美 캘리포니아주 , 커 넥 티 드 디바이스 ‘ 보안 ’ 기능 탑재 필수 화 - 통상 · 규제 - KOTRA 해외 시장 뉴스 
 중국 라면 시장 동향 
 미 중 무역 분쟁 과 인도네시아 경제 , 그리고 투자 환경 
 아프리카 자유 무역 지대 ( AfCFTA ) 5 월 30 일 발효 
 중국 저장 성 ( 浙 江 省 ) 스마트 팜 발전 의 현주소 
 현지 기업 들 이 말 하 는 모잠비크 투자 환경 
 2019 - 04 - 29 우은 정 미국 로스앤젤레스 무 역관 
 - 통신 · 스마트 기기 부터 의료 기기 까지 인터넷 연결 이 가능 한 모든 기기 를 의미 - 
 - 제리 브라운 전 ( 前 ) 주지사 작년 9 월 법안 에 서명 , 2020 년 1 월 1 일 부터 발효 - 
 □ 캘리포니아 , 일명 ‘ IoT ( 사물 인터넷 ) ’ 보안법 시행 예정 
 ◦ 개요 
 - 캘리포니아주 에서 는 일명 ‘ IoT ( 사물 인터넷 ) ’ 보안법 ( 정식 명칭 SB 327 ) 이 작년 8 월 처음 소개 됨 . 
 - SB 327 은 ‘ 커 넥 티 드 디바이스 ’ 생산 기업 에게 해당 기기 에 합당 한 ‘ 보안 ’ 기능 을 반드시 탑재 하 도록 규제 하 는 법 
 - 이 법안 은 최초 발 의 이후 상 · 하원 의회 의 투표 를 거쳐 2018 년 9 월 중순 에 최종 통과 됐 고 9 월 말 제리 브라운 ( Jerry Brown ) 전 ( 前 ) 주지사 에게 전달 됨 . 9 월 28 일 주지사 가 법안 에 최종 서명 함 으로써 2020 년 1 월 1 일부 로 발효 예정 
 - 이 로써 캘리포니아주 는 미국 내 모든 주 ( State ) 를 통틀어 이러 한 일상 의 인터넷 연결 기기 들 에 사이버 보안 기능 탑재 를 법 적 으로 필수 화 한 최초 의 주 가 됨 . 
 ◦ 법률 상 용어 의 정의 
 - 커 넥 티 드 디바이스 ( Connected devices ) : 인터넷 에 직 · 간접 적 으로 연결 할 수 있 어 IP ( Internet Protocol ) 주소 혹은 블루투스 ( Bluetooth ) 주소 가 부여 되 는 모든 기기 , 장치 및 물체 를 의미 함 . 예 를 들 어 스마트폰 , 스마트 스피커 , 스마트 디스플레이 등 의 통신 과 스마트 제품 에서부터 페이스메이커 ( Pace - maker ) 와 같 은 각종 개인 용 의료 기기 까지 인터넷 에 연결 할 수 있 는 장치 라면 모두 포함 
 ‘ 커 넥 티 드 디바이스 ’ 의 예 
 ( 왼쪽 부터 ) 스마트 스피커 , 페이스메이커 , 원격 환자 모니터 
 자료 : Google Store , Pixabay 
 - 생산자 ( Manufacturers ) : 캘리포니아 에서 판매 되 는 커 넥 티 드 디바이스 를 생산 하 거나 계약 을 통해 타인 에게 생산 을 의뢰 하 는 모든 사람 혹은 주체 를 의미 함 . 단 , 생산 이 아닌 구매 나 브 랜딩 만 을 위한 계약 은 미포 함 
 - 보안 기능 ( Security features ) : 해당 기기 에 보안 ( Security ) 을 제공 하 기 위해 디자인 된 기능 을 의미 
 - 인증 ( Authentication ) : 사용자 · 프로세스 · 기기 등 의 주체 가 특정 정보 시스템 ( Information system ) 의 데이터 에 접근 하 기 위한 권한 을 확인 하 는 수단 을 의미 
 - 비 인가 접근 , 파괴 , 사용 , 변경 혹은 공개 ( Unauthorized access , destruction , use , modification , or disclosure ) : ‘ 소비자 ’ 에 의해 승인 · 인가 되 지 않 은 접근 , 파괴 , 사용 , 변경 혹은 공개 를 의미 
 ◦ SB 327 의 주요 내용 
 - SB 327 은 위 에서 정의 한 커 넥 티 드 디바이스 의 생산자 는 해당 기기 생산 시 반드시 ‘ 합당 한 ( Reasonable ) 보안 기능 ’ 혹은 아래 의 3 가지 조건 을 모두 만족 하 는 기능 을 탑재 하 도록 규정 하 고 있 음 . 
 ( 1 ) 해당 기기 의 본질 과 역할 에 적절 한 기능 
 ( 2 ) 해당 기기 가 수집 , 포함 , 전송 하 는 정보 에 알맞 은 기능 
 ( 3 ) 인가 되 지 않 은 접근 , 파괴 , 사용 , 변경 혹은 공개 로부터 해당 기기 와 해당 기기 에 포함 된 모든 정보 를 보호 하 기 위해 디자인 된 기능 
 - 근거리 통신망 ( Local area network ) 외부 로부터 의 인증 ( Authentication ) 이 가능 한 기기 의 경우 , 다음 의 두 조건 중 하나 를 만족 한다면 합당 한 보안 기능 을 갖춘 것 으로 간주 함 . 
 ( 1 ) 생산 된 각각 의 기기 별 로 고유 한 ( Unique ) 사전 프로그램 된 ( Preprogrammed ) 암호 가 있 는 경우 
 ( 2 ) 해당 기기 에 의 최초 접근 이 승인 되 기 전 , 사용 자 에게 새로운 인증 수단 을 생성 하 도록 요구 하 는 보안 기능 이 포함 된 경우 
 ◦ 기타 사항 
 - 이 법안 은 사용 자 가 본인 의 재량 에 따라 소프트웨어 · 애플리케이션 등 을 추가 · 변경 하 거나 해당 기기 를 제어 하 는 경우 에 는 적용 되 지 않 음 . 
 - 해당 기기 의 ‘ 생산자 ’ 혹은 생산 의뢰인 이 아닌 전자 매장 ( Electronic store ) , 게이트웨이 , 마켓 플레이스 혹은 소프트웨어 · 애플리케이션 등 을 구매 및 다운로드 하 는 수단 의 제공 자 ( Provider ) 에게 는 적용 되 지 않 음 . 
 - 기기 의 주요 기능 이 연방 규제 기관 에 의해 공표 된 연방 법 의 보안 요건 에 따르 고 있 을 경우 이 법안 이 적용 되 지 않 음 . 
 - 또한 이 법안 은 개개인 에게 법률 적 인 행동 을 취할 권리 를 부여 하 는 목적 이 아님 . 이 법 을 집행 하 고 단속 할 수 있 는 독점 적 인 지휘권 은 주 , 도시 , 카운티 의 각 법무 기관 에 있 음 . 
 □ 규제 시행 배경 과 관련 연방 기관 의 움직임 
 ◦ 규제 의 배경 
 - 미국 뿐 만 아니 라 전 세계 가 스마트 기기 의 시대 로 변모 하 고 있 음 . 이미 우리 의 삶 을 크 게 변화 시킨 스마트폰 이외 에 도 시중 에 는 삶 을 더욱 편리 하 게 만들 어 줄 각종 스마트 스피커 , 스마트 디스플레이 , 스마트 가전 , 스마트 홈 제품 , 웨어 러블 기기 등 이 소비자 에게 많 은 관심 을 얻 으며 공격 적 인 판매 를 기록 하 고 있 음 . 
 - 급속히 성장 중 인 5 G 기술 로 인해 사물 인터넷 ( IoT ) 이 점점 더 용이 해 지 고 있 으며 이러 한 기술 적 뒷받침 아래 커 넥 티 드 디바이스 의 종류 또한 늘어나 고 있 는 것 으로 분석 됨 . 
 - 우리 주변 의 많 은 사물 · 기기 들 이 서로 연결 된 상황 에서 보안 에 취약 한 특정 기기 나 특정 연결 지점 이 있 다면 해커 의 침투 에 쉽 게 노출 될 수 있 으며 , 이렇 듯 사소 한 취약점 은 민감 한 개인 정보 에서부터 심각 하 게 는 생명 에 까지 위협 으로 작용 할 가능 성 이 있 음 . 
 - 따라서 사물 인터넷 ( IoT ) 사이버 보안 에 대한 중요 성 이 대두 되 고 있 으며 , 이러 한 성격 의 규제 확산 이 탄력 을 받 을 것 으로 예상 됨 . 
 ◦ 국토 안 보부 와 식약청 , 특히 ‘ 의료 기기 ’ 사이버 보안 예의 주시 중 
 - 미국 뉴스 미디어 New York Post 는 최근 모든 커 넥 티 드 디바이스 는 해커 의 타깃 이 될 수 있 다고 보도 하 며 심지어 세 동제 거기 ( Defibrillators ) * 또한 이 타깃 에 포함 될 수 있 다고 언급 함 . 
 주 *: 심장 박동 을 정상 화 하 기 위해 전기 충격 을 가하 는 데 쓰 는 의료 장비 로 제세 동기 라고 도 불림 . 
 - 지난 3 월 미국 국토 안 보부 ( DHS ) 에서 는 미국 의 대표 적 인 의료 기기 기업 인 Medtronic 에서 생산 한 체내 이 식형 ( Implantable ) 세 동제 거기 가 사이버 공격 에 취약 할 수 있 음 을 발표 한 바 있 음 . ( 미국 국토 안 보부 발표 내용 전문 : https : / / ics - cert . us - cert . gov / advisories / ICSMA - 19 - 080 - 01 ) 
 - Medtronic 사 의 세 동제 거기 의 경우 , 다른 기기 와 의 소통 시 안전 보장 되 지 않 은 ( unsecured ) 프로토콜 을 사용 하 기 때문 에 기기 에 수집 된 민감 정보 에 공격 을 받 을 가능 성 이 있 다고 미국 국토 안 보부 는 전함 . 
 - 이 에 대해 Medtronic 사 는 Fox News 를 통해 이번 이슈 는 Conexus telemetry system 이 라는 특정 프로토콜 을 사용 하 는 제품 에 만 적용 되 며 지금 까지 이 이슈 로 인해 사이버 공격 이나 개인 정보 의 도용 , 환자 들 의 피해 가 발생 한 사실 이 없 다고 밝힘 . 해당 기업 은 무선 커뮤니케이션 보안 기능 의 보완 을 진행 중 이 며 올해 중 에 업데이트 가 예정 돼 있 다고 전함 . 
 - 한편 미국 식약청 ( FDA ) 또한 점점 더 많 은 의료 기기 가 인터넷 , 병원 네트워크 및 다른 기기 에 연결 되 고 있 으며 이 에 따라 잠재 적 인 사이버 보안 공격 에 노출 될 위험 성 이 높 아 지 고 있 다고 밝힘 . ( 미국 식약청 발표 내용 전문 : https : / / www . fda . gov / MedicalDevices / Safety / AlertsandNotices / ucm 633960 . htm ) 
 - 지금 까지 는 문제 가 발생 하 지 않 았 더라도 의료 기기 , 특히 심장 에 직접 적 으로 연관 된 장치 가 사이버 공격 을 받 는다면 생명 까지 위협 할 수 있 기 에 국토 안 보부 와 식약청 등 관련 기관 에서 는 이 에 철저 한 주의 가 필요 함 을 경고 하 고 있 는 것 으로 분석 됨 . 
 ◦ 본격 적 인 ‘ 스마트 기기 ’ 시대 , 이러 한 규제 미국 내 확산 가능 성 있 어 
 - 미국 내 에서 소위 ‘ 사물 인터넷 ( IoT ) ’ 보안 규제 를 법 적 으로 공식 화 한 것 은 이번 캘리포니아주 가 처음 으로 지금 까지 국회 에 소개 된 사물 인터넷 관련 법안 은 여러 개 가 존재 했으나 모두 통과 되 지 못했 음 . 
 - 이 중 가장 유사 한 성격 의 법안 으로 2017 년 연방 상원 에 소개 됐 던 ‘ IoT Cybersecurity Improvement Act of 2017 ’ 을 꼽 을 수 있 으나 이 법안 의 경우 정부 에서 구매 하 는 커 넥 티 드 디바이스 에 대한 최소한 의 보안 기준 만 을 규정 하 는 성격 으로 일반 적 인 가전제품 에 는 해당 되 지 않 았 음 . 
 - 내년 SB 327 의 시행 을 앞두 고 , 일각 에서 는 법률 내용 이 모호 하 며 현재 의 내용 만 으로 는 사이버 공격 으로부터 의 보안 취약 성 을 완전히 보완 하 지 못하 는 부분 이 있 다는 평가 가 존재 함 . 그러나 다른 일부 에서 는 SB 327 의 첫 시도 가 매우 좋 은 시작 이 될 것 이 라는 의견 도 있 음 . 
 - SB 327 은 캘리포니아주 에서 만 적용 되 는 주 ( State ) 법 이 지만 , 주 내 에서 판매 되 는 커 넥 티 드 디바이스 의 생산자 및 생산 의뢰 자 에게 모두 적용 되 는 법률 임 . 따라서 주 내 · 외부 뿐 만 아니 라 해외 의 생산자 들 또한 캘리포니아주 에서 해당 제품 을 판매 하 고자 한다면 SB 327 을 준 수 해야 할 것 으로 판단 됨 . 
 - 이 처럼 캘리포니아주 가 만든 의미 있 는 첫 도약 이 미국 에서 판매 되 는 커 넥 티 드 디바이스 의 전반 적 인 보안 수준 향상 에 긍정 적 인 영향 을 미칠 것 으로 분석 되 며 , 타 주 및 타 도시 에 도 이러 한 성격 의 규제 가 확산 될 가능 성 이 있 겠 음 . 
 - KOTRA 로스앤젤레스 무 역관 이 인터뷰 한 통상 규제 분야 전문 S 변호사 에 따르 면 , 이러 한 규제 의 시행 으로 인해 관련 기기 생산자 들 은 ‘ 보안 ’ 기능 을 탑재 할 실제 의 목적 을 가지 게 돼 이 는 전반 적 인 커 넥 티 드 디바이스 의 보안 기능 강화 에 매우 효율 적 으로 작용 하 리라 예측 함 . S 변호사 는 또한 , 같 은 내용 의 연방 법률 이 아직 존재 하 지 않 는 가운데 SB 327 이 미국 전역 에 영향 을 끼치 게 될 가능 성 이 높 을 것 으로 전망 함 . 
 ◦ 관련 분야 의 기업 및 소비자 들 또한 이러 한 규제 염두 에 둬야 
 - 앞서 언급 했 듯이 커 넥 티 드 디바이스 의 정의 는 매우 포괄 적 이 며 , 세 동제 거기 와 같 은 의료 기기 처럼 이전 에 는 커 넥 티 드 디바이스 로 여겨 지 지 않 았 던 기기 나 장치 들 도 점차 인터넷 연결 기능 을 갖추 어 시장 에 나오 는 경우 를 많이 찾아볼 수 있 음 . 
 - 따라서 커 넥 티 드 디바이스 뿐 만 아니 라 일반 적 인 가전제품 을 사용 하 는 소비자 들 은 본인 이 사용 하 는 기기 에 인터넷 연결 기능 이 있 는지 다시 한 번 확인 하 고 평소 에 관련 보안 에 유의 하 는 자세 가 필요 하 겠 음 . 
 - 특히 세 동제 거기 나 페이스메이커 등 의 개인 의료 기기 를 사용 하 는 소비자 는 병원 이나 전문 의료 기관 · 업체 를 통해 구매 한 기기 만 을 사용 하 는 것 이 좋 으며 , 해당 기기 의 정확 한 사용법 을 숙 지 후 안전 한 사용 이 권장 됨 . 또한 보안 이 의심 되 는 외부 기기 와 의료 기기 를 연결 하 지 않 는 것 이 중요 할 것 으로 보임 . 
 - 캘리포니아주 에서 판매 되 는 커 넥 티 드 디바이스 를 생산 하 는 기업 혹은 해당 업계 에 진출 하 고자 하 는 우리 기업 들 또한 SB 327 과 같 은 법 적 규제 를 염두 에 둘 필요 가 있 으며 , 미국 국토 안 보부 혹은 식약청 과 같 은 관리 감독 기관 의 규제 움직임 도 주시 할 필요 가 있 겠 음 . 
 - 의료 기기 의 경우 특히 식약청 ( FDA ) 의 관할 분야 이 기 때문 에 추후 더 구체 적 인 FDA 의 움직임 에 도 주목 해야 할 것 으로 보임 . 
 자료 : California Legislative Information , The Verge , New York Post , FDA , U . S . Department of Homeland Security , 그 외 KOTRA 로스앤젤레스 무 역관 자료 종합 
 말레이시아 , 설탕 소비세 · 출 국세 · 디지털 세금 부과 
 1 새로운 유럽 금융 의 중심지 로 부상 하 는 암스테르담 네덜란드 2019 - 04 - 24 
 2 IoT 세상 과 의 만남 , Japan IT Week Spring 2019 참관기 일본 2019 - 04 - 16 
 3 29 회 째 를 맞 은 베트남 최대 종합 전시회 , 베트남 엑스포 베트남 2019 - 04 - 26 
 4 인도네시아 프리미엄 소비 시장 동향 및 진출 전략 인도네시아 2019 - 04 - 26 
 5 중국 , 의료 에 인공지능 을 더 하 다 중국 2019 - 04 - 19