네트워크 전반에 걸쳐 연결 기기가 급속히 확산됨에 따라 IoT 합법적 감청 의무도 빠르게 확대되고 있습니다. 사물인터넷(IoT)은 물류와 농업부터 의료 및 스마트 시티에 이르기까지 다양한 산업을 변화시키고 있습니다. 현재 수십억 대의 연결 기기가 셀룰러 및 비셀룰러 네트워크를 통해 통신하며, 방대한 양의 기계 간(M2M) 데이터를 생성하고 있습니다. 통신 사업자, 특히 저전력 광역 네트워크(LPWAN) 연결 및 M2M 서비스를 제공하는 사업자들에게 이러한 성장은 상업적 기회뿐만 아니라 합법적 감청을 포함한 규제 의무의 확대도 수반하고 있습니다.
IoT 및 M2M 통신에 대한 합법적 감청 의무의 적용은 규제 측면에서 아직 발전 중인 분야이지만, 그 방향성은 분명합니다. IoT 트래픽이 증가하고 범죄 수사와의 관련성이 높아짐에 따라, 규제 당국과 법 집행 기관은 통신 사업자들이 이러한 통신을 감청할 수 있기를 점점 더 기대하고 있습니다. 이 글에서는 IoT 사업자에 대한 합법적 감청 의무의 현황, 이에 수반되는 기술적 과제, 그리고 사업자가 대비하기 위해 취해야 할 조치들을 살펴본다.
사물인터넷(IoT) 합법적 감청이 중요한 이유
사물인터넷(IoT) 및 M2M 통신이 합법적 감청 의무의 적용 범위에 포함되는지 여부는 주로 법적 문제이며, 그 답은 관할권에 따라 다릅니다. 유럽연합(EU)에서는 합법적 감청을 지원해야 할 의무가 일반적으로 대중이 이용할 수 있는 전자통신 서비스 제공자에게 적용됩니다. IoT 연결 서비스를 공공 전자통신 서비스로 분류할 수 있는지는 서비스의 성격, 최종 사용자와의 관계, 그리고 EU 규제 체계를 각국이 구체적으로 어떻게 이행하는지에 따라 달라집니다.
독일에서는 TKÜV(Telekommunikations-Überwachungsverordnung, 통신감시규정)가 모든 공개 통신 서비스 제공업체에 적용되며, BNetzA는 IoT 연결 서비스를 제공하는 사업자의 경우 서비스 성격에 따라 해당 규정의 적용 대상이 될 수 있음을 밝힌 바 있습니다. 다른 EU 회원국들의 경우 입장이 그다지 명확하게 정의되어 있지는 않지만, IoT 서비스가 더욱 보편화되고 법 집행 기관이 IoT 데이터의 새로운 활용 사례를 파악함에 따라 LI 의무의 적용 범위가 확대되는 것이 일반적인 추세입니다.
규제 입장이 모호한 경우라 하더라도, 사업자는 현실적인 상황을 고려해야 합니다. 즉, 법 집행 기관이 귀사의 네트워크에 연결된 IoT 기기와 관련된 유효한 감청 명령을 제시할 경우, 귀사는 이에 협조해야 할 것으로 기대됩니다. IoT 통신 감청을 지원할 수 있는 능력을 전혀 입증하지 못하는 사업자는, 해당 관할권에서 IoT 서비스에 대한 법적 의무가 명시적으로 규정되어 있는지 여부와 관계없이 규제상의 위험에 직면하게 됩니다.
법 집행에 있어 IoT 데이터가 중요한 이유
IoT 기기는 범죄 수사와 깊은 관련이 있을 수 있는 데이터를 생성합니다. 커넥티드 차량은 위치 데이터, 주행 패턴, 통신 로그를 생성합니다. 스마트 홈 기기는 환경 데이터, 사용 패턴을 기록하며, 경우에 따라 오디오나 영상도 기록합니다. 웨어러블 건강 기기는 생체 인식 데이터와 움직임 패턴을 수집합니다. 산업용 IoT 센서는 운영 활동, 공급망 이동 현황, 환경 조건을 파악할 수 있게 해줍니다. 자판기나 공과금 계량기와 같은 단순한 M2M 기기조차도 특정 수사에 유용하게 활용될 수 있는 위치 및 사용 데이터를 생성합니다.
법 집행 기관들이 IoT 데이터의 수사적 잠재력을 점점 더 인식함에 따라, IoT 사업자에게 통신 감청이나 데이터 공개를 요청할 가능성이 높아지고 있습니다. 이러한 요청에 응하지 못하는 사업자는 규제상의 제재를 받을 뿐만 아니라, 법 집행 당국으로부터 비협조적이라는 평가를 받을 위험에 처하게 되며, 이는 규제 당국과의 관계에 더 광범위한 영향을 미칠 수 있습니다.
IoT LI의 기술적 과제
IoT 및 M2M 통신에 대한 합법적 감청을 구현하는 데에는 기존의 음성 및 데이터 감청과는 상당히 다른 몇 가지 기술적 과제가 있습니다. 첫 번째는 통신 프로토콜의 다양성입니다. IoT 기기는 MQTT, CoAP, LwM2M, HTTP 및 독점 프로토콜 등 광범위한 프로토콜을 사용하여 LTE-M, NB-IoT, LoRaWAN, Sigfox, 위성 등 다양한 네트워크 기술을 통해 통신합니다. 각 프로토콜과 네트워크 기술은 서로 다른 특성을 가지고 있으며, 이는 감청 수행 방식에 영향을 미칩니다.
두 번째 과제는 통신의 양과 패턴입니다. 음성 통화나 웹 브라우징 세션과 달리, IoT 통신은 일반적으로 시간이 짧고 빈도가 낮으며 대역폭이 적습니다. 센서는 시간당 몇 바이트의 데이터만 전송할 수도 있습니다. 이러한 패턴으로 인해 기존의 세션 기반 감청 방식은 적합하지 않게 되며, 지속적인 세션이 아닌 개별 데이터 전송을 포착할 수 있는 LI 시스템이 필요합니다.
세 번째 과제는 대상 식별입니다. IoT 기기는 IMSI, IMEI, IP 주소 또는 기존의 가입자 식별자와 일치하지 않는 기기별 식별자를 통해 식별될 수 있습니다. 이러한 식별자를 특정 대상에 매핑하는 작업은 — 특히 기기가 개인이 아닌 조직 소유인 경우 — 복잡할 수 있습니다. LI 시스템은 더 광범위한 식별자 유형을 지원해야 하며, 이러한 식별자를 네트워크 내의 특정 기기와 데이터 스트림으로 매핑할 수 있어야 합니다.
네 번째 과제는 암호화 및 보안과 관련이 있습니다. 많은 IoT 프로토콜이 애플리케이션 계층 암호화를 구현하고 있는데, 이는 운영자가 암호화된 트래픽을 포착할 수는 있더라도 그 내용에 접근할 수는 없음을 의미합니다. 예를 들어, CoAP 및 MQTT에서 사용하는 DTLS 및 TLS 구현 방식은 운영자가 복호화할 수 없는 방식으로 애플리케이션 페이로드를 암호화할 수 있습니다. 이러한 제한 사항은 감청 요청에 대응할 때 법 집행 기관에 투명하게 전달되어야 합니다.
다섯 번째 과제는 IoT 구축의 방대한 규모입니다. 통신사는 자사 네트워크에 수백만 대의 IoT 기기를 보유하고 있을 수 있으며, LI 시스템은 이 방대한 기기 집합 내에서 특정 기기를 효율적으로 식별하고 감청할 수 있어야 합니다. 기존의 가입자 기반 감청 관리에 사용되던 시스템은 별다른 수정 없이서는 IoT 규모의 기기 집합에 효과적으로 대응하기 어려울 수 있습니다.
LPWAN 관련 고려 사항
NB-IoT, LTE-M, LoRaWAN, Sigfox 등을 포함한 LPWAN 기술은 LI 구현에 영향을 미치는 특정한 특성을 가지고 있습니다. NB-IoT와 LTE-M은 3GPP 생태계 내에서 작동하며, 셀룰러 코어 네트워크를 통해 서비스를 제공합니다. 원칙적으로 다른 셀룰러 서비스에 적용되는 것과 동일한 LI 메커니즘을 NB-IoT 및 LTE-M 트래픽에도 적용할 수 있습니다. 그러나 트래픽의 낮은 대역폭과 간헐적인 특성상, 지속적인 세션보다는 개별 데이터 전송을 포착할 수 있는 LI 시스템이 필요합니다.
LoRaWAN과 Sigfox는 3GPP 생태계 밖에서 운영되며, 독점적이거나 개방형 표준 네트워크 아키텍처를 사용합니다. 이러한 기술에 LI를 적용하는 방식은 표준 측면에서 명확히 정의되어 있지 않으므로, 사업자는 맞춤형 감청 솔루션을 개발해야 할 수도 있습니다. 예를 들어, LoRaWAN의 네트워크 아키텍처에는 게이트웨이, 네트워크 서버 및 애플리케이션 서버가 포함되며, 트래픽이 애플리케이션 계층으로 전달되기 전에 이를 캡처하기 위해서는 네트워크 서버 수준에 감청 지점을 배치해야 할 수도 있습니다.
사물인터넷(IoT) 통신을 위한 IRI 및 CC
주로 음성 및 데이터 통신을 위해 설계된 ETSI IRI 데이터 구조는 IoT 통신과 관련된 메타데이터를 완전히 포착하지 못할 수도 있습니다. 기기 유형, 센서 측정값, 펌웨어 버전, 운영 매개변수, 기기 그룹 소속 여부 등과 같은 IoT 전용 메타데이터는 법 집행 기관의 수사에 중요할 수 있으나, 표준 IRI 정의에는 포함되지 않습니다. 통신 사업자는 국가 LI 당국과 협력하여 IoT 전용 데이터 요소를 포함하도록 IRI 생성 기능을 확장해야 할 수도 있습니다.
IoT 통신에 사용되는 CC는 일반적으로 음성이나 데이터 세션에 비해 용량이 훨씬 작지만, 형식은 더 다양할 수 있습니다. IoT 전송의 내용은 JSON 페이로드, 바이너리 센서 측정값, 프로토콜 버퍼 메시지 또는 독점 데이터 형식일 수 있습니다. LI 시스템은 이러한 콘텐츠를 법 집행 기관이 처리하고 분석할 수 있는 형식으로 캡처하고 전달할 수 있어야 합니다. 대부분의 경우, IRI 메타데이터와 함께 원시 프로토콜 페이로드를 제공하는 것이 가장 실용적인 접근 방식이 될 것입니다.
IoT LI 의무 이행 준비
IoT 및 M2M 서비스를 제공하는 사업자는 규제 요건이 아직 완전히 확정되지 않았더라도 LI 의무를 대비하기 위해 선제적인 조치를 취해야 합니다. 첫째, 법률 자문가 및 해당 국가의 규제 당국과 협의하여 사업 활동을 펼치는 각 시장의 규제 현황을 평가해야 합니다. 둘째, IoT 감청에 대한 구체적인 요건에 비추어 현재의 LI 역량을 평가하고, 대상 식별, 트래픽 캡처, IRI 생성 및 CC 전달 과정에서 부족한 부분을 파악해야 합니다.
셋째, IoT 감청을 지원하기 위해 LI 역량을 강화하기 위한 기술 로드맵을 수립하십시오. 이 로드맵에는 IoT 네트워크 요소와 LI 중개 기능의 통합, IoT 기기 식별자를 지원하기 위한 대상 식별 기능의 확장, 그리고 IoT 전용 메타데이터 및 콘텐츠의 수집이 포함되어야 합니다. 넷째, LI 솔루션 공급업체와 협력하여 IoT LI 지원을 위한 해당 업체의 로드맵을 파악하고, 귀사의 요구 사항에 따라 개발 우선순위에 영향을 미치도록 하십시오.
마지막으로, IoT LI 규정 준수를 위한 귀사의 접근 방식을 문서화하십시오. 여기에는 현재 역량의 한계와 이를 해결하기 위해 취하고 있는 조치도 포함되어야 합니다. 이 문서는 귀사의 역량이 아직 완전히 성숙되지 않았더라도, 규제 당국에 성실한 규정 준수 의지를 입증하는 데 큰 도움이 될 것입니다.
결론
IoT 및 M2M 통신의 성장은 규제 동향과 IoT 데이터의 수사적 중요성 증대라는 두 가지 요인에 힘입어, 통신 사업자들에게 새로운 합법적 감청 의무를 부과하고 있습니다. IoT 합법적 감청(LI)의 기술적 과제는 프로토콜의 다양성, 트래픽 패턴, 대상 식별, 암호화, 규모 등 광범위하여 상당하지만, 극복할 수 없는 수준은 아닙니다. 규제적 리스크를 파악하고, 기술적 역량을 평가하며, IoT 지원 감청 솔루션에 투자하는 통신 사업자들은 IoT 생태계가 지속적으로 성장함에 따라 이러한 새로운 의무를 충족하고 규정 준수를 유지하는 데 유리한 입지를 확보하게 될 것입니다.
사물인터넷(IoT)과 합법적 통신 감청의 접점은 점점 더 상호 연결되어 가는 세상에서 감시의 범위에 대한 더 광범위한 의문을 제기하기도 합니다. 일상적인 사물들이 네트워크로 연결되어 데이터 스트림을 생성함에 따라, 통신 감청과 광범위한 데이터 수집 사이의 경계가 모호해지고 있습니다. 사업자들은 규제 당국 및 업계 단체와 적극적으로 협력하여 IoT 합법적 감청(LI)을 위한 새로운 프레임워크를 마련하는 데 기여해야 하며, 이를 통해 도출된 요구 사항이 법 집행에 효과적일 뿐만 아니라 사업자들이 실제로 이행할 수 있도록 실질적인 기술적 전문성을 제공해야 합니다.
IoT 합법적 감청 의무의 범위는 관할권 및 서비스 유형에 따라 다릅니다. 사업자는 구축 계획 초기 단계에서 자사의 IoT 합법적 감청 요건을 파악해야 합니다.
관련 기사
관련 주제에 대한 자세한 내용은 다음 문서를 참조하세요:
- 5G SA 환경에서의 네트워크 슬라이싱: LI 타겟팅을 어떻게 복잡하게 만들며(그리고 어떻게 단순화할 수 있는가)
- eSIM 및 합법적 감청: RSP 아키텍처가 규정 준수를 위해 의미하는 것
- MVNO와 MNO: 합법적인 감청에 대한 법적 책임은 누구에게 있나요?
외부 리소스
다음 외부 리소스에서 추가 컨텍스트와 공식 문서를 확인할 수 있습니다:
