|
현재 디지털 아이덴티티(IDentity, 이하 ID)는 누군가의 리소스 액세스 권한을 승인하고 인증하는 방법 이상의 역할을 하고 있다. 신원 및 액세스 관리(Identity and Access Management, IAM)는 더 전체적인 모델, 일반 사용자 주도형 모델로 발전했다. 이를 견인한 것은 프라이버시와 사이버보안에 대한 압력, 더 많은 기능에 대한 필요성이다. 소비자 IAM 시스템이 제공해야 하는 서비스는 디지털 ID의 정의와 어떤 기능을 수행해야 하는지에 대한 새로운 사고방식을 요구한다.
기업과 기관, ID 관련 업계는 포인트 솔루션 사고방식에서 벗어날 필요가 있다. 디지털 ID는 이제 지속적이면서 동적으로 개인, 관련된 엔티티(실체)를 대표할 수 있어야 한다. 이렇게 하면 온보딩(onboarding)과 신뢰 수준(Confidence Level, 보증)을 배치하는 것이 더 쉬워지고, 보안과 제어가 강화되는 이점이 있다.
ID가 디지털 라이프가 될 때의 디지털 ID란 무엇인가? 그냥 말 장난에 불과할까? 아니면 기술적으로 달성가능하고 필요한 것일까?
이번 기사에서는 필자가 오랜 시간 ID 서비스를 고안하면서 터득한 교훈과 디지털 ID가 단순히 누군가의 리소스 액세스 권한을 승인과 인증하는 방법 이상이라고 생각하는 이유를 설명한다.
디지털 라이프 구축하기
필자는 아주 실용적인 사람이다. 무언가 필요하다고 강력히 주장을 할 경우, 이를 뒷받침할 실제적인 애플리케이션(특정 용도)이 존재한다. 즉, ‘디지털 ID’가 아닌 ‘디지털 라이프’라는 말을 사용한 것은, 두 가지 개념이 모두 존재하고 각각의 달성 방법에 대한 관점이 존재한다는 의미다.
먼저, ‘디지털 라이프를 위한 구현’이 무슨 의미일까? 라이프, 즉 인생은 변화에 관한 것이다. 태어나서, 부모로부터 독립한다. 그리고 결혼을 하거나, 인생의 파트너를 찾는다. 아이를 갖게 되며, 이 아이들이 이런 과정을 반복한다. 때론 건강이 크게 나빠질 수도 있다. 나이가 들고, 삶을 마감한다.
이런 변화는 이벤트(사건)이며, 소프트웨어는 이런 이벤트를 잘 반영하고 대응해야 한다. 이벤트 별로 발생할 일에 규칙을 적용할 수 있다. 따라서, 우리가 사용하는 디지털 시스템에 이런 기능, 능력, 특성을 구현해야 한다. 라이프를 반영해야 한다. 라이프 이력을 기준으로 ID를 정의해야 한다. 라이프 이벤트를 반영하는 ID 서비스를 만들면, 시간 경과와 함께 특정인에 대한 지식을 넓힐 수 있기 때문에 KYC(Know Your Customer) 같은 영역에서 유연성이 확대된다. 그러면 온라인 등록을 쉽게 만들면서, 동시에 높은 보증으로 특정인을 확인해 인증할 수 있게 된다. 즉, 둘 사이의 균형점을 찾게 되는 것이다.
많은 사람이 ID는 트랜잭션을 위해 데이터를 공유하는 것과 큰 관련이 있다고 말할 것이다. 맞는 말이다. 그러나 그 이상인 경우가 많다. 그리고 ‘그 이상’인 부분에서 온라인 트랜잭션에서의 진짜 힘이 나타난다. ‘디지털 라이프’가 무슨 의미인지 예를 들어 설명하겠다.
필자는 신체적 장애가 하나 있다. 드러나지 않다가, 특정 상황에서만 드러난다. 필자는 최근 금융서비스의 온라인 계정을 이용하기 위해 ID를 인증해야 했다. 인증을 하기 위해, 여권을 들고 있는 상태에서 셀카를 촬영해야 했다. 필자는 몸 상태에 따라 손이 계속 떨리는 문제를 갖고 있다. 이로 인해 인증 프로세스를 마치지 못했다. 결국 필자는 계정을 만들지 못했으며, 이 금융 서비스는 필자와 비즈니스를 할 기회를 잃었다.
이 서비스는 필자가 쉽게 인증을 할 수 있도록 인증 기준을 더 낮출 수도 있었다. 그러면 이 금융서비스 플랫폼을 이용하기도 전에 포기하는 일은 없었을 것이다.
또는, 더 낮은 수준의 보증을 바탕으로 관계를 구축하는 기회를 제공할 수도 있다. 이 경우, 시간이 지나면서 자신의 속도에 맞춰 필요할 때 데이터를 추가 제공하는 방법을 통해 서비스와의 관계가 구축, 강화될 수 있다. 서비스를 사용하면서 행동 데이터가 제공될 것이다. 서비스는 일정 시점에 보증인이나 공증인이 사용자를 대신해 행동하도록 허용할 수도 있다. 이런 식으로 시간 경과와 함께 서비스와 고객이 관계를 더 밀접하게 만들어 신뢰를 구축할 수도 있다.
물론 서비스가 필요한 이유는 지금 당장 필요하기 때문이라는 반론이 있을 수 있다. ‘답’은 디지털 라이프 서비스를 사용하는 페더레이션(Federation) 방식을 제공하는 것이다. 견고한 디지털 라이프 구축에 시간이 소요될 수 있지만, 특정 신뢰(보증) 수준에 도달하면 아주 유용할 수 있다. 다른 많은 서비스도 개인의 디지털 라이프를 연동해 표출하는 ID에 내재된 견고한 인증 방식으로부터 혜택을 누릴 수 있다.
디지털 라이프의 프라이버시는 어떨까? 분명히 악용 가능성이 있을 것이다. 정당한 질문이다. 하지만 한 문장으로 대답할 수 없다. 프라이버시, 그리고 이와 관련된 보안은 디자인을 고려할 때 반드시 고려해야 할 부분이다. 디지털 라이프는 행동 데이터와 개인 데이터에 의지할 것이다. 하지만 더 현실적으로 인간의 상호작용 모델을 반영하도록 만들어진 서비스는 행동과 머신러닝 같은 고급 컴퓨팅 기법을 이용해 서비스의 프라이버시와 보안을 강화하는 속성을 갖고 있을 수도 있다.
현재 디지털 ID의 문제점
현재 디지털 ID에 이용하고 있는 시스템은 효과적이지 못하다. 이는 특정인의 디지털 버전을 만들려고 시도한다. 신원을 증명하는 문서를 조사해 신원을 인증하는 방식이다. 사기 및 부정 행위 방지 시스템을 사용해 특정 인물이 사이버범죄자가 아닌지 확인하는 경우도 많다. 이런 과정을 통과했을 때 ID를 얻는다. 이런 정적인 방식에 내재된 4가지 문제가 있다.
1. 디지털 ID를 얻기 어렵다
업계에서 확인된 단점 가운데 하나는 온라인 ID 획득이 아주 어렵다는 것이다. 때론 불가능한 경우도 있다. 영국 베리파이(Verify)의 경우, 일치율이 기껏해야 48%에 불과했다(90%로 예측이 됐었지만). 이렇게 된 이유는 기준이 매우 높게 설정됐기 때문이다. 여러 단계의 확인과 검사를 통과해야 레벨 2의 신뢰 수준에 도달할 수 있었다. 레벨 1의 신뢰 수준에 대한 기준은 이보다 낮았다. 그러나 이번 기사에서 다루기 힘든 다른 복잡한 문제가 많았다.
베리파이와 다른 많은 서비스의 주요 문제점은 인구통계학적 특징들을 충분히 반영하지 못하는 것이다. 여러 단계의 긴 프로세스를 거쳐야 ID를 얻을 수 있다. 이는 상당히 귀찮고 부담스러운 일이다.
온라인 뱅킹 계정의 경우에도 유사한 문제가 발생한다. 문제는 ID가 정적이지 않다는 점이다. 다른 방법이 필요하다. 온라인 트랜잭션 승인의 토대인 신뢰는 ‘온/오프 스위치’가 아니다. 신뢰는 천천히 타오르는 도화선이다. 서비스의 신뢰 수준을 충족하지 못하는 사용자를 차단하는 방식이 모범 사례가 되어서는 안 된다. 하지만 가짜 사용자와 진짜 사용자를 구분하는 방법에 지혜를 발휘해야 한다.
디지털 라이프 디자인 개념을 토대로 ID 시스템을 구현한다면, 이를 더 정확히 전달할 규칙과 구조를 구현할 수 있다. 또한, 더 튼튼한 관계를 만들고, 온라인 ID를 관리하도록 장려하면서 사용자에게 힘을 실어 줄 수 있다. 지금처럼 각자 수많은 온라인 계정을 관리하면서 아예 신경을 쓰지 않는 문제점을 없앨 수 있기 때문이다.
영국 노동연금부(Department for Work and Pensions, DWP)의 셰릴 스티븐스 팀이 이런 디지털 라이프 방식을 추구하고 있는 중이다. 이들은 아이덴티티가 종점이 아닌 출발점이라는 점을 인식하고 있다.
2. 디지털 ID는 쉽게 ‘스푸핑’되고, 안전하지 못하다
디지털 ID를 사용해 견고한 관계를 구축하려 시도한다. 그렇다면, 이를 더 적합하게 처리하자. 가짜 ID가 증가하고 있다. 온라인 ID가 크게 ‘후퇴’하고 있는 것이다. 딥페이크(deepfakes)를 사용해 탐지하기 힘든 가짜 ID를 만드는 문제는 다른 기사에서 자세히 다룬 바 있다.
디지털 ID 대신 디지털 라이프에 초점을 맞추면 시간이 지날 수록 딥페이크를 어렵게 만드는데 도움을 받을 수 있다. 여기에서 중요한 단어는 시간이다. 디지털 라이프는 시간 경과와 함께 지속적으로 기준을 통과해야 하는 그런 것이다. 유별나게 다른 행동에 대한 신호가 포착되면 표시를 할 수 있다. 하이재킹 당한 계정에도 동일한 원칙이 적용된다. 사용자는 ID에 발생한 변화에 대해 경고를 받을 수 있다. 이것이 실제 라이프에 발생한 이벤트를 반영하는가?
3. 사용하는 모든 서비스에 대해 ID를 가져야 한다
2017년 대시레인(Dashlane)의 조사 결과에 따르면, 소비자들은 평균적으로 약 150개의 온라인 계정을 갖고 있다. 필자도 실감하는 부분이다. 필자의 경우에도 수많은 온라인 계정을 관리하느라 애를 먹고 있다. 사기꾼이나 범죄자들이 이런 부분을 악용한다. 필자는 정기적으로 보유한 계정을 업데이트해야 한다는 피싱 이메일 메시지를 수신한다. 대부분 불법 피싱 이메일이다. 이로 인해 적법한 계정 관리도 위태로워진다. 이 이메일이 진짜일까? 아니면 가짜일까?
1회용으로 만들어 사용하는 계정이 너무 많다. 계정들이 계속 늘어난다. 사용자를 대표하지도 않으며, 미래에 사용되지도 않을 계정들이다. 그리고 여기에 버려진 데이터가 악용될 소지가 있다.
‘재사용’ 모델을 사용해 ID 서비스를 구축하면 이 문제를 해결하는데 도움을 받을 수 있다. 여기에는 노력이 필요하다. 그러나 지금 당장 기존 ID를 ‘페더레이션’하고, ID를 강화하고, 지속적으로 변화 및 발전하는 라이프의 일부가 될 새 ID를 만드는 서비스를 구현하기 시작할 수 있다.
4. 우리는 완전히 독립적인 존재가 아니다
디지털 ID를 우리가 실제 세상에서 믿고 신뢰하는 사람에게 위임할 수 있어야 한다. 디지털 ID 시스템은 기술적, 법적 이유로 인해 이와 관련해 어려움을 겪었다. ID 서비스는 다른 사람이 대신해 트랜잭션을 처리할 수 있을 정도로 유연한 서비스를 수용해야 한다.
이는 (취소나 철회를 포함)위임된 통제 권한에 대해 제약을 부과할 수 있어야 한다는 의미도 된다. 사용자 통제 권한 아래, 그리고 서비스 관리자 통제 권한 아래 이렇게 할 수 있어야 한다.
현재 대부분의 디지털 ID 서비스는 이와 관련된 자세한 부분들을 충족하지 못한다. 이런 정도의 통제 권한을 추가하고, (질병 등으로 인해) 온라인을 이용할 수 없는 시기에도 아이덴티티를 지원하는 서비스를 구현하고 싶다면, 단순한 디지털 ID가 아닌 디지털 라이프 개념에 토대를 둔 시스템을 구현해야 한다.
필립 쉘드레이크가 이를 가장 잘 요약해 설명하고 있다.
쉘드레이크는 “ID는 행위를 허용하고, 보호를 제공해야 한다. 완벽한 디지털 ID를 구현할 수 없다면, 우리가 할 수 있는 최소한의 일은 기술적 토론과 백서의 경계를 넘어 조사를 하고, 사람들의 요구사항, 자연의 흐름, 경계의 본질에 대해 더 많이 학습을 하는 것이다”라고 강조했다.
디지털 라이프 개념을 구현 및 실현시킨다면, 행동 패턴을 포착하는 방법으로 가짜 ID 같은 문제들을 다룰 수 있다. 이런 플랫폼에서 기존 ID를 재사용하는 방법으로 사람들이 온라인 ID를 신경쓰지 않는 문제를 경감할 수 있다. 이는 또한 시간 경과와 함께 디지털 라이프를 구축하고 발전시키는데 도움을 준다.
일생 동안의 변화들을 반영하는 시스템을 지금 당장 구축할 수 있다. 우리는 종합적인 데이터 생태계를 만들 수 있는 ID API 같은 도구들을 사용해 시간과 공간 측면에서 라이프의 변화를 반영할 수 있다. 여러 기술들을 한데 모아 조화 및 조율시켜 라이프 이벤트를 반영할 수 있다. 이렇게 하면, 온라인 ID의 본질을 강화할 수 있으며, 사기나 부정행위 문제를 극복할 수 있다. editor@itworld.co.kr
|
