호주 케이티 갤러거(Katy Gallagher) 재무장관은 지난 주 법안 초안에 대한 협의를 시작했으며, 올해 말까지 법안을 의회에 제출할 계획이다. 그것이 무엇을 제안하는지, 그리고 그것이 당신에게 어떤 의미를 가질 수 있는지 살펴보겠다.

무엇이 바뀔까?

디지털 ID 체계는 처음에는 호주 경쟁 및 소비자 위원회와 호주 정보 위원회에 의해 규제될 예정이며, 최종적으로 새로운 관리 기관을 설립할 목적으로 진행된다.

법안 초안 패키지에는 조직이 사람들의 ID를 저장하는 방법에 대한 보안 요구 사항에 대한 강력한 업데이트는 물론 데이터 위반 및 신원 사기 의심에 대한 보고가 포함되어 있다.

호주 정보 산업 협회(Australian Information Industry Association)에서의 연설에서 Gallagher는 4단계 롤아웃에 대해 설명했다.

●1단계: 민간 및 공공 서비스 제공자에 대한 법률 제정 및 인증.

●2단계: 연방 정부 서비스에 사용할 수 있도록 주 및 준주에서 발급한 ID를 추가한다.

●3단계: 민간 부문에 디지털 ID 인식을 도입한다. 예를 들어, 이를 통해 신분 증명서나 사본을 제공하지 않고도 디지털 ID를 사용하여 은행 대출을 신청할 수 있다.

●4단계: 공인된 민간 부문 디지털 ID를 허용하여 특정 정부 서비스에 액세스할 때 귀하를 확인하는 데 도움을 준다.

어떻게 작동할까?

일반 대중의 경우 자발적인 계획은 스마트폰 앱 형태로 제공되며 생체 정보가 필요하다. (예: 얼굴 인쇄) 잠금이 해제된다.

참여 기관에 귀하의 신원을 증명하기 위해, 조직의 웹사이트에 로그인하고 확인 방법으로 MyGovID를 선택한다.

그런 다음 MyGovID 앱에 로그인하고 해당 조직에서 귀하의 신원을 확인하는 데 동의한다. 이런 식으로, 운전면허증, 여권 등을 공유할 필요 없이 조직에 신원을 확인할 수 있다.

100개의 ID 포인트와 문서 사본이 인터넷 전체에 저장되는 시대는 지나갈 것이다.

제안의 장점

2022~23년의 Medibank, Optus 및 Latitude 데이터 침해 사건은 호주에서 신원 보호 법률에 대한 규제 및 집행이 부족함을 보여주었다.

법안 초안에서 환영할 만한 부분은 호주 정보위원회(Australian Information Commissioner)에 부여된 권한이 강화되고 조직이 사람들의 개인 식별 정보를 요청, 저장 및 공개하는 방법에 대한 제한이 있다는 것이다.

이 법안은 또한 최소한의 사이버 보안 표준을 설명하고 신원 데이터를 다루는 조직에 대한 정기적인 검토를 요구한다.

해결되지 않은 MyGovID 보안 결함

법안 초안을 발표하면서 정부는 이미 600만 명 이상의 호주인과 130만 개 기업에서 사용되고 있는 자발적인 국가 디지털 ID인 MyGovID를 강조했다.

MyGovID는 귀하가 알고 있는 것(예: 비밀번호), 귀하의 신원(예: 생체 인식 스캔) 또는 귀하가 가지고 있는 것(예: 확인된 전화번호)의 세 가지 요소 중 하나를 사용하여 귀하의 신원을 확인하는 정부 발급 인증 앱이다. 일회성 코드를 받을 수 있는 곳). 요소를 추가하면 인증이 더욱 안전해진다.

2020년에 보안 연구원들은 MyGovID 설계의 보안 결함으로 인해 MyGovID를 사용하지 말라고 대중에게 경고했다. 이러한 문제가 해결되었는지는 확실하지 않다. 호주 국세청은 이 문제가 제기되었을 때 해결을 거부했다.

호주 정부 역시 우리 정보 보안에 대한 실적이 좋지 않다.

Webber Insurance에 따르면, 올해 1월부터 6월까지 기록된 데이터 유출 44건 중 14건이 정부 당국에 의해 보고되었다. 여기에는 내무부, 노던 테리토리, 태즈매니아, ACT 및 NSW 정부가 포함되었다.

이는 지난해 ABC가 보고한 바와 같이 호주 국세청(Australian Tax Office), 국가 장애 보험 제도(National Disability Insurance Scheme) 및 MyGov와 관련된 데이터 침해에 더해 발생한다.

더 걱정스러운 점은 개인 정보 보호법에는 주 및 정부 당국이 의무적인 데이터 위반 보고에서 면제되도록 허용하는 허점이 있다는 것이다. 따라서 우리는 정부 데이터 침해가 얼마나 많이 발생했는지 알 수 없다.

초안 법안은 이러한 허점을 명시적으로 유지하고 있으며, "단체가 주 또는 지역의 부서 또는 당국"인 경우 해당 단체는 데이터 보고에서 면제된다는 점을 명시하고 있다.

해커를 위한 허니 트랩

정부가 협상을 안전하게 수행하더라도 제안된 계획의 보안은 여전히 귀하의 휴대폰만큼만 안전할 것이다. 비밀번호가 취약하거나, 휴대폰을 분실하거나, 휴대폰이 해킹 당하면 데이터가 손상될 수 있다.

또한 이러한 방식으로 분산식별시스템을 합리화하면 해커들에게 저항할 수 없는 표적이 될 것이다. 사이버 보안에서는 이를 허니팟(Honeypot) 또는 허니 트랩(Honey Trap)이라고 한다.

곰이 꿀을 거부할 수 없는 것처럼 이러한 데이터 미끼도 해커에게 거부할 수 없다. 데이터를 보호하지 못하면 신원 도용 및 강탈이 발생하는 원스톱 상점이 된다.

아마도 가장 우려스러운 점은 제안된 계획이 정부 감시와 얼마나 유사한지일 것이다. 연방 및 주 관할권은 물론 민간 단체에 걸쳐 모든 개인 식별 데이터를 연결함으로써 우리는 연방 정부에 우리 삶에 대한 완전한 감독권을 부여하게 된다.

2021년 감시법 개정(식별 및 방해)법에서 조용히 이루어진 것과 같은 법률의 작은 변경으로 인해 우리의 위치가 추적되고 공공 및 민간 조직과의 모든 상호 작용이 기록될 수 있다.

당신은 무엇을 할 수 있나?

법안 초안에는 많은 문제가 있는 것이 분명하다. 그렇다고 해서 모든 희망이 사라지지는 않는다.

정부는 제안에 대해 진지한 협의를 약속했다. 하지만 의견을 제시할 시간이 많지 않다. 공개 제출은 10월 10일까지 모집된다. 이렇게 극도로 짧은 상담 기간은 목적에 맞는 솔루션이 만들어질 것이라는 확신을 별로 주지 않는다. 우리의 디지털 신원을 보호하는 것은 제안된 법안에서 환영할 만하고 기한이 지난 부분이지만, 이를 잘못 처리하면 훨씬 더 큰 규모의 피해를 초래할 수 있다.