공인인증서 폐지로 생체인증의 걸림돌은 사라졌지만, 소비자 보호를 위한 제도는 아직 자리잡지 못하고 있다.

생체 정보는 분실이나 도난, 복제의 위험이 낮아 부정 결제의 위험을 크게 줄일 수 있지만, 위조나 복제가 불가능한 것은 아니다. 사진을 통해 지문이나 홍채를 복사할 수 있으며, 실제로 위변조를 통한 범죄가 발생하고 있다. 더구나 생체 정보는 평생 변화하지 않기 때문에 한번 유출되면 잠재적 위험성은 일반적인 개인정보의 유출보다 더 크다.

유출된 생체정보를 바탕으로 소비자의 인종, 성적취향, 건강상황 등 민감하고 중요한 개인정보를 추출해 낼 우려도 있다. 생체인증은 금융보안에 도움을 줄 수도 있지만, 더 큰 위협을 가할 수도 있는 양날의 칼인 셈이다.

정보통신망법 시행령 15조는 생체정보의 암호화를 규정하고 있고 신용정보감독규정 20조는 생체정보를 일방향 암호화하도록 하고 있어서 상대적으로 안전하지만, 웨어러블과 모바일 기기 사용을 위한 본인인증 등 신용정보법과 정보통신망법이 적용되지 않는 경우에는 그러한 규정이 없기 때문에 보안에 취약한 측면이 있다.

생체정보가 유출될 경우의 손해배상제도도 개선할 필요가 있다. 현재 전자금융거래법 9조에 따르면 생체정보를 비롯한 본인인증수단의 위변조로 소비자가 피해를 입은 경우 소비자는 위변조의 구체적인 상황을 입증해야만 손해를 배상 받을 수 있다. 소비자로서는 상당한 부담이다. 다른 선진국은 그러한 경우에 소비자가 쉽게 배상 받는다. 미국은 고객이 승인한 바 없는 온라인 송금에 대해서도 금융기관이 배상해야 하며, 비밀번호와 같이 본인인증수단 자체를 분실해도 분실을 안 날로부터 2일내에 신고하면 50달러까지만 부담하면 될 뿐이다.

장애인들의 보호도 중요한 문제다. 홍채나 지문, 손이 없는 장애인은 생체인증이 불가능할 수도 있다. 장애인이 아니라도 지문의 경우 장기간의 노동 또는 노화 등의 이유로 사라질 수 있다. 문제는 어떤 금융기관이 온라인 거래를 할 때 특정 생체 정보를 요구할 경우 장애인 또는 해당 생체 정보가 없는 사람은 그러한 서비스를 사용하지 못하게 될 우려가 있다. 이들의 불편을 고려하여 필수적인 서비스의 경우에는 생체 정보 외에도 대체적인 인증 수단을 병행하여 제공하도록 할 필요가 있다. 대표적으로 주거 출입, ATM 등과 같이 생활에 필수적인 서비스에서는 장애인 또는 생체 정보가 없는 사람에 대한 배려가 필요할 것으로 보인다.

생체인증이 모든 서비스에 범용적으로 이용될 수 있으려면 7가지의 조건을 모두 충족해야 한다. 해당 생체 정보를 누구나 가지고 있어야 하며(Universality), 각 사람마다 고유해야 하고(Uniqueness), 시간이 지나고 나이가 들어도 변화하거나 변화시킬 수 없는 특징(Permanence)이어야 한다. 그리고 센서를 통해 정량적으로 측정하기(Collectability) 쉬워야 한다. 뿐만 아니라 실사용 환경에서도 인식의 정확도가 높고 속도가 빠르며(Performance), 소비자들이 생체 정보를 저장하고 활용하는 데에 거부감이 없어야 한다 (Acceptability). 또한 생체 정보 모방이나 해킹 등 외부로부터의 공격도 방어할(Circumvention) 수 있어야 한다. 그러나 아직까지 모든 조건을 완벽히 충족시키는 생체인증 기술은 존재하지 않아서 용도별로 적합한 생체인증을 선별하여 활용하고 있다.

출처 : LG경제연구원