정권 교체로 정책 불확실성 커지며 사업 표류
안전한 IoT 제품 식별 기준, 여전히 부재

[보안뉴스 김형근 기자] 미국 연방통신위원회(FCC)가 추진하던 사물인터넷(IoT) 보안 인증 프로그램이 주관사 중도 하차로 심각한 차질을 빚게 됐다.


[자료: 연합뉴스]

‘사이버 트러스트 마크’(Cyber Trust Mark) 프로그램의 주관 운영사 역할을 맡았던 글로벌 인증 기업 UL은 지난해 말 FCC에 중도 하차 서한을 제출했다. 국가 차원의 IoT 보안 표준을 수립하려던 계획은 핵심 동력을 잃고 표류하게 됐다.

이번 사퇴는 UL이 중국 기업과 파트너십을 맺고 현지에서 연구소를 운영하는 등 중국 정부와 유착했다는 의혹에 대해 FCC가 조사에 착수한 직후 이루어졌다.

사이버 트러스트 마크 제도는 소비자가 보안성이 뛰어난 IoT 제품을 쉽게 식별할 수 있도록 국가가 인증해 주는 보안 품질 보증 마크이다. 제조사가 정부 공인 민간 연구소의 보안 테스트를 통과하면 제품에 인증 라벨을 붙일 수 있게 한다.

바이든 행정부 당시 IoT 기기의 고질적 취약점을 해결하고 소비자의 안전한 선택을 돕기 위해 기획됐다.

바이든 정부 시절 선정된 UL은 다른 참여 기업들의 업무를 감독하고 인증 체계의 기틀을 마련하는 중추적 역할을 해 왔다.

그러나 트럼프 행정부 출범 이후 FCC는 UL의 중국 내 활동이 미국 통신 네트워크 안전을 위협할 수 있다며 조사를 시작했다.

브렌던 카 FCC 의장은 중국 정부와 연관된 잠재적 우려 사항을 언급하며, 통신 네트워크를 보호하기 위해 철저한 경계가 필요하다는 입장을 밝혀 왔다.

보안 및 법률 전문가들은 이번 조사가 자칫 IoT 보안 인증 제도 전체를 무산시킬 수도 있다는 우려를 표해 왔다.

UL은 FCC에 보낸 서한에서 “주관 운영사로서 갖춰야 할 기술 표준 가이드라인과 같은 기초 체계는 이미 마련해 전달했다”며 기업 내부의 여러 상황을 고려해 물러나기로 했다고 밝혔다. 프로그램의 성공을 위해 남은 업무가 원활히 인수되도록 협력하겠다고 약속했다.

UL이 얼마나 많은 준비 작업을 완료했는지는 불분명하다. 이 회사는 외신 사이버시큐리티다이브의 논평 요청에 대답을 거부했다. FCC 역시 이 프로그램의 향후 운명이나 새로운 주관사 물색 여부에 대해 공식 입장을 내놓지 않고 있다.

이 프로그램은 당초 IoT 기기의 기본적 취약점을 노린 대규모 사이버 공격을 막기 위한 주요한 조치로 여겨졌다. 그러나 주관사 공백 사태로 인증 마크가 실제 제품에 부착돼 시장에 출시되기까지 상당한 시간이 더 걸릴 전망이다.

일각에선 트럼프 행정부가 이전 정부의 정책을 전면 재검토하는 과정에서 이 프로그램 자체가 폐기될 가능성도 배제하지 않고 있다.

국가 간 지정학적 갈등과 기술 안보 논리가 민간 보안 인증 제도의 불확실성을 키우는 상황이다. 안전한 IoT 기기를 식별할 수 있는 지표가 없으면 소비자 불이익으로 이어지리란 우려도 나온다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>