한번 털리면 대체 불가…'몸키(key) 보호법' 눈뜨나

홍채인식 등 바이오인증 기술의 보편화가 우리 곁으로 성큼 다가왔다. 삼성전자가 최근 출시한 스마트폰 갤럭시노트7 덕분이다. 보안성도 높고 이용도 편리해 핀테크(Fintech) 등 금융산업의 혁신을 이끌 것이라는 기대감이 높다. 금융거래를 위해 필요한 아이디와 패스워드, 공인인증서, 보안카드, ARS(자동응답전화) 본인확인 등 복잡한 인증 시스템을 홍채나 지문 등 간단한 생체정보 인증으로 대체할 수 있을 것이라는 전망이다. 금융당국 역시 실명확인 합리화 방안을 마련하는 등 바이오인증 기술의 활성화를 적극 수용하고 나섰다.

몸 속 정보가 본인 인증의 열쇠인 '몸키(key)' 시대. 하지만 편리함이 큰 만큼 생체정보가 유출될 경우 피해도 클 수밖에 없다. 휴대전화 번호 주민번호 등 기존의 개인정보는 유출시 다른 번호로 대체하는 등의 보완이 가능하지만 생체정보의 경우 한번 유출되면 대체가 불가능하다. 그만큼 관리가 철저해야하지만 아직까지 개인정보 보호 관련 법에는 생체정보가 빠져있다. 기술의 발전을 법·제도가 따라가지 못하는 대표적 사례다. 20대 국회 들어서야 생체정보 관련 내용을 담고 있는 법률 개정안들이 제출됐다.

◇실패확률 '100만분의 1'…日 카드없는 ATM 8만대나

바이오인증에 사용되는 대표적인 생체정보는 홍채와 지문, 정맥 등이다. 홍채의 경우 본인인증이 실패할 확률이 100만분의 1 수준인 것으로 알려져 있다. 통계학적으로 DNA 분석보다 정확도가 높다는 것이다. 미국과 영국 캐나다 네덜란드 등 선진국에서는 높은 보안성이 요구되는 공항에서 주로 사용된다.

바이오인증 기술을 금융분야에 가장 적극적으로 도입한 나라는 일본이다. 카드나 통장을 대신해 손바닥 정맥을 이용해 현금인출과 송금이 가능하도록 설계된 ATM(은행자동화기기)이 약 8만대 운영중인 것으로 알려져 있다. 지진 쓰나미 등 자연재해가 발생해 카드·통장을 잃어버려도 은행 사용을 가능케하기 위한 것이다.

스마트폰 업체들이 이 시장을 앞다퉈 이끌고 있다. 애플의 경우 아이폰5S에 지문인식 기술 '터치ID'를 탑재한 이후 바이오 인증 기술을 꾸준히 적용하고 있다. 삼성전자 역시 갤럭시 S5에 지문인식 기술을 탑재하는 등 적극적이다. 관련 산업의 경우 2020년 333억 달러(약 36조3000억원)까지 성장할 것이라는 관측도 있다.

◇유출시 대체 불가능…해킹 집중될 가능성도

문제는 생체정보가 유출됐을 경우다. 일반 인증수단들은 사고 발생시 재발급 등이 가능하지만 생체정보는 일단 한번 유출되면 교체가 불가능하다. 정보 유출 우려 때문에 스마트폰 등 사용자가 관리하는 기기에만 생체정보가 저장되는 방식이 사용되지만 이 경우 스마트폰이 해킹의 표적이 될 가능성도 있다.

이에 따라 생체정보를 분산관리하는 방안도 검토되고 있다. 사용자의 생체정보를 분할해 한 조각은 금융기관 서버나 스마트폰 등에 저장하고 나머지 조각은 별도의 인증센터에 보관했다가 바이오인증이 필요한 시점에 두 조각을 결합해 본인인증을 하는 방식이다.

국내 사용자들은 그간 수시로 발생한 개인정보 유출 사고로 생체정보 활용에 민감하다. 그만큼 엄격한 생체정보 관리가 이뤄져야 관련 산업이 발전할 수 있다. 그러나 현행 개인정보보호법에는 생체정보에 대한 별도의 규정이 없는 상황이다. 생체정보를 활용하려면 기존 법률을 '확대' 해석해 적용하는 수밖에 없다.

◇생체정보 보호 입법화 움직임…분리 보관이 핵심

생체정보 보호를 위한 입법화 움직임은 20대 국회에 들어서야 본격화됐다. 새누리당 민경욱 의원은 지난 8월10일 생체정보를 보호 대상에 포함하는 내용을 뼈대로 하는 개인정보보호법 개정안을 대표발의했다. 같은당 강효상 의원도 지난 1일 유사한 내용의 개인정보보호법과 정보통신망법 개정안을 제출했다.

개인정보보호법 개정안은 생체정보 관련 규정을 신설해 그간의 개인정보 보호 체계에 생체정보를 포함시키는 내용이다. 생체정보를 저장할 경우 암호화 등 안전조치를 의무화하고 생체정보와 개인정보를 분리 보관케 하는 방안도 포함됐다. 또 생체정보를 이용해 개인을 식별할 수 있는 특징정보를 생성한 다음에는 원본정보를 파기하도록 했다.

정보통신망법 개정안의 경우 포털 등 정보통신 서비스 제공자들이 개인정보보호법 개정안의 의무를 준수케 강제하는 내용이 뼈대다. 그러나 개정안에 생체정보의 특성이 반영이 안됐다는 지적도 나온다. 또 생체정보 단독으로 전자서명 효과가 발휘될 수 있도록 전자서명법의 개정이 필요하다는 목소리도 있다.

개정안을 발의한 강효상 의원실 관계자는 "얼굴·지문·홍채 등의 생체정보는 고유불변하다는 특성과 별도로 휴대할 필요가 없다는 편리성으로 인하여 신원확인 수단으로 활용하는 분야가 확대되고 있는 추세"라며 "생체정보가 유출될 경우 개인의 사생활이 침해되는 등 피해가 막대할 수 있어 법적으로 강하게 보호할 필요가 있다"고 말했다.