개념
파트 1 위에 무엇이 쌓이는가
레슨 3에서 EN 18031-1의 구조 — 자산 식별, 메커니즘, 결정 트리, 세 가지 평가 — 를 익혔다. 파트 2와 3은 이 구조를 그대로 쓴다. 달라지는 것은 두 가지다. 보호할 자산의 종류 가 늘어나고, 그 자산 때문에 새로 필요해지는 메커니즘 이 붙는다.
| 파트 | RED 조항 | 추가 자산 | 추가로 두드러지는 메커니즘 | 관보 제한 |
|---|---|---|---|---|
| 1 | 3(3)(d) 네트워크 | — (보안·네트워크 자산) | — | 패스워드(6.2.5.1·6.2.5.2) |
| 2 | 3(3)(e) 개인정보 | 개인정보 자산 | 삭제(DLM), 기록(LGM), 사용자 알림(UNM) | 패스워드 + 보호자 통제 |
| 3 | 3(3)(f) 사기 방지 | 금융 자산 | 기록(LGM), 강화된 인증·업데이트 | 패스워드 + 업데이트 다층 보호(6.3.2.4) |
그러니 이 레슨은 새 체계를 배우는 자리가 아니다. 파트 1의 시험 계획서에 무엇을 덧대야 하는지 를 정하는 자리다. 한 제품이 세 파트에 동시에 걸리면 시험도 세 번 하는 것이 아니라, 자산 목록을 넓혀 한 번에 설계한다.
개인정보 자산은 GDPR의 개인정보와 같지 않다
파트 2에서 가장 먼저 부딪히는 오해가 "개인정보는 전부 개인정보 자산으로 보호해야 한다"는 생각이다. GDPR의 개인정보 정의는 식별되었거나 식별 가능한 자연인과 관련된 모든 정보로 매우 넓다. 파트 2는 그 전부를 같은 강도로 보호하라고 하지 않는다. 해설 자료들은 대체로 세 부류 로 나눠 설명한다.
| 부류 | 기준 | 예 |
|---|---|---|
| 개인정보 자산 | 무단 접근·조작이 실제로 프라이버시를 침해 하는 정보 | 자격증명, 생체정보, 식별 가능한 위치 이력, 통신 내용 |
| 개인정보를 담은 보안 자산 | 개인정보이지만 보안 기능을 위해 쓰이는 정보 | 키 교환을 시작하는 데 필요한 사용자 식별자 |
| 분류되지 않은 개인정보 | 위 두 기준에 해당하지 않지만 개인과 관련된 정보 | 익명 크래시 보고 식별자 |
두 번째 줄이 흥미롭다. 암호화 통신을 수립하기 위해 먼저 주고받아야 하는 식별자를 "개인정보 자산이니 암호화하라"고 하면 순환이 생긴다. 그래서 그런 정보는 보안 자산으로 다룬다.
같은 정보도 맥락에 따라 부류가 바뀐다. MAC 주소를 예로 들면 이렇다.
- 매장 센서가 방문객 스마트폰의 MAC을 모아 이동 경로를 만든다면 → 개인정보 자산
- 기기 인증 파라미터로 쓰인다면 → 보안 자산
- 일반 네트워크 식별자로만 쓰인다면 → 분류되지 않은 개인정보
이 분류는 시험 범위를 직접 바꾼다. 개인정보 자산이면 접근 통제·보안 저장·보안 통신 요구가 모두 그 자산에 적용된다. 그러니 분류 근거를 맥락과 함께 기록 하지 않으면, 평가자는 가장 엄격한 부류로 해석한다.
파트 2가 두드러지게 만드는 세 메커니즘
DLM — 삭제 메커니즘. 기기를 초기화하거나 다른 사람에게 넘길 때 개인정보를 지울 수 있어야 한다. 이 요구는 분류되지 않은 개인정보에도 걸린다는 점이 중요하다. 레슨 2에서 본 EN 303 645의 5.11(데이터 삭제)과 같은 줄기다.
시험 관점에서 삭제는 "지웠다는 메시지"가 아니라 복구 불가능성 을 봐야 한다.
[DLM 시험 항목 예]
1. 초기화 후 로컬 저장소에 이전 사용자 데이터가 남는가 (기기)
2. 초기화 후 이전 계정의 토큰으로 클라우드 API 가 여전히 응답하는가 (연관 서비스)
3. 앱에서 계정 삭제 후 기기에 캐시된 데이터가 남는가 (기기 × 앱)
4. 새 사용자가 기기를 등록했을 때 이전 사용자 이력이 보이는가 (사용자 관점)두 번째 줄을 놓치는 경우가 많다. 기기는 깨끗해졌는데 클라우드 세션이 살아 있는 상태다. 레슨 2에서 연관 서비스를 범위에 넣어야 한다고 한 이유가 여기서 결함으로 나타난다.
LGM — 기록 메커니즘. 보안 관련 이벤트를 기록한다. 시험에서 볼 것은 세 가지다. 무엇이 기록되는가(인증 실패, 설정 변경, 업데이트), 기록이 변조로부터 보호되는가, 그리고 기록 자체가 개인정보를 과도하게 담지 않는가. 마지막이 파트 2다운 긴장이다. 감사를 위해 많이 남기면 프라이버시 위험이 늘어난다.
UNM — 사용자 알림 메커니즘. 보안 상태에 영향을 주는 변화를 사용자에게 알린다. 새 기기의 계정 연결, 원격 접근 활성화, 공유 설정 변경 같은 것들이다. UNM은 애플리케이션 UI가 있어야 구현되는 메커니즘이라, 칩 제조사가 제공하는 보안 기능만으로는 채워지지 않는다. 칩 제조사 안내 자료들도 이 부분을 완제품 제조사의 몫으로 분류한다.
보호자 통제 — 완구와 보육 기기의 제한 조항
파트 2는 접근 통제 요구(6.1.3~6.1.6 계열)에서 여러 구현 선택지 를 허용한다. 그런데 관보 인용은 완구와 보육용 기기 에 대해, 이 선택지 중 일부가 보호자 통제를 보장하지 않는다는 이유로 해당 하위 조항(6.1.3.4.2, 6.1.4.4.2, 6.1.5.4.2, 6.1.6.4.2)에 제한을 걸었다. 보호자(parental/guardian) 통제를 제대로 구현하지 않은 완구·보육 기기는 이 조항으로 적합성 추정을 받지 못한다.
시험 설계로 옮기면 "누가 설정을 바꿀 수 있는가" 가 핵심 질문이 된다.
| 시험 항목 | 확인할 것 |
|---|---|
| 보호자 계정과 아동 사용 경로의 분리 | 아동이 쓰는 인터페이스(기기 버튼·아동용 앱 화면)에서 프라이버시 설정에 접근할 수 있는가 |
| 설정 변경 권한 | 위치 공유·녹음·외부 연락처 허용 같은 설정을 보호자 인증 없이 바꿀 수 있는가 |
| 초기화 우회 | 기기 초기화로 보호자 통제를 무력화하고 새 계정으로 등록할 수 있는가 |
| 기본값 | 출고 상태에서 개인정보 노출 설정이 꺼져 있는가 |
세 번째 줄이 가장 자주 실패한다. 초기화 버튼 하나로 보호자 연결이 끊기고 누구나 새로 등록할 수 있다면, 보호자 통제는 정상 경로에서만 동작하는 통제 다. 모듈 3 레슨 3의 상태 전이 기법으로 "초기화" 전이를 반드시 포함시켜야 하는 이유다.
이 제한은 완구·보육 기기라는 제품 분류 에서 시작한다는 점도 기억하자. 성인용 스마트워치를 아동이 쓰는 경우와, 처음부터 아동용으로 판매되는 스마트워치는 판정이 다를 수 있다. 분류 근거는 제품의 의도된 용도와 판매 표시다.
파트 3 — 금융 자산
파트 3의 금융 자산은 금전·가상화폐 같은 가치의 이전을 다루는 데이터와 기능, 그리고 그 동작을 결정하는 설정 이다. 목표는 명확하다. 무단 거래를 실행하거나, 사기를 가능하게 하는 파라미터를 조작하지 못하게 하는 것이다.
적용 대상은 결제 기능이 있는 착용형 기기, 무선 POS 단말, 충전·결제가 되는 스마트 기기, 가상자산을 다루는 하드웨어 같은 것들이다. 설정 파라미터도 자산이라는 점이 중요하다. 결제 한도 설정, 수취 계좌 설정, 환율·가격 테이블 이 변조되면 거래 기능 자체는 멀쩡해도 사기가 가능해진다.
시험에서 두드러지는 요구는 인증과 기록이다. 금융 기능에 대한 인증은 해설 자료들이 다중 인증의 신뢰성과 우회 방지 를 주요 시험 대상으로 꼽고, 기록은 거래와 설정 변경의 추적 가능성 을 본다.
6.3.2.4 — 업데이트 보호가 한 겹이면 부족하다
파트 3의 관보 제한은 보안 업데이트 요구(6.3.2.4)에 걸려 있다. 규격은 업데이트 보호의 구현 범주 를 넷으로 제시한다 — 전자서명, 보안 통신 메커니즘, 접근 통제 메커니즘, 그 밖의 방식. 파트 1·2에서는 이 중 적절한 하나로 충분할 수 있다. 관보 제한의 취지는 금융 자산을 다루는 기기에는 어느 하나만으로는 충분하지 않다 는 것이다.
이 제한 때문에 3(3)(f) 기기는 사실상 제3자 평가를 거친다고 안내하는 인증기관도 있다. 해석 표현은 기관마다 다르지만, 시험 설계에 주는 함의는 같다. 보호층을 하나씩 무력화하며 나머지 층이 버티는지 를 봐야 한다.
[업데이트 다층 보호 시험 매트릭스]
서명 검증 │ 보안 채널 │ 접근 통제 │ 기대 결과
───────────────────────────────┼──────────┼──────────┼──────────
정상 O │ O │ O │ 설치
변조 이미지 X │ O │ O │ 거부
MITM 으로 교체 시도 O │ X │ O │ 거부
권한 없는 주체의 설치 명령 O │ O │ X │ 거부
구버전 정상 서명 이미지(롤백) O* │ O │ O │ 거부 (*서명은 유효)
서명 키 유출 가정 X* │ O │ O │ 다른 층이 막는가 (*서명 무력)마지막 두 줄이 이 제한의 핵심이다. 서명이 유효한 구버전 이미지 는 서명만으로는 막을 수 없다(롤백 방지가 따로 필요하다). 서명 키가 유출되었다고 가정 하면 서명 층이 사라진다. 그때 보안 채널과 접근 통제가 여전히 설치를 막는가가 "한 겹으로는 부족하다"는 요구에 대한 직접 증거가 된다. 모듈 16에서 배운 위협 가정 기반 시험의 전형이다.
한 제품이 세 파트에 걸릴 때 — 자산 중심으로 한 번에
레슨 1 과제에서 본 결제 기능이 있는 아동용 LTE 스마트워치 는 세 파트를 모두 받는다. 파트별로 시험 계획서를 세 벌 만들면 같은 인증 시험을 세 번 하게 된다. 대신 자산을 기준으로 한 표 하나로 설계한다.
| 자산 | 자산 종류 | 적용 파트 | 메커니즘 | 시험 항목 ID | 공유하는 시험 |
|---|---|---|---|---|---|
| 보호자 계정 자격증명 | 보안 | 1·2·3 | AUM | T-AUM-01~06 | 세 파트 공통 |
| 위치 이력 | 개인정보 | 2 | ACM·SSM·SCM·DLM | T-PRV-01~ | — |
| 결제 한도 설정 | 금융 | 3 | ACM·AUM·LGM | T-FIN-01~ | T-AUM-01~06 재사용 |
| 펌웨어 업데이트 | 보안 | 1·2·3 | SUM | T-SUM-01~ | 파트 3 은 다층 매트릭스 추가 |성적서는 파트별로 따로 낼 수 있지만, 원자료와 시험 수행은 한 번 이다. 모듈 32 레슨 4에서 원자료를 실행 단위로 보관하라고 한 설계가 여기서 비용을 줄인다. 같은 실행 기록을 세 성적서가 참조한다.
기술 문서 보존도 함께 계획한다. RED는 제조사에게 기술 문서와 적합성 선언을 제품 출시 후 10년간 보관하도록 요구한다. 시험 원자료가 그 기술 문서의 증거라면, 시험소의 보존 기간(KOLAS 4년)과 제조사의 보존 의무(10년) 사이 간극을 누가 메울지 계약에서 정해야 한다.
실무에서 왜 필요한가
파트 2·3에서 일정이 무너지는 지점은 대부분 제품 분류와 설계 결정 이다. 시험 기술보다 앞에 있다.
마케팅이 "아이들도 쓸 수 있는 스마트워치"라는 문구를 넣는 순간 완구·보육 기기 분류 논쟁이 시작될 수 있고, 보호자 통제 제한 조항이 걸린다. 결제 기능을 "나중에 펌웨어 업데이트로 켜자"고 결정하면, 그 업데이트가 제품을 파트 3 대상으로 바꾼다. QA가 이 판단 지점을 요구사항 리뷰 체크리스트 에 넣어 두지 않으면, 출시 직전에 적합성 평가 경로가 바뀌는 일이 생긴다.
삭제 시험은 사용자 신뢰와 직결된다. 중고 거래되는 기기에서 이전 사용자의 위치 이력이나 녹음이 복구되는 사고는 규제 위반이기 전에 브랜드 사고다. DLM 시험에 클라우드 세션 무효화 를 반드시 포함하는 것이 이 레슨의 가장 실용적인 교훈이다.