“인증은 끝이 아니라, 시작이어야 한다.”
최근 국회 과학기술정보방송통신위원회 국정감사에서는 국내 IoT 보안 인증 제도의 실효성 부족 문제가 공식적으로 지적되었습니다.
국내 IoT 제조·서비스 기업은 약 3,000개 수준입니다. 그러나 올해 보안 인증을 신청한 기업은 단 13개뿐이었습니다.
지난해 33개 기업이 인증을 추진했던 것과 비교하면 절반 이하로 감소한 수치입니다.
현재 인증 체계는 자율 신청 방식으로 운영되며, 인증 비용은 최대 2,000만 원까지 발생합니다.
또한 기술문서 작성 및 대응 인력이 부족한 중소기업에게는 상당한 부담이 되는 실정입니다.
또한 해외 수출 제품 중 국내 보안 인증을 받은 사례가 단 한 건도 존재하지 않는다는 점이 지적되었습니다.
즉, 제도는 존재하지만 현장에서는 ‘인증 공백’이 지속되고 있는 상황입니다.
IoT 보안 인증이 왜 중요한가
IoT 제품은 가정, 산업, 병원, 차량 등 생활과 산업의 핵심 인프라에 연결되어 있습니다.
보안이 미흡할 경우 단순 취약점이 데이터 유출, 시스템 해킹, 개인정보 침해 등으로 확대될 위험이 있습니다.
국정감사에서는 중국산 로봇청소기 사례가 대표적으로 언급되었습니다.
카메라, 마이크, 블루투스 기능을 활용하여 내부 데이터를 외부로 전송할 가능성이 있다는 우려가 제기되었습니다.
또한 중국 ‘데이터보안법’ 제35조에 따라, 중국 내 저장된 데이터를 중국 정부 승인 없이 해외 기관에 제공하는 행위가 금지된다는 점도 문제로 언급되었습니다.
해당 규제는 한국 소비자 정보에도 영향을 줄 수 있어 데이터 주권 리스크가 존재합니다.
📍 즉, 보안은 선택이 아니라 시장 진입을 위한 신뢰의 기준입니다.
*중국 '데이터보안법’ 제35조: 중국 당국이 승인하지 않은 채 중국 내에 저장된 데이터를 해외 사법 또는 법 집행 기관에 제공하는 행위를 금지하는 규정
기업이 인증을 회피하는 이유
비용 부담 : 최소 600만 원 ~ 최대 2,000만 원의 인증 비용
보안 인력 부족 : 중소 제조사 대부분 보안 담당자 미보유
기술 기준 이해 미흡 : EN 303 645, NIST 8259, CRA 등 국제 기준 대응 어려움
사후관리 체계 부재 : 인증 후 취약점 대응 가이드 및 재검증 체계 미흡
많은 기업의 가장 큰 문제는 인증 취득보다 '인증 이후 관리 체계 부재'입니다.
“이제는 인증 이후의 보안이 필요합니다”
보안 인증은 단일 절차가 아니라 지속 가능한 운영 체계가 뒷받침되어야 효과가 유지됩니다.
제품이 출시된 이후에도 신규 취약점이 지속적으로 발견되며, 이를 해결하기 위해서는 패치 관리, 재검증, 문서 업데이트가 반복적으로 수행되어야 합니다.
이는 CRA(Cyber Resilience Act)가 강조하는 ‘생애주기 보안(Lifecycle Security)’의 핵심 개념과도 일치합니다.
“제품 기획부터 설계, 개발, 출시, 운영, 폐기까지 전 단계에서 보안을 유지해야 합니다.”
또한 CRA는 조정된 취약성 공개(Coordinated Vulnerability Disclosure, CVD) 체계를 도입하여 제조사가 외부 연구자·고객·협력사와 협력적으로 보안 문제를 해결하고, 책임 있는 시점에 공개하도록 의무화합니다.
지엔의 대응: Z-IoT – 인증 이후 보안까지 관리하는 플랫폼
이를 해결하기 위해 지엔은 지능형 펌웨어 보안 점검 플랫폼 "Z-IoT"를 제공합니다.
단순한 인증 준비 지원을 넘어, 출시 이후 지속적인 보안 유지 단계까지 관리하는 플랫폼입니다.
AI 기반 펌웨어 취약점 진단
패스워드, 암호화, 실행파일 등 펌웨어 보안 취약점 자동 식별
제로데이 분석
특허 기반 바이너리 분석 기술로 알려지지 않은 잠재적 취약점 탐지
오픈소스(SBOM) 보안
펌웨어 내 오픈소스 자동 식별, SBOM 생성 및 취약점 실시간 모니터링
RTOS 환경 지원
Linux 및 RTOS 환경 펌웨어 분석으로 다양한 IoT 디바이스 점검
글로벌 보안 인증 지원
EN 18031, EN 303 645, NIST IR 등 글로벌 표준 자동 매핑 및 준수 현황 진단
Z-IoT로 기업은 인증 이후에도 제품 보안을 지속적으로 관리하며, 펌웨어 업데이트마다 자동화된 검증 체계를 운영할 수 있습니다.
결론
국정감사가 드러낸 문제는 제도의 부재가 아니라 보안 유지체계의 부재입니다.
IoT 보안 수준을 높이기 위해서는 인증을 받는 것보다, 이후에 지속적으로 점검하고 개선하는 역량이 핵심입니다.
지엔은 Z-IoT 솔루션 및 전문 컨설팅을 통해 기업이 인증 이후에도 제품 보안을 유지하며, 보안을 제품 수명 주기에 내재화할 수 있도록 지원합니다.
“인증에서 멈추지 않는 IoT 보안” — 그것이 지엔이 추구하는 방향입니다.
🔗 문의 사항: https://zi-en.io/company/contact-us