가정용 CCTV의 경우 비밀번호 안전성, 사생활 노출 위협, 해외 클라우드 저장 등 문제
개인정보위, 가정용 CCTV PbD 인증제로 ‘생활 속 개인정보 보호’ 강화할 것
PbD 인증은 기본 요구사항, 개인정보 처리 적법성, 프라이버시 강화 등 총 69개 항목 평가

[보안뉴스 김경애 기자] 개인 사생활이 그대로 노출된 가정용 IP 카메라 해킹 이슈가 올해 초 전국을 뜨겁게 달궜다. 침실, 화장실 등 집안 내부 민감한 장소의 사생활 영상이 그대로 노출돼 텔레그램에 공유되며 파장이 커진 바 있다.


[이미지 = gettyimagesbank]

이러한 가운데 개인정보보호위원회가 가정용 CCTV와 같은 개인정보보호 제품을 대상으로 PbD 인증제를 시범사업으로 추진해 관심이 모아지고 있다.

개인정보 보호 중심 설계(PbD)는 Privacy by Design의 준말로 개인정보보호 제품 또는 서비스의 기획, 제조, 폐기 등 전 과정에서 개인정보 침해를 사전에 예방하는 설계 개념으로, PbD 인증제는 해당 개념에 맞춰 설계된 제품 또는 서비스를 평가·인증하는 제도다.

이는 개인정보위가 지난해부터 추진하는 PbD’인증제 시범사업으로 지난해 인증 참여기업의 신청(4~5월)을 받아 진행하고 있다. 인증 획득을 위한 평가사항은 가정용 CCTV 등 4개 제품에 대한 인증기준(총 69개) 충족 여부 확인과 취약점 개선조치 등이다. 검증을 통과한 제품에 대해서는 오는 3~4월 중 인증서를 발급할 예정이다.

총 69개 항목의 인증영역은 △기본적인 요구사항 △개인정보 처리의 적법성 △정보보안 및 프라이버시 강화 △조직적 보호조치로 분류된다.


▲‘개인정보 보호 중심 설계(PbD)’ 시범 인증 단계별 절차[자료=개인정보위]

1. 기본적인 요구사항
기본적인 요구사항으로 인증항목은 개인정보 식별 및 목적, 개인정보 처리 흐름, 개인정보 처리 단계별 보호조치, 개인정보 처리의 주체 식별, 불필요한 개인정보 전달 방지 등 14개 항목이다.

2. 개인정보 처리의 적법성
아동 등 개인정보 처리에 대한 동의, 마케팅 목적의 개인정보 처리에 대한 동의, 개인위치정보 처리에 대한 동의, 민감정보와 고유식별정보 처리의 적합성, 정보주체 이외로부터 개인정보 수집의 제한, 개인정보의 이용 및 제공의 제한, 개인정보의 파기, 개인정보 처리의 투명성 보장 개인정보의 열람 요구 및 정정·삭제·처리 정지 요구에 대한 권리 보장 등 26개 항목이다.

3. 정보보안 및 프라이버시 강화
안전한 인증정보 사용, 사용자 인증 및 권한 관리, 반복된 인증 시도 제한, 안전한 암호 알고리즘 사용, 안전한 업데이트 수행, 정보 노출 방지, 중요정보 완전 삭제, 원격 접속 통제, 프라이버시 강화 기술 적용 등 22개 항목이다.

4. 조직적 보호조치
조직적 보호조치 인증항목은 개인정보 처리방침의 수립, 개인정보의 안전성 확보, 개인정보보호 책임자 임명, 개인정보 사고 대응 등 7개로 총 69개 항목을 평가한다.

특히 가정용 CCTV에서 발생하는 주요 취약점과 관련해 개인정보위 신기술정보과 고낙준 과장은 △CCTV에 담긴 개인 영상이 해외 클라우드에 저장 △비밀번호 안전성 문제 △가정용 CCTV의 사생활 보호 기능 미흡 등을 꼽았다.

그러면서 고낙준 과장은 “가정용 CCTV와 같은 개인정보보호 제품이 인증을 획득하기 위해서는 사생활 보호기능이 탑재돼야 한다”며 “일부 카메라의 경우 이용자가 사생활 보호를 위해 테이프를 붙여 사용하는 번거로움이 있거나 SW 차단 등에 치중돼 있다”고 지적했다.

이어 고 과장은 “물리적으로 렌즈를 분리 또는 안쪽으로 들어가도록 하는 등 사생활 보호 기능 작동 여부가 미비하지 않도록 해야 하고, 비밀번호 안전성 강화를 위해 외부에서 반복적으로 접근할 경우 차단함으로써 무작위 대입 공격을 방어할 수 있도록 안전성을 높여야 한다”고 강조했다.

가정용 CCTV 뿐만 아니라 카메라가 설치된 로봇 청소기 등 개인정보보호가 요구되는 제품은 영상정보가 해외 서버에 저장되지 않도록 하고, 영상정보는 암호화 처리해 전송되는지, 그리고 클라우드는 어떤 클라우드에 연결되는지 등 안전성 조치가 담보돼야 한다고 덧붙였다.

하지만 관련 업계에서는 인증 획득을 위해 이미 출시된 제품을 두고 개선조치를 요구하는 것에 대해 고충을 토로하고 있다. 인증 획득 소요시간이 길어지는 등 효율성 측면에서 문제가 되기 때문이다.

이와 관련 개인정보위 최장혁 부위원장은 20일 개인정보위 위탁 인증평가기관인 한국아이티평가원(송파구)을 찾았다. 이날 최 부위원장은 디지털 기기의 개인정보보호 강화를 위한 관련 정책방향을 설명하고, 산업계의 애로·건의사항 등을 수렴했다.

최 부위원장의 평가현장 방문에 참여한 기업은 한국아이티평가원, SK쉴더스, 고퀼, 미루시스템즈 등 4개 기업이다. 여기에서는 가정용 CCTV 등 4종에 대한 PbD 인증시험 경과를 공유하고 산업계 의견을 수렴하는 자리를 가졌다.

최장혁 개인정보위 부 위원장은 “가정용 CCTV, 스마트 가전 등과 같이 개인정보 수집 기능이 있는 제품은 설계․제조 단계에서부터 개인정보보호 요소를 충분히 고려해야 할 필요가 있다”며, “올해는 카메라가 탑재된 로봇 청소기 등 일상생활에서 밀접하게 활용되는 기기를 중심으로 개인정보가 안전하게 보호되는지 여부를 검증할 수 있도록 인증제를 운영해 국민의 불안감을 해소할 수 있도록 개선해 나가겠다”고 밝혔다.

이와 관련 개인정보위 고낙준 과장은 “인증발급 위탁기관인 한국아이티평가원을 통해 현재 인증항목, 인증 설명자료 등을 안내하고 있으며, 인증 대비를 위한 컨설팅을 지원하고 있다”고 안내했다. 이어 그는 “인증제도의 법적 근거 마련을 위해 올해 안으로 개정안을 추진할 방침”이라고 밝혔다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>