-군사시설 내 중국산 커넥티드카 출입으로 주변 환경과 동선 등 민감한 정보 유출 가능성에 대한 보안 위험 대두
-중국계 기업이 데이터와 소프트웨어의 통제권을 쥐고 있는 구조적 요인이 안보 위험을 가중시킨다는 지적
-미국과 EU 등 주요국, 커넥티드카의 공급망과 소프트웨어를 강력히 규제하고 신차 판매까지 금지하는 조치 본격화
-단순한 출입통제를 넘어 제조사의 지배관계와 데이터 통제권, 비기술적 안보 위험까지 포괄하는 보안심사 체계 구축을 위한 입법 시급
국정감사 과정에서 주요 군사시설에 중국산 커넥티드카 190여 대가 출입 차량으로 등록된 사실이 알려졌다. 국방부는 내년 1월부터 시설의 보안 수준과 차량의 정보 유출 위험에 따라 출입을 차등 관리할 예정이다. 국가정보원도 관계기관에 커넥티드카 등 차량의 출입 관리와 보안 강화 지침을 전달했다. 군사시설의 정보가 차량을 통해 외부로 유출될 위험을 인식한 데 따른 조치다. 그러나 출입 관리만으로 커넥티드카의 보안 위험까지 해소하기는 어렵다.
커넥티드카는 카메라와 위치정보 장치를 통해 주변 영상과 위치정보를 수집할 수 있으며, 통신망을 통한 소프트웨어 원격 갱신도 가능하다. 수집된 정보의 외부 유출은 민감시설의 주변 환경과 출입 동선을 드러낼 수 있다. 원격 업데이트 권한이 악용되면 정보 수집 범위나 차량 제어 기능까지 변경될 위험이 커진다. 차량의 보안 위험은 기술적 취약성, 제조사와 공급업체의 차량 정보 접근 범위뿐 아니라 이들에게 적용되는 법률에 따라서도 달라진다.
중국 국가정보법은 모든 조직과 시민에게 국가정보 활동에 협조할 의무를 부과해 중국 기업을 둘러싼 국제적 안보 우려를 낳고 있다. 이런 위험은 생산국만으로 판단하기 어렵다. 중국 이외의 국가에서 생산되더라도 중국계 기업이 데이터와 소프트웨어를 통제할 수 있기 때문이다. EU 집행위원회는 올해 1월 핵심 인프라 사업자의 주요 ICT 자산에서 고위험 공급업체의 부품 사용을 제한하는 사이버보안법 개정을 제안했다. 외국 정부의 간섭 가능성 등 비기술적 위험도 평가 요소로 삼았다. 2월에는 EU 차원의 커넥티드카 사이버보안 위험평가와 ICT 공급망 보안 권고도 발표됐다.
미국 상무부는 지난해 이미 중국·러시아에 설립된 기업과 이들이 소유하거나 통제하는 기업 등을 대상으로 커넥티드카 공급망 규제를 확정했다. 해당 제조사의 커넥티드카 신차 판매는 2027년식부터 원칙적으로 금지된다. 동시에 규제 대상 기업이 설계·개발·제조 또는 공급한 특정 통신 및 자율주행 소프트웨어를 탑재한 차량의 미국 수입 및 판매도 허용되지 않는다. 2030년식부터는 차량 통신 하드웨어의 수입 제한도 적용된다. 중국 지리그룹 계열의 폴스타는 부산과 미국 사우스캐롤라이나에서 미국 판매용 커넥티드카를 생산해 왔음에도 지난 6월 2027년식 이후 차량의 판매 허가를 받지 못했다.
군사시설 출입통제와 달리 차량의 수입·판매 제한은 시장 진입 자체에 영향을 미친다. WTO 안보 예외를 적용하려면 보호하려는 안보 이익을 구체화하고, 규제 조치와 그 이익 사이의 연관성을 설명할 수 있어야 한다. 지난해 시행된 자동차 사이버보안 관리체계 인증제도는 제작사의 사이버보안 관리와 기술적 보호조치를 평가하지만 외국 정부의 영향력 등 비기술적 안보 위험까지 살피기에는 한계가 있다.
이제는 커넥티드카 제조사와 핵심 공급업체의 지배관계와 법적 관할, 데이터와 소프트웨어의 통제권까지 평가하는 보안심사 체계가 필요하다. 안보시설 출입, 차량의 정보 수집과 통신, 수입·판매에 대한 규제는 위험 수준과 기술 및 관리 측면의 통제 가능성에 따라 차등 적용해야 한다. 주요국의 커넥티드카 보안 규제가 본격화되는 가운데 국내에서도 위험 평가에 근거해 필요한 조치를 시행할 수 있는 법적 기반을 조속히 마련해야 한다.
※본란의 칼럼은 본지 견해와 다를 수 있습니다.
김윤경 (인천대학교 동북아국제통상물류학부 교수)
-중국계 기업이 데이터와 소프트웨어의 통제권을 쥐고 있는 구조적 요인이 안보 위험을 가중시킨다는 지적
-미국과 EU 등 주요국, 커넥티드카의 공급망과 소프트웨어를 강력히 규제하고 신차 판매까지 금지하는 조치 본격화
-단순한 출입통제를 넘어 제조사의 지배관계와 데이터 통제권, 비기술적 안보 위험까지 포괄하는 보안심사 체계 구축을 위한 입법 시급
|
커넥티드카는 카메라와 위치정보 장치를 통해 주변 영상과 위치정보를 수집할 수 있으며, 통신망을 통한 소프트웨어 원격 갱신도 가능하다. 수집된 정보의 외부 유출은 민감시설의 주변 환경과 출입 동선을 드러낼 수 있다. 원격 업데이트 권한이 악용되면 정보 수집 범위나 차량 제어 기능까지 변경될 위험이 커진다. 차량의 보안 위험은 기술적 취약성, 제조사와 공급업체의 차량 정보 접근 범위뿐 아니라 이들에게 적용되는 법률에 따라서도 달라진다.
중국 국가정보법은 모든 조직과 시민에게 국가정보 활동에 협조할 의무를 부과해 중국 기업을 둘러싼 국제적 안보 우려를 낳고 있다. 이런 위험은 생산국만으로 판단하기 어렵다. 중국 이외의 국가에서 생산되더라도 중국계 기업이 데이터와 소프트웨어를 통제할 수 있기 때문이다. EU 집행위원회는 올해 1월 핵심 인프라 사업자의 주요 ICT 자산에서 고위험 공급업체의 부품 사용을 제한하는 사이버보안법 개정을 제안했다. 외국 정부의 간섭 가능성 등 비기술적 위험도 평가 요소로 삼았다. 2월에는 EU 차원의 커넥티드카 사이버보안 위험평가와 ICT 공급망 보안 권고도 발표됐다.
미국 상무부는 지난해 이미 중국·러시아에 설립된 기업과 이들이 소유하거나 통제하는 기업 등을 대상으로 커넥티드카 공급망 규제를 확정했다. 해당 제조사의 커넥티드카 신차 판매는 2027년식부터 원칙적으로 금지된다. 동시에 규제 대상 기업이 설계·개발·제조 또는 공급한 특정 통신 및 자율주행 소프트웨어를 탑재한 차량의 미국 수입 및 판매도 허용되지 않는다. 2030년식부터는 차량 통신 하드웨어의 수입 제한도 적용된다. 중국 지리그룹 계열의 폴스타는 부산과 미국 사우스캐롤라이나에서 미국 판매용 커넥티드카를 생산해 왔음에도 지난 6월 2027년식 이후 차량의 판매 허가를 받지 못했다.
군사시설 출입통제와 달리 차량의 수입·판매 제한은 시장 진입 자체에 영향을 미친다. WTO 안보 예외를 적용하려면 보호하려는 안보 이익을 구체화하고, 규제 조치와 그 이익 사이의 연관성을 설명할 수 있어야 한다. 지난해 시행된 자동차 사이버보안 관리체계 인증제도는 제작사의 사이버보안 관리와 기술적 보호조치를 평가하지만 외국 정부의 영향력 등 비기술적 안보 위험까지 살피기에는 한계가 있다.
이제는 커넥티드카 제조사와 핵심 공급업체의 지배관계와 법적 관할, 데이터와 소프트웨어의 통제권까지 평가하는 보안심사 체계가 필요하다. 안보시설 출입, 차량의 정보 수집과 통신, 수입·판매에 대한 규제는 위험 수준과 기술 및 관리 측면의 통제 가능성에 따라 차등 적용해야 한다. 주요국의 커넥티드카 보안 규제가 본격화되는 가운데 국내에서도 위험 평가에 근거해 필요한 조치를 시행할 수 있는 법적 기반을 조속히 마련해야 한다.
※본란의 칼럼은 본지 견해와 다를 수 있습니다.
김윤경 (인천대학교 동북아국제통상물류학부 교수)
