틱톡과 관련된 미국 정부의 움직임은 미국의 IT 업계 전체에 지대한 영향을 미칠 가능성이 높다. 그렇기에 이 사안을 강 건너 불 구경 하듯이 볼 수만은 없는 게 미국 IT 리더들의 상황이다. 이들은 어떤 마음으로 이 사안을 지켜보고 있을까?

[보안뉴스 문정후 기자] 지난 3월 23일 소셜미디어 틱톡(TikTok)의 CEO 쇼우 지 츄는 미국 의회에서 청문회 시간을 가졌다. 보안 업체 룩아웃(Lookout)의 부회장 프랭크 존슨(Frank Johnson)은 “틱톡이 제시한 보안 및 프라이버시 강화 방침에 미국 의회가 만족하지 못했다는 것이 확실해졌다”고 청문회가 끝난 이후 말했다.


[이미지 = utoimage]

틱톡이라는 영상 공유 앱은 현재 국가 안보, 데이터 프라이버시, 국제 프라이버시 보호법 등이 모두 얽혀 있는 복잡한 문제의 중심에 서 있다. 이런 문제의 해결책으로 미국 의회는 틱톡의 사용 금지라는 규정을 원하고 있지만, 사실 이게 말처럼 쉬운 건 아니다. 뜨거운 논쟁거리인 틱톡 사건을 IT 분야의 종사자들은 어떻게 바라봐야 할까? 여섯 명의 데이터 보안 전문가들이 여기에 답했다.

데이터 프라이버시와 국가 안보
틱톡은 플랫폼을 통해 수집한 각종 사용자 정보를 중국 정부와 공유하는가? 틱톡이라는 앱에서부터 무려 국가 안보 문제가 불거지는 건 바로 이 질문 때문이다. 당연히 공청회를 통해서도 나온 질문이고, 츄는 데이터 공유 행위가 절대로 일어나지 않는다고 밝혔다. “틱톡은 미국 사용자 데이터를 공유해 달라는 중국 정부의 요청을 받은 적도 없고, 스스로 공유한 적도 없습니다. 그런 요청이 들어와도 틱톡 측에서는 응하지 않을 겁니다.”

하지만 틱톡은 중국의 기업 바이트댄스(ByteDance)가 소유한 기업이다. 중국 정부가 정보를 달라고 요구할 때 츄의 말처럼 그리 간단히 싫다고 할 수 없다. 반면 중국 정부와 틱톡이 데이터를 은밀히 거래하고 있다는 증거가 아직까지 나온 바 없는 것도 마찬가지다. HIPAA 규정 준수 솔루션 전문 업체 클리어워터(Clearwater)의 최고 리스크 관리자인 존 무어(Jon Moore)는 이 점에 대해 “미국 첩보 기관이 미국의 소셜미디어들과 얼마나 활발히 교류하고 있는 걸 우리 모두가 알고 있다”며 “중국 정부라고 가만히 있을 리 없다”고 말한다.

또 다른 보안 업체 사이버쉬스(Cybersheath)의 CEO인 에릭 누난(Eric Noonan)은 “틱톡은 전 세계적인 첩보 수집 네트워크로 봐야 한다”며 “일반적인 데이터 프라이버시는 물론 국가 안보 위협이 되는 것도 맞는 말”이라는 의견이다.

물론 틱톡 앱이 유난스럽게 사용자 데이터를 수집한다거나, 세상 다른 모든 소셜미디어가 결백한데 틱톡만 그렇지 않다는 건 아니다. 클라우드 SaaS 플랫폼인 KSOC의 CEO 브룩 모타(Brooke Motta)는 “소셜미디어 앱들은 사용자들에 대한 정보를 대량으로 수집한다”며 “보다 정확한 광고를 노출시키기 위해서는 어쩔 수 없는 선택”이라고 말한다. “광고야 말로 소셜미디어들의 수익 모델이지요.”

트위터와 메타, 구글, 아마존 등 빅테크라고 불리는 기업들 모두가 데이터를 모으고, 이를 바탕으로 거대한 수익을 낸다. 그렇다면 이들은 국가 안보에 위협이 되지 않는 걸까? 전 백악관 법률 고문이자 데이터 보안 업체 테온테크놀로지(Theon Technology)의 데이터 보안 고문인 브라이언 커닝햄(Bryan Cunningham)은 “그런 기업들은 미국 기업이기 때문에 미국이라는 국가에 위협이 될 만한 일을 한다고 생각하기 힘들다”고 말한다. “그런 빅테크 기업들은 미국 편이죠.”

커닝햄은 “그래서 틱톡이 중국에 중요한 정보를 제공한다는 정보가 아직까지 나오지는 않았지만 그럼에도 기업들은 능동적으로 틱톡 상황을 지켜봐야 한다”고 말한다. “미국 기업들은 현재 중국과 미국의 관계가 극도로 좋지 않다는 것을 기억해야 합니다. 중국은 언제라도 미국 기업들과 사용자들을 침해할 장치를 미국 사회에 심어두었다는 것까지는 염두에 두고 있는 것이 좋을 겁니다. ‘틱톡은 나쁘다’고 아직 결론이 난 건 아닙니다만, ‘틱톡은 위험하다’는 충분히 내릴 수 있는 결론입니다.”

국제 프라이버시 보호법
데이터가 국경을 넘나들 때 발생하는 문제 역시 틱톡 논쟁에서 중요한 위치를 차지하는 주제가 된다. 지역마다 다른 기준을 세우고 있기 때문에 나오는 논란이다. 예를 들어 유럽의 경우, 미국과 가까운 사이이지만 프라이버시와 개인정보를 다른 방식으로 취급하기 때문에 종종 ‘데이트의 국경 초월’ 문제로 미국 기업들과 분쟁하기도 한다.

“간단히 설명하면 유럽은 개인정보를 개인의 재산으로 보고, 미국은 제한 조건이 있긴 하지만 개인정보를 정보 수집 주체(기업)의 자산으로 봅니다.” 무어의 설명이다. “미국이 유럽의 시각을 좀 더 광범위하게 도입할 경우, 미국의 테크 산업은 적잖은 타격을 입을 겁니다. 특히 소셜미디어와 모바일 앱 기업들이요. 이런 기업들은 개인의 정보를 모아서 돈을 버는 걸 주력으로 하거든요.”

하지만 결국 세계는 개인정보를 개인의 재산으로 인정하는 방향으로 흘러갈 가능성이 높다고 모타는 말한다. “시간이 어느 정도나 걸릴 지는 잘 모르겠습니다만 결국 유럽연합의 방향을 취하는 나라들이 많아질 겁니다. 미국만 해도 캘리포니아 주에서 GDPR과 비슷한 법을 시행하고 있지요. 호주에서도 호주 버전의 GDPR이 존재하고요.”

무어는 “이번 틱톡 논쟁과 관련하여 새로운 규정이 만들어지고 시행될 가능성이 높다”며 “틱톡을 통해 드러난, 보다 커다란 문제들에 대한 규정이 될 것”이라고 내다보고 있다. “미국의 적대국인 러시아나 중국의 기술(각종 하드웨어와 소프트웨어, 서비스 등)에 미국인이나 조직의 데이터를 노출시키는 것이 크게 제한될 것이라고 개인적으로 예측하고 있습니다. IT 조직의 지도자들은 이러한 미래에 대비해 미리부터 방안을 마련하는 게 좋을 것으로 보입니다.”

틱톡, 금지될까?
여러 가지 논쟁 때문에 앱 자체가 금지된 사례가 없지 않다. “사실 중국 정부는 페이스북과 트위터를 국가을 위협한다는 이유로 중국에서 금지시킨 지 오래입니다. 미국은 오히려 여러 절차를 민주적으로 밟고 있기 때문에 더 주목을 끌고 있지, 중국은 조용히 단칼에 금지시켰습니다. 국민들에게 그 어떤 질문도 하지 않았고 그 어떤 항의도 접수하지 않았습니다.” 누난의 설명이다.

미국 정부가 현재 틱톡의 금지를 최우선 과제로 삼고 있는 건 아니다. 바이든 행정부가 가장 원하는 시나리오는 바이트댄스가 틱톡 지분을 미국 기업에 판매하는 것이다. 하지만 그런 일이 일어날 가능성이 극히 희박해 보인다는 게 커닝햄의 설명이다. “그래서 금지 얘기가 제일 앞선에서 이야기 되는 겁니다. 바이트댄스가 틱톡의 지분을 미국 기업에 넘길 거라고 상상이 가질 않으니까요.”

그렇게 해서 정말로 틱톡 금지 처분이 미국에서 진행된다고 했을 때, 그 과정은 어떻게 진행될까? 존슨은 “각종 법적인 문제에 시달리게 될 것”이라고 예측한다. “미국 수정헌법 제1조의 ‘표현의 자유’가 가장 큰 걸림돌이 될 것이 자명해 보입니다. 틱톡을 금지시키는 것이 표현의 자유를 훼손하는 일이 아니라는 것을 법원에서 증명하고 납득시켜야 하는 게 첫 번째 과제가 되겠지요. 설사 이 부분을 통과했다고 하더라도 틱톡 팬들은 우회 접속하는 법을 연구해 성공시킬 것인데, 그럼 이제 미국 정부는 이 우회 접속 가능성까지 기술적으로 차단해야 한다는 난제를 맞닥트리게 됩니다.”

누난은 “미국의 IT 관련 전문가들과 조직들은 금지가 성공적으로 될 것을 상정하고 미래를 준비해야 할 것”이라는 입장이다. “틱톡 금지는 그리 간단한 문제가 아닙니다. 그렇기 때문에 성공적으로 금지가 이뤄진다고 한다면, 여러 다른 문제들에 대한 규정도 새롭게 수립된 이후가 될 것입니다. 이미 지난 수년 동안 여러 정부 기관들은 규정만이 보안을 강화시키는 유일한 방법이라는 걸 깨달아 왔습니다. 자율에 맡기는 경우의 수 같은 건 앞으로 거의 남아 있지 않다는 것이죠. 틱톡을 금지시키기 위해 다양한 규정들이 등장할 것이고, 이는 틱톡만이 아니라 미국의 여러 기업들에 지대한 영향을 미칠 것이 분명합니다. 틱톡과 관련된 새 규정들에 깊은 관심을 가져야 할 수밖에 없습니다.”

무어는 “틱톡 금지가 법적으로 완료된다면, 다른 기업들에도 영향이 있을 것”이라는 누난의 말에 동의한다. “누군가는 반사 이익을 거둘 것이고, 누군가는 덩달아 피해를 입을 것입니다. 규정이 나올 때마다 언제나 그랬지요. 특정 기업을 딱 꼬집어 처벌하고 불이익을 주는 규정을 만든다는 건 대단히 어려운 일입니다. 포괄적인 표현을 담아내야 하는 게 규정이고 법이니까요. 엉뚱한 피해자가 나올 가능성이 다분하고, 그런 피해자가 되기 싫다면 이 사태가 어떻게 흘러가는지 잘 지켜봐야 합니다.”

IT 리더십, 어떻게 대처해야 하는가?
존슨은 “지금 틱톡의 상황을 틱톡만의 문제로 보는 건 대단히 단시안적인 생각”이라고 지적한다. “틱톡을 견제하기 위해 수많은 사회적 장치들이 새롭게 고안될 수밖에 없습니다. 그리고 그 장치들은 넓직하게 영향력을 발휘할 것이고요. 예를 들어 틱톡을 금지한다고 미국 정부가 틱톡만을 꼬집어서 규정을 만들면 그건 미국이 독제 체제와 유사한 길을 가는 것이기 때문에 어마어마한 반대에 부딪힐 겁니다. 그래서 미국 정부는 틱톡이 부실한 부분들을 찾아 법적으로 견제해야 합니다. 틱톡이 지키기 힘든 프라이버시 보호 법이나 데이터 보안 법을 만드는 것이죠. 그 새 규정들은 틱톡과 비슷한 수준으로 프라이버시와 데이터를 보호하던 기업들에 재앙처럼 다가갈 것입니다.”

물론 미국 정부가 어떤 법안을 만들어 틱톡을 공략할 것인지는 아직 윤곽조차 드러나지 않은 상황이다. 그렇기에 CIO들이나 CISO들이나 구체적으로 어떤 미래를 준비해야 하는지 아무도 정확히 짚어줄 수 없다. 커닝햄은 “일단 업무 관련 모바일 장비에 틱톡을 설치하지 않는 것부터 시작해야 하지 않겠냐”는 입장이다. “틱톡과 관련된 모든 행위들(설치 및 사용)이 데이터 보안 법에 걸릴 가능성이 높아 보이기 때문입니다.”

자산 관리 플랫폼 아르미스(Armis)의 부회장 톰 구아렌테(Tom Guarente)는 “보다 엄격한 규정들에 적응하기 위해서는 기업들이 내부적으로 보유하고 있는 모든 장비와 소프트웨어들을 빠짐없이 알고 있어야 한다”고 말한다. “모든 장비의 이름, IP 주소, 물리적 위치, 관리자 및 담당자, 장비가 다루는 데이터 등을 죄다 알고 있어야 그 어떤 데이터 규정에도 유연하게 대처할 수 있습니다. 그 작업을 먼저 하는 게 좋아 보입니다.”

글 : 캐리 팔라디(Carrie Pallardy), IT 칼럼니스트
[국제부 문정후 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>