‘창과 방패의 싸움’ 개인영상정보보호법 vs 영상정보 비식별화

[보안뉴스 김성미 기자] “CCTV 설치 증가로 개인의 CCTV 노출 빈도가 하루 50회 이상으로 늘고 있다. 이에 따라 개인의 프라이버시를 보호하는 기술에 대한 수요도 늘고 있다. CCTV 영상 유출 및 배포로 인한 사고가 증가하고 있어서다.”

“개인영상정보는 일반 개인정보보다 민감한 정보다. 파급력이 큰 정보로 프라이버시를 침해할 뿐만 아니라 범죄에 악용될 수도 있다.”


[사진=dreamstime]

CCTV 설치 대수가 증가함에 따라 CCTV 촬영 영상이 무분별하게 유출 및 배포돼 개인영상정보가 노출되는 사고가 급증하고 있다. 이에 따라 개인영상정보보호를 위해서는 촬영된 영상에 얼굴 등 특정 부위를 마스킹해 배포 및 저장할 필요성이 증가하고 있다. 이로 인해 영상보안 분야에서는 다양한 비식별화 기법이 개발되고 있다.

영상 프라이버시 복원 방지 기법

김동칠 전자부품연구원(KETI) 선임연구원<사진>은 KETI의 얼굴 마스킹 기술 성능 시험 결과를 공유했다.

얼굴 마스킹에는 ①블러링 ②모자이크 ③제거·변형 ④암호화 등 4가지 방법이 주로 쓰이는데 장단점이 모두 다르다. 가장 많이 사용되는 방법은 블러링과 모자이크다.

지방자치단체의 통합관제 시스템이나 민간 기업에서도 영상 반출시 많이 사용한다. 블러링은 가우시안 함수를 이용해 시그마 값을 설정함으로서 얼굴 영역을 흐리게 처리하는 기법이다. 다만 한번 마스킹 된 영상으로 원본 영상을 완벽하게 복구할 수 없다는 것이 단점이다.

모자이크는 주어진 블록 사이즈의 밝기를 픽셀의 평균값으로 대체해 얼굴을 식별하지 못하도록 한다. TV 뉴스, 다큐멘터리 등에서 주로 쓰인다. 그러나 딥러닝 기술이 발달함에 따라 디블러링(Deblurring)이나 슈퍼 레졸루션(Super Resolution)을 이용해 블러링되거나 모자이크된 영상을 복원할 수 있다. 이에 따라 개인영상정보보호를 위해 얼굴 마스킹을 적용했더라도 얼굴이 검출되거나 인식되는 문제가 있다.

또 다른 개인영상정보 기법인 제거·변형 방법은 감시 대상의 얼굴 영역을 검출한 후, 얼굴 영역을 영상에서 완전히 제거하거나 이를 변형해 개인의 프라이버시를 보호하는 것으로, 한번 제거·변형된 영상은 원본 영상 복원이 불가능하다. 암호화는 프라이버시 영역인 얼굴 영역을 검출해 마스킹해도 합법적인 복원에 의한 언마스킹이 가능하지만, 암호화키 유출에 대한 추가 보안이 필요하다.

김 선임은 프라이버시 처리를 했더라도 다시 복원되는 문제를 해결하기 위해서는 블러링을 통한 얼굴 마스킹 적용의 경우 얼굴 검출 및 인식이 되지 않기 위한 시그마 값을 설정해야 한다고 강조한다. 모자이크를 위한 블록의 크기도 적절한 값으로 설정해야 한다.

이를 위해 KETI는 개인영상정보를 보호할 수 있는 가우시안 함수의 시그마 값과 블록 사이즈 값을 도출하기 위해 다종의 얼굴인식 클라우드 API와 메사추세츠 대학에서 제공하는 FDDB(얼굴인식 데이터베이스) 데이터 세트를 이용해 성능 실험을 진행했다. 실험 방법은 원본 얼굴 이미지를 시그마와 블록 크기를 0~15까지 변화시켜 적용한 얼굴 이미지와 각각 비교해 얼굴인식률을 측정하는 방식이다.

실험 결과 블러링을 위한 시그마 값과 모자이크를 위한 블록 사이즈 값을 각각 15 이상으로 설정하면 얼굴 검출이나 인식을 할 수 없어 개인영상정보를 완전하게 보호할 수 있는 것으로 파악됐다. 블러링과 모자이크가 강하게 적용된 이미지일수록 이미지의 화질 손실이 낮았고, 마스킹 형태에 따른 얼굴인식 성능 변화는 없었다.

차별화된 영상 비식별화로 韓 시장 보호
최근 개인영상정보 유출 사고 증가로 인해 기업의 보안 카메라, 홈 IoT 카메라 등 개인 사생활 영상 유출에 의한 프라이버시 침해, 몰래 카메라(몰카)와 같은 범죄가 연이어 발생함에 따라 이를 원천적으로 차단할 수 있는 영상보안 기술에 대한 연구가 활발히 진행되고 있다.


이 가운데 김건우 한국전자통신연구원(ETRI) PL<사진>은 개인영상정보보호를 위한 기술을 연구성과를 설명했다. 패스워드 취약성, 백도어, 디도스(DDoS), 전송채널 스니핑 등 다양한 공격을 방어하기 위해서 방화벽, IDS와 같은 기존 사이버 보안 시스템에서 널리 사용되는 침입방지 기술뿐만 아니라 영상 콘텐츠 자체를 보호하는 기술들이 이미 상용화 수준에 도달해 있는 것이다.

영상 전체의 기밀성 유지를 위한 경량화된 영상 암·복호화 기술, 영상 내 사생활 영역만 선택적으로 마스킹·복원하는 영상 프라이버시 마스킹 기술, 영상 아이덴티티(누가, 언제, 어디서)와 무결성을 암호학적으로 검증하는 영상 DNA 기술, 영상의 보호와 활용(학습)을 동시에 보장하기 위한 영상 비식별화 기술(De-identification) 등이 대표적인 영상보호기술이다.

여기서 주목할 점은 영상이 수집되고 폐기되기까지 전 주기에 걸쳐서 영상이 암호학적으로 안전하게 관리된다는 점이다. 기존에는 개인 민감정보들이 아무런 보안조치 없이 원영상 그대로 저장·모니터링되고 외부 반출 시에만 임시방편으로 해당 영역을 비식별화함으로써 보안 시스템이 뚫리면 외부 위협에 그대로 노출될 수밖에 없었으나 이제는 엄격하게 제한된 접근만을 통해서 원영상을 복원할 수 있게 함으로써 영상이 외부에 불법 유출되더라도 아무런 피해가 발생하지 않는다.

김 PL은 “지난 몇 년간 국내에서도 여러 차례의 몰카 사건과 IP 카메라 해킹 사건사고가 발생했다. 이중 IP 카메라 해킹은 보안성이 취약해 발생한다. 기본 비밀번호가 쉽게 노출돼 있어 해킹을 통한 영상 유출이 가능했던 사고”라고 지적했다.

이어 그는 이런 사고를 예방할 방법으로 비식별화를 소개했다. 김 PL은 “비식별화의 기본 요구사항은 복원이 어려워야 하는 것”이라면서 “여러 비식별화 가운데 스크램블은 가장 약하기 때문에 깨지기 쉬우며 가장 높은 비식별화 단계인 암호화 수준으로 접근하는 것이 맞다”고 강조했다.

그에 따르면, ETRI는 이러한 영상보안 패러다임의 변화에 맞춰 창과 방패 싸움으로 비유되는 기존 보안 시스템의 한계를 극복하고 보안 우려를 근본적으로 해소할 뿐만 아니라 비정형 데이터 보안을 강화함으로써 개인인정보보호법을 만족시킬 수 있는 가장 효율적인 솔루션을 제시할 계획이다.

유럽 일반 개인정보보호법(GDPR) 등 개인의 사생활 보호가 강화되는 상황에서 더 이상 영상보안 기술은 어쩔 수 없이 따라야 하는 강제적 제약이 아니라, 미국·중국 등 경쟁국으로부터 국내 영상시장을 지켜내고 나아가 세계 시장에서 국가 경쟁력을 강화할 수 있는 차별화된 전략으로 활용돼야 한다.

김 PL은 “ETRI는 키를 이용한 암호화 방식을 사용한 비식별화 방법을 연구하고 있다. CCTV는 물론 차량용 블랙박스 영상, 신분증 사본, 각종 서류·서식 등 개인정보가 포함된 모든 비정형 데이터에 적용할 수 있는 방법”이라면서 “스마트폰으로 신분증을 사진 찍으면 얼굴과 주민등록번호 등 민감 정보가 자동으로 마스킹되는 것이라고 보면 된다. 문자부터 시작해 모든 개인정보를 안전하게 마스킹해 보호할 수 있는 방법을 1~2년내 선보일 것”이라고 밝혔다.
[김성미 기자(sw@infothe.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>