국방부 스마트글래스 통과…국가중요시설·반도체 공장도 ‘센서 보안’ 재점검해야

[이슈밸리=윤대우 기자] 스마트글래스 하나가 국방부 청사 보안의 빈틈을 드러냈다. 휴대전화와 노트북, USB 반입을 통제하는 기존 보안 체계가 안경·차량·시계처럼 일상 기기에 녹아든 카메라와 마이크, 위치정보 센서, 통신 기능을 충분히 걸러내지 못할 수 있다는 지적이다.

7일 국회 국방위원회의 국방부 국정감사에서 천하람 개혁신당 의원은 스마트글래스를 착용한 채 청사와 국감장에 들어가 촬영한 영상을 공개했다. 강신철 국방부 장관은 해당 기기가 스마트글래스인지 몰랐다고 답했고, 중국 브랜드 전기차의 청사 출입 문제에는 현재 제재 규정이 없다며 보완 필요성을 언급했다.

이번 사례가 실제 기밀 유출을 의미하는 것은 아니다. 다만 보안의 기준이 휴대전화 반입 여부에 머문 사이 촬영·녹음·위치추적·무선전송 기능은 안경과 차량, 웨어러블 기기로 분산됐다. 출입증과 금속탐지기로 사람의 출입을 확인하는 방식만으로는 데이터의 생성과 전송 경로를 통제하기 어려운 환경이라는 분석이 나온다.

안경·차량이 아닌 ‘센서와 데이터 흐름’의 문제

스마트글래스는 외관상 일반 안경과 구별이 쉽지 않다. 카메라와 마이크를 통해 시설 내부 구조, 출입 동선, 화면 자료, 대화 내용을 담을 수 있고 제품에 따라 스마트폰 또는 클라우드와 연동될 수 있다. 촬영 표시등 유무만으로 보안성을 판단하기도 어렵다.

커넥티드카도 같은 맥락이다. 차량은 다수의 카메라와 위치정보, 통신 모듈, 소프트웨어 업데이트 기능을 갖춘 이동형 정보기기다. 군 시설이나 발전소, 항만, 정부청사, 반도체 생산라인 주변을 반복 출입할 경우 위치와 동선, 주변 영상 등 민감 정보가 축적될 가능성이 있다.

다만 제조국만으로 특정 차량이나 기기를 곧바로 보안 위협으로 단정하기는 어렵다. 실제 위험성은 데이터 저장 서버의 위치, 원격 접근과 업데이트 권한의 주체, 제3자 제공 가능성, 시설 내 통신 차단·기록 여부 등에 따라 달라진다. 보안 관리 역시 국적 일괄 배제보다 센서 기능과 데이터 경로, 원격제어 가능성을 기준으로 삼는 방식이 검토될 수 있다.

반도체·국가핵심기술 현장, 규정과 현실 사이의 틈

반도체 등 국가핵심기술 보유기관은 이미 보호구역을 나누고 촬영·통신·저장 기능이 있는 기기의 반출입을 제한하거나 사용 허가를 받도록 하는 보안 지침의 적용 대상이다. 비인가 통신과 자료 전송을 차단하고 기록을 유지하는 조치도 요구된다.

쟁점은 규정이 존재하더라도 현장에서 새 기기 형태를 즉시 식별하고 통제할 수 있느냐는 데 있다. 스마트폰 보안 앱이나 카메라 봉인 중심의 관리 체계로는 안경형 카메라, 스마트워치, 무선 이어폰, 차량 내장센서, 휴대형 인공지능 기기까지 포괄하기 어렵다는 평가다. 협력업체·방문객·외국인 엔지니어·물류차량 등 출입 주체가 많은 대형 사업장일수록 관리 사각지대가 발생할 가능성도 커진다.

반도체 공장과 연구소에서는 공정 장비 배치, 클린룸 동선, 수율 자료, 설계·소프트웨어 화면 등이 중요 정보로 분류된다. 한 장의 사진이나 짧은 동영상이 곧바로 핵심기술 유출로 이어진다고 단정할 수는 없지만, 반복 촬영과 외부 정보의 결합은 시설·공정 분석의 단서가 될 수 있다.

해외도 ‘바퀴 달린 스마트폰’ 규제 논의

미국은 중국·러시아 관할 기업이 만든 커넥티드카와 자율주행 시스템의 하드웨어·소프트웨어가 차량 정보 수집이나 원격 접근의 통로가 될 수 있다고 보고 규제에 나섰다. 호주 정부는 정부 청사 내 카메라 장착 스마트글래스 사용 제한을 검토하고 있으며, 미국 뉴욕주 법원은 카메라·마이크가 달린 스마트글래스의 법원 시설 내 사용을 금지했다.

한국에서도 시설 특성에 맞춘 단계적 관리 체계의 필요성이 제기된다. 군사시설·국가중요시설·국가핵심기술 보호구역에서는 카메라·마이크·위치정보·셀룰러 통신·외부 클라우드 연동 기능을 갖춘 기기를 별도 분류하는 방안이 거론된다. 출입 단계의 탐지·신고 체계, 내부 통신 제한 구역, 사용 승인과 기록 관리, 제조사·클라우드 사업자의 데이터 처리 점검을 함께 적용하는 방식도 검토 대상이다.

국방부 국감에서 나온 스마트글래스 시연은 특정 기기 하나에 국한된 문제가 아니다. 중요 시설 보안의 기준을 ‘무엇을 들고 들어오느냐’에서 ‘어떤 센서가 어떤 정보를 수집해 어디로 전송하느냐’로 옮겨야 한다는 과제를 보여준 사례로 평가된다. 새 기기의 상용화 속도를 규정과 현장 대응이 따라가지 못할 경우 국방부뿐 아니라 국가 주요시설과 첨단산업 현장에서도 보안 취약점이 지속될 가능성이 있다.

염흥열 순천향대 정보보호학과 명예교수는 “커넥티드카는 운전자의 개인정보뿐 아니라 주행 경로, 운전 패턴, 방문 장소 등 매우 민감한 정보를 수집할 가능성이 크다”며 “군사시설과 국가중요시설에서는 차량·웨어러블 기기의 제조국만 볼 것이 아니라 카메라·위치정보·통신 기능, 데이터 저장 위치와 외부 전송 여부를 함께 점검해야 한다”고 말했다.

임종인 고려대 정보대학원 석좌교수는 “보안은 특정 제품을 일괄 배제하는 방식보다 원격접근 가능성, 소프트웨어 업데이트 권한, 데이터 처리 경로를 독립적으로 검증하는 체계가 중요하다”며 “반도체 공장과 연구소, 국방시설은 스마트글래스 등 촬영·통신 기기의 반입 통제와 함께 보안성 검증, 기록관리, 위반 시 제재 기준을 갖춰야 한다”고 밝혔다.