.jpg)
.jpg)
소비자 가전 제품들이 올해에도 여러 혁신을 거쳐 시장에 나올 전망이다. 특히 인공지능과의 결합이 큰 트렌드로 이쪽 분야에 자리를 잡아가는 것이 눈에 띈다. 거기에 더해 프라이버시와 데이터 보안에 큰 신경을 쓰지 않고 있다는 것도.
[보안뉴스=네이트 넬슨 IT 칼럼니스트] 컴퓨터와 전화기들 안에는 우리의 가장 민감할 수 있는 정보들이 잔뜩 저장되어 있다. 금융 정보, 사진, 그 동안 누군가와 주고받았던 문자 등 다른 사람들에게 보여주기 싫은 것들이 가득하다. 그런데 이런 컴퓨터나 전화기를 잃어버리는 것과는 비교도 되지 않을 정도로 아찔한 느낌을 주는 제품이 올해 열린 CES에 등장했다. 인공지능이 탑재된 목욕탕 거울이 바로 그것이다.
이번 주 미국 라스베이거스에서 열린 CES 2024에는 온갖 신기한 제품들이 등장해 참관객들의 시선을 잡아 끌었다. 하지만 그 중에서도 비마인드 스마트 미러(Bmind Smart Mirror)는 단연 돋보였다. 자연어 처리, 생성형 인공지능, 컴퓨터 비전 등과 같은 최첨단 기술이 탑재된 거울로, 들여다보는 사람의 표정과 제스처, 심지어 말까지 이해할 수 있다. 이 거울은 심리치료를 위한 목적으로 만들어졌다고 제조사는 설명한다. 친절하고 따스한 말을 하는 거울 덕분에 사람의 스트레스가 풀리고 기분이 좋아지며 수면의 질도 높아진다는 것. 일종의 ‘가벼운’ 심리 상담 효과를 누리게 된다고까지 한다.
그러한 효과는 실제 있을 수도 있고 없을 수도 있다. 하지만 확실한 건 이 거울에 비치는 부스스한 모습과 피부 트러블과 ‘얼꽝’ 각도로 비추인 얼굴들을 이 장비가 전부 기억하고 있다는 것이다. 관련 데이터들이 어딘가에 불안한 상태로 저장되어 있을 가능성도 낮지 않다. 그 어딘가가 제조사의 서버나 공공 클라우드일 수도 있다.
오늘 날의 소비자 가전 제조사들은 프라이버시 강화와 보안을 꽤나 강조하여 제품을 홍보하려는 편이다. 하지만 그것 이상으로 최신 기술들은 사용자들로부터 수많은 데이터를 수집하는 게 일반적이다. 분명 프라이버시와 보안이 강화된 측면이 있긴 하지만, 그 향상 폭보다 가져가는 데이터 양의 증가 폭이 훨씬 크다. 특히 인공지능이 여기 저기 탑재되면서 이 현상은 더욱 분명해지고 있다. 인공지능이라는 기술 자체가 어마어마한 데이터를 필요로 하기 때문이다. 그럼에도 이런 제조사들의 행태를 제지할 법적 근거가 아직 우리에게는 없다. 그래서 프라이버시를 침해할 것이 너무나 명확해 보이는 물건들이 CES와 같은 행사장에 등장하는 것이다.
인공지능을 기반으로 한 각종 장비들과 프라이버시
보안 업체 시큐어아이씨(Secure-IC)의 CTO인 실베인 길리(Sylvain Guilley)는 “첨단 기술을 탑재한 장비들로부터 사용자의 민감한 정보를 훔쳐내는 행위가 얼마나 우리 사회의 큰 위협이 되는지 모두가 잘 알고 있다”고 말한다. “요즘 인공지능을 갖춘 장비들이 얼마나 많이 나옵니까? 인공지능이 활용되어야 하기 때문에 데이터 활용도가 어마어마하게 높을 것이고요. 제조사들은 굳이 보안을 최대치로 강화하지는 않고 있지요. 공격자들이 이런 장비들이 자꾸만 시장에 나오는 걸 쌍수 들어 환영하고 있습니다.”
제조사들이 최첨단 장비를 개발할 때 아직까지는 보안을 깊이 고민하지는 않는다. 보안이나 프라이버시에 집중할 때 눈에 띄는 성능 개선은 없는데 예산을 늘려야 하기 때문이다. “하지만 보안과 프라이버시를 강화했을 때 얻을 수 있는 것들이 분명히 존재합니다. 그건 바로 사용자들의 잘못된 인공지능 활용 가능성을 줄일 수 있다는 것입니다.”
보안 업체 키퍼시큐리티(Keeper Security)의 제품 곤리자 닉 아문드센(Nick Amundsen)도 비슷한 의견이다. “사용자들에게 인공지능을 제공할 때 대단히 조심해야 합니다. 인공지능 모델들은 온갖 데이터들을 다 흡수해서 만들어지기 때문입니다. 어떤 사용자들이 어떤 데이터를 넣느냐가 인공지능에 분명한 영향을 줍니다. 인공지능은 사용자들에게 활짝 열어주기에는 부담이 있는 기술입니다.”
한편 사용자들의 우려를 완화하기 위해 비마인드 측은 1월 6일 프로모션 블로그 게시물에서 스마트 미러가 "침입적인 기술 없이 정보를 수집한다"고 설명했으며, 그 기본 운영 체제인 ‘케어OS(CareOS)’는 "개인정보를 로컬에 저장하며 사용자의 명시적 요청과 동의 없이는 어떠한 당사자와도 공유하지 않는 개인정보 보호 플랫폼"이라고 주장했다.
법적인 장치, 아직 현저히 부족해
그러나 올해의 CES 이벤트에 전시된 모든 기기가 ‘개인정보 보호’를 약속하는 것은 아니다. 그럴 필요가 없기 때문이다. 미국을 기준으로 소비자 가전 제조사들이 지켜야 하는 개인정보 보호 법률은 그리 많지가 않다. 건강 데이터(HIPAA), 금융 데이터(GLBA), 정부 데이터(1974년 개인정보보호법)에 대한 보호법은 존재하지만 일반 소비자용 사물인터넷이나 인공지능을 직접적으로 규제하는 법은 아직 없는 상황이라고 시카고 로이올라 대학교 로스쿨의 샬럿 차이더(Charlotte Tschider) 교수는 지적한다.
이런 문제를 알고 작년 7월 백악관은 스마트 기기에 대한 사이버 보안 라벨링 프로그램을 발표했다. 제조사들이 장비를 만들어 판매할 때, 설계 단계에서부터 보안을 구축하도록 동기를 부여하기 위한 것이었으나 의무 조항은 아니었다.
2020년 IoT 사이버 보안 향상법(IoT Cybersecurity Improvement Act of 2020)과 캘리포니아 주 상원 제 327호 법안은 커넥티드 장비들에 대한 보안 기본 사항을 제시하며, 일리노이 주 생체 정보 개인 정보 보호법(BIPA)은 일반 아이폰이나 스마트 미러를 직접 그 대상으로 삼고 있다. 하지만 커넥티드 장비 제조사들이 가장 염두에 두어야 할 것은 어린이 온라인 개인정보 보호법(COPPA)일 것이다.
COPPA는 회사들이 아동들로부터 어떤 정보를 수집할 수 있는지 부모가 직접 통제할 수 있도록 하는 데에 도움을 주도록 만들어졌다. “COPPA는 매우 엄중한 법 중 하나”라고 아문드센은 말한다. “기업들은 각종 커넥티드 제품과 AI 기능을 탑재한 제품을 출시할 때 COPPA의 영향력 안에 들어가게 된다는 것을 깨닫지 못할 수 있지만, 그렇다고 COPPA 준수의 책임이 없어지는 건 아닙니다."
이런 교훈을 얻은 첫 번째 IoT 전자 제품 회사는 홍콩 소재 소비자 전자 제품 제조업체인 뷔테크(VTech)였다. 키드커넥트(Kid Connect)라고 하는 앱에서 “직접 통지 및 부모의 동의 없이 어린이로부터 개인정보를 수집하고, 수집한 데이터를 안전하게 보호하기 위해 합리적인 조치를 취하지 않음”으로 인해 연방거래위원회(FTC)가 2018년에 65만 달러의 벌금을 내도록 명령한 바 있다.
벌금 자체가 뷔테크라는 기업이 내기에는 그리 크다고 할 수 없었다. 하지만 이 사건은 현대 소비자 기기에서 데이터 프라이버시를 규제하기 위한 미국의 가장 효과적인 도구가 25년 전에 만들어진 법이라는 사실을 모든 제조사들에 알리는 계기가 됐다. 물론 이는 13세 미만 소비자에게만 적용되며 완벽하지 않다. 그렇기에 좀 더 많은 장치들이 필요하다.
법률, 아직 개선이 필요해
차이더는 “COPPA에는 개인정보 보호 의무를 실제로 강화하라고 하는 조항이 없다”고 지적한다. “그래서 아직 수많은 장비들이 개인정보 보호 기능을 충분히 탑재하지 않은 채 혹은 강화되지 않은 채 시장에 나옵니다. 그런 데 투자하는 것보다 문제가 됐을 때 벌금을 내는 게 더 싸기 때문입니다. 벌금이 찜찜하긴 하지만 개인정보나 프라이버시에 투자하는 것보다 낫다는 게 기업들의 판단인 것이죠. 그리고 그 판단을 유도하는 게 본의 아니게 COPPA이기도 합니다. 좀 더 엄격하게 개정되어야 할 필요가 있습니다.”
그러면서 차이더는 “현재의 개인정보 보호 모델이라고 하는 건 사용자나 부모의 동의를 기반으로 하는 것”이라며, “사실상 무용지물”이라고 비판한다. “사용자들 중에 개인정보와 관련된 회사의 규정이나 공지를 꼼꼼하게 읽고 이해하는 사람은 드뭅니다. 항목이 너무나 많죠. 모든 개인정보 관련 공지와 규정을 읽으려면 일 년에 100일 이상을 투자해야 하니까요. 그러니 ‘우리는 정보를 고지했고, 사용자들이 읽고 동의했으니까 문제 없어’라는 식으로 개인정보 보호에 접근하는 건 눈 가리고 아웅하는 것입니다.”
그래서 차이더는 건강보험이동성 및 개인정보보호법(HIPAA)나 뉴욕 주의 금융 서비스 관련 사이버 보안 규정들이 좋은 참고 자료로서 활용되어야 한다는 의견이다. “또한 다른 대륙이나 지역, 국가에도 참고할 만한 좋은 법들이 있습니다. 사물인터넷과 인공지능이 빠르게 결합되고 있는데, 법 쪽에서 너무 지지부진하거나 효용성 없는 규정만 붙들고 있어서는 안 될 것입니다.”
글 : 네이트 넬슨(Nate Nelson), IT 칼럼니스트
[국제부 문정후 기자(globoan@boannews.com)]
[보안뉴스=네이트 넬슨 IT 칼럼니스트] 컴퓨터와 전화기들 안에는 우리의 가장 민감할 수 있는 정보들이 잔뜩 저장되어 있다. 금융 정보, 사진, 그 동안 누군가와 주고받았던 문자 등 다른 사람들에게 보여주기 싫은 것들이 가득하다. 그런데 이런 컴퓨터나 전화기를 잃어버리는 것과는 비교도 되지 않을 정도로 아찔한 느낌을 주는 제품이 올해 열린 CES에 등장했다. 인공지능이 탑재된 목욕탕 거울이 바로 그것이다.
[이미지 = gettyimagesbank]
이번 주 미국 라스베이거스에서 열린 CES 2024에는 온갖 신기한 제품들이 등장해 참관객들의 시선을 잡아 끌었다. 하지만 그 중에서도 비마인드 스마트 미러(Bmind Smart Mirror)는 단연 돋보였다. 자연어 처리, 생성형 인공지능, 컴퓨터 비전 등과 같은 최첨단 기술이 탑재된 거울로, 들여다보는 사람의 표정과 제스처, 심지어 말까지 이해할 수 있다. 이 거울은 심리치료를 위한 목적으로 만들어졌다고 제조사는 설명한다. 친절하고 따스한 말을 하는 거울 덕분에 사람의 스트레스가 풀리고 기분이 좋아지며 수면의 질도 높아진다는 것. 일종의 ‘가벼운’ 심리 상담 효과를 누리게 된다고까지 한다.
그러한 효과는 실제 있을 수도 있고 없을 수도 있다. 하지만 확실한 건 이 거울에 비치는 부스스한 모습과 피부 트러블과 ‘얼꽝’ 각도로 비추인 얼굴들을 이 장비가 전부 기억하고 있다는 것이다. 관련 데이터들이 어딘가에 불안한 상태로 저장되어 있을 가능성도 낮지 않다. 그 어딘가가 제조사의 서버나 공공 클라우드일 수도 있다.
오늘 날의 소비자 가전 제조사들은 프라이버시 강화와 보안을 꽤나 강조하여 제품을 홍보하려는 편이다. 하지만 그것 이상으로 최신 기술들은 사용자들로부터 수많은 데이터를 수집하는 게 일반적이다. 분명 프라이버시와 보안이 강화된 측면이 있긴 하지만, 그 향상 폭보다 가져가는 데이터 양의 증가 폭이 훨씬 크다. 특히 인공지능이 여기 저기 탑재되면서 이 현상은 더욱 분명해지고 있다. 인공지능이라는 기술 자체가 어마어마한 데이터를 필요로 하기 때문이다. 그럼에도 이런 제조사들의 행태를 제지할 법적 근거가 아직 우리에게는 없다. 그래서 프라이버시를 침해할 것이 너무나 명확해 보이는 물건들이 CES와 같은 행사장에 등장하는 것이다.
인공지능을 기반으로 한 각종 장비들과 프라이버시
보안 업체 시큐어아이씨(Secure-IC)의 CTO인 실베인 길리(Sylvain Guilley)는 “첨단 기술을 탑재한 장비들로부터 사용자의 민감한 정보를 훔쳐내는 행위가 얼마나 우리 사회의 큰 위협이 되는지 모두가 잘 알고 있다”고 말한다. “요즘 인공지능을 갖춘 장비들이 얼마나 많이 나옵니까? 인공지능이 활용되어야 하기 때문에 데이터 활용도가 어마어마하게 높을 것이고요. 제조사들은 굳이 보안을 최대치로 강화하지는 않고 있지요. 공격자들이 이런 장비들이 자꾸만 시장에 나오는 걸 쌍수 들어 환영하고 있습니다.”
제조사들이 최첨단 장비를 개발할 때 아직까지는 보안을 깊이 고민하지는 않는다. 보안이나 프라이버시에 집중할 때 눈에 띄는 성능 개선은 없는데 예산을 늘려야 하기 때문이다. “하지만 보안과 프라이버시를 강화했을 때 얻을 수 있는 것들이 분명히 존재합니다. 그건 바로 사용자들의 잘못된 인공지능 활용 가능성을 줄일 수 있다는 것입니다.”
보안 업체 키퍼시큐리티(Keeper Security)의 제품 곤리자 닉 아문드센(Nick Amundsen)도 비슷한 의견이다. “사용자들에게 인공지능을 제공할 때 대단히 조심해야 합니다. 인공지능 모델들은 온갖 데이터들을 다 흡수해서 만들어지기 때문입니다. 어떤 사용자들이 어떤 데이터를 넣느냐가 인공지능에 분명한 영향을 줍니다. 인공지능은 사용자들에게 활짝 열어주기에는 부담이 있는 기술입니다.”
한편 사용자들의 우려를 완화하기 위해 비마인드 측은 1월 6일 프로모션 블로그 게시물에서 스마트 미러가 "침입적인 기술 없이 정보를 수집한다"고 설명했으며, 그 기본 운영 체제인 ‘케어OS(CareOS)’는 "개인정보를 로컬에 저장하며 사용자의 명시적 요청과 동의 없이는 어떠한 당사자와도 공유하지 않는 개인정보 보호 플랫폼"이라고 주장했다.
법적인 장치, 아직 현저히 부족해
그러나 올해의 CES 이벤트에 전시된 모든 기기가 ‘개인정보 보호’를 약속하는 것은 아니다. 그럴 필요가 없기 때문이다. 미국을 기준으로 소비자 가전 제조사들이 지켜야 하는 개인정보 보호 법률은 그리 많지가 않다. 건강 데이터(HIPAA), 금융 데이터(GLBA), 정부 데이터(1974년 개인정보보호법)에 대한 보호법은 존재하지만 일반 소비자용 사물인터넷이나 인공지능을 직접적으로 규제하는 법은 아직 없는 상황이라고 시카고 로이올라 대학교 로스쿨의 샬럿 차이더(Charlotte Tschider) 교수는 지적한다.
이런 문제를 알고 작년 7월 백악관은 스마트 기기에 대한 사이버 보안 라벨링 프로그램을 발표했다. 제조사들이 장비를 만들어 판매할 때, 설계 단계에서부터 보안을 구축하도록 동기를 부여하기 위한 것이었으나 의무 조항은 아니었다.
2020년 IoT 사이버 보안 향상법(IoT Cybersecurity Improvement Act of 2020)과 캘리포니아 주 상원 제 327호 법안은 커넥티드 장비들에 대한 보안 기본 사항을 제시하며, 일리노이 주 생체 정보 개인 정보 보호법(BIPA)은 일반 아이폰이나 스마트 미러를 직접 그 대상으로 삼고 있다. 하지만 커넥티드 장비 제조사들이 가장 염두에 두어야 할 것은 어린이 온라인 개인정보 보호법(COPPA)일 것이다.
COPPA는 회사들이 아동들로부터 어떤 정보를 수집할 수 있는지 부모가 직접 통제할 수 있도록 하는 데에 도움을 주도록 만들어졌다. “COPPA는 매우 엄중한 법 중 하나”라고 아문드센은 말한다. “기업들은 각종 커넥티드 제품과 AI 기능을 탑재한 제품을 출시할 때 COPPA의 영향력 안에 들어가게 된다는 것을 깨닫지 못할 수 있지만, 그렇다고 COPPA 준수의 책임이 없어지는 건 아닙니다."
이런 교훈을 얻은 첫 번째 IoT 전자 제품 회사는 홍콩 소재 소비자 전자 제품 제조업체인 뷔테크(VTech)였다. 키드커넥트(Kid Connect)라고 하는 앱에서 “직접 통지 및 부모의 동의 없이 어린이로부터 개인정보를 수집하고, 수집한 데이터를 안전하게 보호하기 위해 합리적인 조치를 취하지 않음”으로 인해 연방거래위원회(FTC)가 2018년에 65만 달러의 벌금을 내도록 명령한 바 있다.
벌금 자체가 뷔테크라는 기업이 내기에는 그리 크다고 할 수 없었다. 하지만 이 사건은 현대 소비자 기기에서 데이터 프라이버시를 규제하기 위한 미국의 가장 효과적인 도구가 25년 전에 만들어진 법이라는 사실을 모든 제조사들에 알리는 계기가 됐다. 물론 이는 13세 미만 소비자에게만 적용되며 완벽하지 않다. 그렇기에 좀 더 많은 장치들이 필요하다.
법률, 아직 개선이 필요해
차이더는 “COPPA에는 개인정보 보호 의무를 실제로 강화하라고 하는 조항이 없다”고 지적한다. “그래서 아직 수많은 장비들이 개인정보 보호 기능을 충분히 탑재하지 않은 채 혹은 강화되지 않은 채 시장에 나옵니다. 그런 데 투자하는 것보다 문제가 됐을 때 벌금을 내는 게 더 싸기 때문입니다. 벌금이 찜찜하긴 하지만 개인정보나 프라이버시에 투자하는 것보다 낫다는 게 기업들의 판단인 것이죠. 그리고 그 판단을 유도하는 게 본의 아니게 COPPA이기도 합니다. 좀 더 엄격하게 개정되어야 할 필요가 있습니다.”
그러면서 차이더는 “현재의 개인정보 보호 모델이라고 하는 건 사용자나 부모의 동의를 기반으로 하는 것”이라며, “사실상 무용지물”이라고 비판한다. “사용자들 중에 개인정보와 관련된 회사의 규정이나 공지를 꼼꼼하게 읽고 이해하는 사람은 드뭅니다. 항목이 너무나 많죠. 모든 개인정보 관련 공지와 규정을 읽으려면 일 년에 100일 이상을 투자해야 하니까요. 그러니 ‘우리는 정보를 고지했고, 사용자들이 읽고 동의했으니까 문제 없어’라는 식으로 개인정보 보호에 접근하는 건 눈 가리고 아웅하는 것입니다.”
그래서 차이더는 건강보험이동성 및 개인정보보호법(HIPAA)나 뉴욕 주의 금융 서비스 관련 사이버 보안 규정들이 좋은 참고 자료로서 활용되어야 한다는 의견이다. “또한 다른 대륙이나 지역, 국가에도 참고할 만한 좋은 법들이 있습니다. 사물인터넷과 인공지능이 빠르게 결합되고 있는데, 법 쪽에서 너무 지지부진하거나 효용성 없는 규정만 붙들고 있어서는 안 될 것입니다.”
글 : 네이트 넬슨(Nate Nelson), IT 칼럼니스트
[국제부 문정후 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-01] 
