 인증 마크를 표시할 수 있어 소비자에게 신뢰를 알립니다.

IoT 보안 책임의 소비자 이전

과거에는 제조사(때로는 기업 보안 팀)가 기기 보안 책임을 졌습니다. '설계 단계부터 보안 확보' 인증은 의사결정 권한을 최종 사용자에게 이전하여, 구매자가 보호 네트워크에 기기를 통합하기 전에 위험을 평가할 수 있게 합니다.

소비자가 구매 결정 시 보안을 고려하면 제조사는 비용 절감이 아닌 혁신을 추구하게 됩니다. 과거에는 보안 소홀이 더 저렴했지만, 이제 보안이 시장 차별화 요소가 될 수 있습니다.

이 계산은 너무 늦게 이루어져 왔습니다. 지금까지 제조사에게는 당근과 채찍 모두 부족했습니다. 새 규제가 모든 취약점을 제거하진 못하지만, 선제적 보안 설계를 장려하는 건설적 프레임워크를 제공합니다.

저자: 마이크 넬슨(Mike Nelson), DigiCert IoT 보안 부문 부사장

저자 소개

마이크 넬슨은 디지털 보안 분야 글로벌 기업 DigiCert의 IoT 보안 부문 부사장입니다. 그는 의료, 운송, 산업 운영, 스마트 그리드 및 스마트 시티 구현 전반에 걸친 중요 인프라 산업의 전략적 시장 개발과 민감한 네트워크 및 IoT 기기 보안을 총괄합니다. 넬슨은 조직 자문, 미디어 기고, 산업 표준 기구 참여, 컨퍼런스 연설 등을 통해 기술이 중요 시스템과 이를 의존하는 사람들의 사이버 보안을 어떻게 개선할 수 있는지 논의합니다.

넬슨은 미국 보건복지부, GE 헬스케어, 리빗 파트너스(Leavitt Partners) 등에서 헬스케어 IT 경력을 쌓았습니다. 제1형 당뇨 환자로서 본인의 치료에 연결 기술을 활용한 개인적 경험이 이 분야에 대한 열정의 원천입니다.