비자 “ 블록체인 시스템 루시디 티 개발 중 ” - CoinDesk Korea 신뢰 그 이상 의 가치 
 코인 데스크 BPI $ 9 , 713 . 57 
 기존 금융 거래 데이터 수집 업체 대체 할 수 있 을지 주목 
 Nathan DiCamillo 2019 년 11 월 21 일 10 : 00 
 세계 적 인 결제 기업 비자 ( Visa ) 산하 비자 연구소 ( Visa Research ) 가 여러 이해 당사자 간 에 민감 한 데이터 를 처리 하 는 블록체인 시스템 루시디 티 ( LucidiTEE ) 를 개발 하 고 있 다고 보고서 를 통해 밝혔 다 . 
 루시디 티 는 “ 은행 과 핀테크 애플리케이션 이 중개자 인 데이터 수집 업체 ( data aggregator ) 에 의존 하 지 않 고 데이터 를 공유 할 수 있 도록 하 는 시스템 ” 이 다 . 
 유럽 은 개인 정보 와 고객 데이터 를 보호 하 는 데 있 어 일반 개인 정보 보호법 ( GDPR ) 을 비롯 한 공동 의 법률 을 따른다 . 반면 에 미국 은행 들 은 데이터 수집 업체 들 과 별도 의 협약 을 맺 어야 한다 . 
 세계 최대 의 카드 결제 네트워크 를 갖춘 기업 인 비자 가 금융 거래 데이터 를 처리 하 는 자체 블록체인 시스템 을 개발 해 온 것 으로 밝혀졌 다 . 비자 의 블록체인 시스템 은 기존 에 은행 들 이 민트 ( Mint ) 나 크 레딧 카르마 ( Credit Karma ) 와 같 은 소비자 금융 애플리케이션 에 고객 의 거래 데이터 를 보내 처리 하 던 방식 을 완전히 바꿔 놓 을 수 도 있 는 잠재력 을 지녔 다 . 
 비자 산하 비자 연구소 ( Visa Research ) 는 최근 펴낸 보고서 에서 자체 블록체인 시스템 루시디 티 ( LucidiTEE ) 를 소개 했 다 . 루시디 티 는 민감 한 개인 정보 를 ‘ 신뢰 실행 환경 ( TEE , trusted execution environment ) ’ 에서 처리 한 뒤 거래 에 참여 한 사실 을 확인 받 은 당사자 에게 만 거래 처리 결과 를 공유 한다 . ( 블록체인 의 이름 은 명료 하 다는 뜻 의 ‘ 루시디 티 ( lucidity ) ’ 와 ‘ 신뢰 실행 환경 ( TEE ) ’ 을 결합 한 것 이 다 ) 
 비자 는 우선 루시디 티 를 고객 과 금융 앱 간 의 데이터 를 공유 하 는 데 도입 한다 . 복수 의 비자 관계자 들 은 루시디 티 의 등장 이 플 라이드 ( Plaid ) , 엔 베스트 넷 ( Envestnet ) , 요들 리 ( Yodlee ) , 피니시 티 ( Finicity ) 같 은 데이터 수집 업체 들 에 위협 이 될 수 있 다고 말 한다 . 
 루시디 티 는 또 은행 의 데이터 를 받 아 머신 러닝 알고리듬 을 훈련 할 수 도 있 다 . 이 는 금융 사기 를 예방 하 는 일 이나 금융 데이터 를 추적 하 는 앱 이 익명 의 고객 정보 를 구글 같 은 테크 기업 에 팔아넘기 는 행위 를 적발 하 는 데 활용 될 수 있 다 . 
 비자 는 루시디 티 와 관련 한 별도 의 취재 요청 에 답 하 지 않 았 다 . 
 암호 화 전자 기록 아카이브 ( Cryptology Eprint Archive ) 에 올라온 이번 보고서 의 설명 을 그대로 옮기 면 다음 과 같 다 . 
 “ 루시디 티 는 다수 의 이해 관계자 가 함께 대 규모 개인 정보 를 처리 할 수 있 고 , 데이터 제공 자 들 이 오프라인 에서 도 처리 결과 를 받 아 볼 수 있 는 최초 의 시스템 이 다 . 모든 참여 자 에게 데이터 처리 결과 가 공정 하 게 공유 되 는 것 도 루시디 티 의 특징 이 다 . ” 
 금융 과 결제 분야 의 공룡 인 비자 는 그동안 블록체인 분야 에서 여러 가지 실험 을 거듭 해 왔 다 . 페이스북 의 암호 화폐 프로젝트 리브 라 를 이끌 리브 라 연합 ( Libra Association ) 에 창립 회원 사 로 참여 하 려다 지난 10 월 출범 직전 에 탈퇴 했 고 , 블록체인 스타트업 체인 ( Chain ) 과 함께 개발 된 블록체인 기반 B 2 B 결제 서비스 실험 에 도 나선 적 이 있 다 . 체인 의 B 2 B 결제 서비스 는 속도 가 느린 외국환 거래 서비스 네트워크 를 거치 지 않 고 도 기업 들 이 국제 송금 을 할 수 있 는 서비스 다 . 
 비자 연구소 의 이번 연구 는 보안 · 암호 화 기술 커뮤니티 전체 에 적용 할 수 있 는 만큼 , 경쟁사 가 루시디 티 를 도입 하 거나 차용 할 가능 성 도 없 지 않 다 . 그러나 동시 에 비자 가 앞 으로 루시디 티 를 지적 재산 으로 활용 해 추가 수익 을 낼 수 있 는 가능 성 도 있 다 . 
 루시디 티 는 텐더 민트 ( Tendermint ) 와 하이퍼 레저 패브릭 ( Hyperledger Fabric ) 의 개방 형 블록체인 플랫폼 에서 시범 운영 을 마쳤 다 . 또한 , 알 고 랜드 ( Algorand ) 나 내년 에 업그레이드 할 예정 인 이 더리 움 2 . 0 과 같 은 지분 증명 합의 방식 을 따르 는 퍼블릭 블록체인 에서 도 호환 된다 . 
 데이터 수집 업체 들 과 의 경쟁 
 보고서 는 아직 최종 게재 되 기 전 에 심사 ( peer review ) 과정 을 거치 고 있 다 . 보 고서 내용 이 일부 수정 될 수 도 있 다는 뜻 이 다 . 그러나 현재 버전 에 도 중개 업체 들 을 가능 한 한 줄 이 고 싶 어 하 는 비자 의 바람 이 여실히 드러난다 . 즉 고객 정보 가 거쳐 가 는 중간 업체 의 수 를 줄여 고객 들 이 개인 정보 를 최대한 스스로 관리 하 고 통제 하 도록 하 고 싶 은 금융 기관 들 의 소망 은 비자 도 다르 지 않 을 것 이 다 . 
 핀테크 앱 의 운영 방식 은 금융 기관 들 의 바람 과 는 조금 다르 게 설계 돼 있 다 . 핀테크 앱 은 금융 거래 정보 를 고객 에게 받 아 잘못 된 부분 을 걸러 내 고 기록 하 기 좋 게 규격 에 맞춰 정리 하 는 일 을 은행 스스로 처리 하 는 대신 제 3 의 데이터 수집 업체 ( data aggregator ) 에 맡기 도록 설계 돼 있 다 . 고객 에게 직접 서비스 를 제공 하 는 핀테크 애플리케이션 과 은행 이 정보 를 투명 하 게 공유 하 는 것 이 ‘ 개방 형 금융 ( open banking ) ’ 을 이루 는 중요 한 토대 이 기 때문 이 다 . 
 실제로 데이터 수집 업체 들 은 이런 환경 을 발판 삼 아 금융 시스템 의 핵심 으로 자리매김 했 다 . 가계부 민트 ( Mint ) , 거스름돈 을 모아서 투자 해 주 는 에이콘 즈 ( Acorns ) , P 2 P 결제 플랫 폼 벤 모 ( Venmo ) 와 같 은 애플리케이션 의 이용자 는 수백만 명 에 이른다 . 데이터 수집 업체 가운데 가장 규모 가 큰 기업 은 샌프란시스코 에 본사 가 있 는 플 라이드 ( Plaid ) 다 . 여러 개 의 개인 금융 앱 뿐 아니 라 암호 화폐 거래소 제미니 와 코인 베이스 에 소비자 금융 데이터 를 제공 하 는 것 도 플라이 드 다 . 플 라이드 의 기업 가치 는 25 억 6 천만 달러 로 평가 된다 . 
 “ 데이터 수집 업체 들 은 고객 이 핀테크 앱 에 로그인 에 필요 한 개인 정보 를 입력 하 면 이 가운데 필요 한 거래 정보 만 추출 해 가져오 는 IT 기술 인 스크린 스 크 래핑 ( screen scraping ) 의 대안 으로 생겨났 다 . ” - 브라이언 나이트 , 조지메이슨 대학교 메르 카 투스 센터 금융 시장 수석 연구원 
 은행 들 은 데이터 수집 업체 와 고객 정보 를 공유 하 기 꺼렸 다 . 그러나 소비자 의 금융 거래 기록 을 디지털 로 남기 도록 의무 화 한 도드 프랭크 법 ( Dodd - Frank Act ) 이 통과 되 면서 어쩔 수 없이 데이터 를 공유 해야 했 다 . 데이터 수집 업체 들 은 자신 들 이야말로 소비자 를 돕 는 ‘ 유익 한 중 개상 ’ 이라고 항변 한다 . 나이트 수석 연구원 에 따르 면 , 최근 미국 재무부 는 핀테크 보고서 에서 데이터 수집 업체 를 옹호 했 지만 , 소비자금융 보호국 ( CFPB ) 은 이 에 대해 별다른 언급 을 하 지 않 았 다 . 
 유럽 에서 는 금융 서비스 를 이용 하 는 고객 의 개인 정보 가 일반 개인 정보 보호법 ( GDPR , General Data Protection Regulation ) 에 따라 보호 받 는다 . 하지만 이러 한 포괄 적 인 개인 정보 보호법 이 없 는 미국 에서 는 은행 이 데이터 수집 업체 와 고객 의 개인 정보 처리 방식 에 대해 별도 로 공식 · 비 공식 협약 을 맺 는 방법 이 통용 된다 . 은행 이 반드시 이런 절차 를 따라 협약 을 맺 지 는 않 으며 , 정보 공유 기준 에 관해 은행 과 데이터 수집 업체 의 의견 이 엇갈리 면 은행 이 데이터 수집 업체 와 의 관계 를 끊 고 고객 의 금융 앱 접근 을 차단 하 기 도 하 는 것 으로 알려졌 다 . 
 루시디 티 가 고객 거래 정보 분야 에서 성공 적 으로 뿌리 를 내리 려면 업계 안 에서 모든 이해 당사자 가 준수 하 는 공동 의 정보 분류 기준 을 도입 할 필요 가 있 다 . 나이트 수석 연구원 은 은행 들 이 새로운 흐름 에 참여 하 든 참여 하 지 않 든 데이터 수집 업체 와 협약 을 맺 고 새 시스템 을 받아들이 는 데 비용 이 얼마나 들 지 는 꼼꼼히 따져 봐야 한다고 말 했 다 . 
 “ 블록체인 을 도입 하 면 중개자 의 필요 성 이 떨어진다 . 여기 서 중요 한 사실 은 중개자 가 중개 수수료 를 청구 하 는 등 비용 이 기 도 하 지만 , 동시 에 거래 과정 에 실제로 가치 를 더 하 는 효용 도 있 다는 점 이 다 . ” - 브라이언 나이트 , 조지메이슨 대학교 
 ‘ 좀 더 세분 화 된 통제 ’ 
 솔트레이크시티 에 본사 를 둔 데이터 수집 업체 피니시 티 ( Finicity ) 는 비자 의 보고서 를 검토 한 후 , 비자 가 제안 한 루시디 티 시스템 이 현재 데이터 수집 업체 들 이 제공 하 는 수준 의 서비스 를 제공 하 지 못할 것 같 다고 밝혔 다 . 
 피니시 티 의 공동 창립자 닉 토마스 는 이메일 을 통해 “ 우리 가 제공 하 는 서비스 를 정보 교환 이 라고 표현 하 면 간단 해 보이 지만 , 여러 가지 활용 사례 와 데이터 인텔 리전 스 ( DI ) , 데이터 변동 성 , 보안 , 개인 정보 보호 , 규제 등 을 모두 고려 하 면 굉장히 복잡 한 서비스 ” 라고 말 했 다 . 
 하지만 닉 토마스 는 이렇게 복잡 한 서비스 지만 , 신원 인증 체계 구축 에 집중 하 고 있 는 소버린 재단 ( Sovrin Foundation ) 의 설립 관리자 ( founding steward ) 인 피니시 티 도 블록체인 을 활용 해 개인 정보 를 더 강력히 보호 하 는 방안 을 모색 하 고 있 다고 말 했 다 . 
 “ 소비자 가 자신 의 금융 데이터 를 좀 더 세분 되 고 안 전하 게 통제 할 수 있 는 권한 을 행사 할 수 있 게 하 는 것 이 중요 하 다 . 또한 , 이 과정 에서 소비자 들 이 더 많 은 정보 에 접근성 을 갖 고 좀 더 똑똑 한 결정 을 하 도록 돕 는 것 이 다 . ” – 닉 토마스 , 피니시 티 공동 창립자 
 루시디 티 는 스마트 계약 과 비슷 하 지만 , 블록체인 전체 에 적용 할 수 있 는 검증 된 개인 정보 보호 정책 에 따라 운영 될 것 이 다 . 이 를 통해 이용자 는 오프라인 에서 도 자신 의 개인 정보 가 자신 이 승인 하 지 않 은 방식 으로 공유 되 거나 처리 되 지 않 도록 관리 할 수 있 다 . 
 비자 의 보고서 에 는 ‘ 악의 적 인 환경 ’ 에 대한 가정 도 있 었 다 . 하지만 루시디 티 는 데이터 처리 결과 에 접근 할 수 있 는 모든 당사자 에게 결과 를 보내 는 프로토콜 을 사용 해 악의 적 인 환경 에 대처 한다 . 블록체인 이 에스크로 계좌 와 같 은 역할 을 하 게 되 는 것 이 다 . 암호 화 된 데이터 를 가계부 앱 에 공유 함 으로써 이용자 의 소비 내역 을 차트 로 볼 수 있 는 민트 ( Mint ) 와 도 비슷 하 다 . 
 루시디 티 의 블록체인 은 민감 한 데이터 를 처리 하 는 암호 화 된 환경 을 의미 하 는 ‘ 신뢰 실행 환경 ( TEE ) ’ 에서 는 특정 데이터 만 처리 할 수 있 다 . 이런 방법 은 TEE 를 제공 하 는 기업 의 데이터 조작 을 방지 하 고 , 루시디 티 를 이용 하 는 당사자 가 모두 TEE 를 확보 할 필요 가 없 도록 해준다 . 
 신뢰 실행 환경 에서 거래 가 처리 되 면 입력 · 출력 값 과 처리 된 데이터 의 암호 메시지 인 다이제스트 ( digest ) 를 비롯 해 어떤 함수 를 이용 해 거래 를 처리 했 는지 등 의 정보 가 모두 원장 ( ledger ) 에 저장 된다 . 
 # 개인 정보 # 비자 # 신뢰 실행 환경 # GDPR # 루시디 티 # LucidiTEE # 데이터 수집 업체