사물인터넷(IoT) 기기의 보안이 새로운 사회적 과제로 떠오르면서 정부가 관련 인증 제도를 전면 재정비하고 나섰다. 한국인터넷진흥원(KISA)은 IoT 제품의 보안을 제품 설계부터 사후 관리까지 생애주기 전반에 걸쳐 강화하고, 글로벌 보안 기준과의 정합성을 높이기 위한 'IoT 보안인증제도' 개편을 본격 추진 중이라고 29일 밝혔다.

IoT 보안인증제도는 인터넷에 연결된 디지털 기기들이 해킹과 정보 유출 등 각종 사이버 위협에 노출됨에 따라, 기기의 보안성을 검증하기 위해 2017년 도입됐다. 이후 2022년 법제화를 거쳐 제도 기반을 갖췄으나, 여전히 현장에서는 인증 취득률이 낮고 인증 범위가 한정적이라는 지적이 지속되어 왔다.

실제로 연간 인증 발급 건수는 2018년 4건에서 2024년 106건으로 증가하며 누적 413건을 기록했지만, 국내 IoT 제품 제조사 수에 비하면 미비한 수준이다. 정보통신산업진흥원(NIPA)의 조사에 따르면 국내 IoT 관련 기업은 약 3,200개에 달하고, 이 중 1,000여 곳이 실제로 제품을 생산하고 있음에도 인증을 받은 기업은 일부에 불과하다. 그나마도 인증 제품의 70% 이상이 아파트 월패드 등 주택 관련 분야에 집중되어 있다.

이는 2021년 발생한 대규모 월패드 해킹 사건 이후 주택 분야에서 보안에 대한 경각심이 높아졌기 때문으로 풀이된다. 당시 약 40만 가구의 사생활 영상과 이미지가 유출될 뻔한 사건은 소비자뿐 아니라 제조사에도 큰 충격을 안겼다. 반면 로봇청소기나 IP카메라 같은 생활 밀착형 기기들에 대해서는 여전히 인증 적용이 미진한 상황이다.

특히 지난해 미국에서는 한 중국산 로봇청소기가 해킹을 당해 청소 도중 욕설을 내뱉고 반려동물을 위협하는 사례가 발생해 세계적인 논란이 되기도 했다. 현재 국내에서 이와 관련된 스탠다드 인증을 받은 제조사는 삼성전자가 유일하다. 중국산 디지털 기기의 보안성에 대한 우려는 커지고 있지만, 무역 마찰을 우려해 의무 인증 도입은 아직 현실적으로 어렵다는 분석도 나온다.

이처럼 위협이 고도화됨에 따라, KISA는 인증제도의 적용 대상을 확대하고, 인증을 자율이 아닌 생활 필수 보안 기준으로 안착시키는 전략을 추진 중이다. 현재 IoT 보안인증은 식별 및 인증, 데이터 보호, 암호 기술, 운영체제 및 네트워크 보안 등 7개 항목, 총 50개의 세부 기준으로 구성되며, ‘라이트’, ‘베이직’, ‘스탠다드’ 세 등급으로 나뉜다. 각 등급은 보안 수준에 따라 단순 공격 대응부터 국제 기준을 반영한 고급 보호 수준까지 차등화된다.

KISA는 인증이 제품의 설계 단계에만 국한되지 않고 사후 운영, 업데이트, 기술지원까지 포함한 제품 생애주기 전체를 아우르는 방향으로 개편될 것이라고 밝혔다. 이에 따라 인증 기준도 개인정보 흐름의 식별 가능성, 취약점 공개 대응 체계(VDP) 마련 등 보다 구체적이고 실질적인 보안 요소를 반영하게 된다.

이와 동시에 KISA는 국내 인증 제품이 국제 시장에 원활히 진출할 수 있도록 글로벌 인증 상호 인정(MRA) 체결에도 박차를 가하고 있다. 2023년 싱가포르와의 MRA 체결을 시작으로, 올해는 독일과도 유사한 협정을 맺기 위한 협의가 진행 중이다. 특히 싱가포르 사이버안보청(CSA)의 ‘사이버 보안 라벨링 시스템(CLS)’ 3등급 이상을 국내 인증만으로 취득할 수 있게 되면서, 국내 기업의 동남아 진출이 보다 수월해졌다.

유럽연합(EU)과 미국도 소비자용 IoT 보안 규제를 강화하고 있다. EU는 2027년 시행을 목표로 ‘사이버 복원력법(CRA)’을 마련했고, 미국은 '사이버 트러스트 마크' 제도를 확정해 2024년부터 라벨 부여를 시작할 예정이다. 이에 발맞춰 KISA는 국내 기준을 이들과 조화시키기 위한 기술 협의체 논의에도 적극 참여하고 있다.

글로벌 시장에서는 인증이 없는 제품의 유통이 점차 어려워지고 있는 만큼, 국내 기업들에게는 국제 인증 연계가 사실상 수출 경쟁력의 핵심으로 떠오르고 있다. KISA는 이러한 흐름에 대응해 인증 기업에 대한 행정적·경제적 지원을 병행하고, 시험 비용 감면, 인증 절차 단축 등의 개선안도 마련할 계획이다.

KISA 최윤선 디지털제품인증팀장은 “IoT 보안인증은 이제 선택이 아닌 필수 요소가 되어가고 있다”며 “국내 인증이 글로벌 시장에서도 통용될 수 있도록 국가 간 연계 체계를 강화하고, 사후 관리까지 포함하는 전 생애주기형 인증으로 거듭날 것”이라고 밝혔다.