플랫폼 개방과 보안은 함께 지킬 수 있다

사람들이 자유롭게 만들고, 공유하고, 서로의 작업물을 바꿔 쓰는 열린 인터넷은 풀뿌리 혁신의 강력한 동력이다. 하지만 최근 수십 년 동안 기업이 이 작업물의 더 많은 부분을 통제하면서 경쟁자를 억누르고 이용자의 선택을 제한할 힘도 커졌다. 규제 당국이 상호운용성을 의무화해 거대 기술 기업에 공정한 경쟁을 요구하면, 플랫폼을 쥔 기업들은 이용자 보안이 위험해진다는 익숙한 반론을 내놓는다.

하지만 이 반론만으로 논의가 끝나는 것은 아니다. 규제 당국은 의미 있는 선택권과 보안이 함께 보장되도록 할 수 있다.

입법자들은 거대 기술 기업을 견제하는 가장 좋은 방법 가운데 하나가 독립 개발자에게 플랫폼을 개방하도록 과점 기업에 요구하는 것임을 인식하기 시작했다. 6년 전 설명했듯이, 상호운용성을 의무화하면 이용자 데이터의 오용을 막고 개인정보를 더 잘 보호하는 대안을 만들 수 있다. 반면 거대 기술 기업들은 데이터를 자신들이 독점적으로 통제할 때 더 안전하다고 주장해 왔다.

거대 기술 기업은 상호운용성이 보안을 해친다고 주장한다

유럽연합(EU)의 디지털시장법(DMA)은 제6조 7항에 상호운용성을 법으로 규정했다. 이 조항은 게이트키퍼가 운영하는 지정된 핵심 플랫폼 서비스와 관련해 서비스 제공자와 하드웨어 제공자에게 효과적인 상호운용성을 무료로 허용해야 한다고 명시한다. 이는 주요 서비스 운영자의 종속과 반경쟁적 행위를 바로잡으라는 분명한 의무이지 선택 사항이 아니다.

애플은 모바일 앱스토어에 이 의무를 적용하면 고객이 위험에 노출되고 브랜드에 대한 신뢰가 회복할 수 없을 만큼 훼손될 것이라고 주장했다. 이는 애플이 수리할 권리에 맞서 온 방식과 닮았다. 두 경우 모두 애플은 이용자가 다른 곳에서 더 나은 조건을 찾지 못하도록 제한적인 생태계를 유지하려 한다. 애플은 아이폰에서 기업 통제가 강한 경험을 오랫동안 구축해 왔지만, 이제 이 주장은 구글의 상대적으로 더 개방적인 안드로이드 기기에도 적용되고 있다.

애플이 DMA에 반대하던 같은 해, 에픽게임즈는 앱에서 발생한 수익을 둘러싼 제한적인 서비스 약관과 과도한 수익 배분 정책을 이유로 구글을 제소했다. 구글은 심사를 거치지 않은 다른 앱스토어에 플랫폼을 개방하면 유해한 앱이 설치될 수 있다고 주장했다. 이 사건은 올해 미국 연방 제9순회 항소법원에서 결론이 났다. 법원은 구글의 주장을 받아들이지 않았고, 구글의 봉건적 보안 구조에 타격을 줬다. 이에 따라 구글 플레이 스토어를 통해 제3자 앱스토어를 앱으로 배포할 길이 열렸다.

안전한 상호운용 시스템은 만들 수 있다

정책 입안자는 거대 기술 기업의 주장을 그대로 받아들여서는 안 된다. 상호운용성은 소비자가 경쟁 서비스로 옮길 때의 실질적인 장벽과 전환 비용을 낮추기 때문에 기업에는 이를 막을 유인이 있다.

기업이 내부 기술·보안 전문가의 신뢰할 만한 주장을 내놓더라도, 외부 전문가는 그 주장을 검증하는 데 필요한 접근 권한과 정보를 얻기 어려운 경우가 많다. 기업들은 자신에게 유리한 맥락에서 상호운용성이 보안을 해친다고 선택적으로 주장해 왔다. 그러면서 보안과 상호운용성이 본질적으로 서로 대립한다는 일반적인 오해가 퍼지도록 내버려 두고 있다.

이런 주장은 틀렸다. 상호운용성과 정보 보안을 모두 필수적이고 양보할 수 없는 기준으로 삼으면 안전하면서도 상호운용 가능한 시스템을 만들 수 있다. 우리가 익숙하게 기대하는 풍부한 서비스 기능을 포기할 필요도 없다.

서로 다른 플랫폼에 리치 커뮤니케이션 서비스(RCS)를 도입하고, 그 위에 메시지 계층 보안(MLS)을 적용한 사례가 이를 잘 보여준다. 이로써 안드로이드와 iOS 사이에 기본적으로 종단간 보안 메시징이 구현됐다. RCS와 MLS를 둘러싸고 구글은 상호운용성에 반대하는 쪽이 아니었다. 아이폰 이용자가 아이폰이 아닌 사람과 문자를 주고받을 때 겪던 ‘초록 말풍선’의 불편을 해소하려고 애플이 표준을 채택하도록 캠페인을 벌였다. 애플이 마침내 공통 표준을 구현해 상호운용하기로 합의한 뒤, 모든 이용자가 향상된 메시징 보안의 혜택을 받았다. 정당한 보안 우려가 제기되는 경우에는 이용자의 선택권을 희생하지 않고 사안별로 검토하고 해결할 수 있다.

신중한 전환과 명확한 규칙이 필요하다

이미 안전하게 운영되는 폐쇄형 시스템에 상호운용성을 덧붙이는 작업을 부주의하게 진행해서는 안 된다. 이런 전환에는 필요한 시간과 정밀성을 확보하면서도 적절한 압박과 유연성을 조합하는 규제 방식이 필요하다. 신뢰받는 주체에게만 특별한 접근 권한을 준다는 가정으로 설계된 구성 요소, 예를 들어 브라우저 엔진은 책임을 지지 않는 제3자에게 개방될 때 심각한 보안 위험에 특히 취약하다.

상호운용성과 정보 보안을 핵심 설계 원칙으로 삼으면 안전을 높이는 동시에 자유도 넓힐 수 있다.

DMA와 관련해 정당한 보안 우려가 있다면, 유럽연합 집행위원회가 기업 및 외부 전문가와 협력해 기술 구현 지침을 제공하고 규제 준수 기준을 명확히 해야 한다. 이렇게 하면 법적 감독의 이해와 기업의 필요를 조율할 수 있다.

불공정한 플랫폼 통제를 없애려는 정책 입안자는 신중하게 접근하고, 변화로 인한 영향을 제한해야 한다. 그러나 보안 우려를 규정 준수를 무기한 미루는 구실로 삼아서는 안 된다. 폐쇄형 시스템을 공정하게 평가하고 우려가 타당하다면, 규제 당국은 기업이 변경 사항을 적용할 시간을 더 주고 지침을 제공할 수 있다. 한 가지 방안은 단계별 접근이다. 새로운 요구사항을 맞추기 위해 시스템을 개편하는 초기에는 유연성을 제공하고, 그 뒤에는 공정한 경쟁 원칙을 더 엄격하게 지속해서 적용하는 방식이다.

상호운용성과 정보 보안을 핵심 설계 원칙으로 채택하면, 이런 권리를 강화하는 원칙을 반영한 후속 개발도 수월해질 것이다. 그 결과 우리는 더 안전하면서도 더 자유로운 인터넷을 만들 수 있다.