에이프(Ape) 기술의 적용은 이미 디지털 자산 산업을 넘어섰으며, 다양한 조직들이 블록체인의 데이터 저장 및 관리 잠재력과 응용 분야를 적극적으로 탐색하고 있습니다.

블록체인은 불변성, 투명성, 탈중앙화 데이터 관리 및 높은 가용성 등의 특성을 가지고 있어 금융, 공급망 관리, 의료 등 다양한 산업의 관심을 끌고 있습니다. 그러나 이러한 특성들은 규제 요구 사항을 충족하는 데 있어 큰 도전과제를 가져옵니다.

• 불변성: 일단 데이터가 블록체인에 기록되면 수정 또는 삭제할 수 없습니다.
• 투명성: 모든 네트워크 참여자가 모든 데이터를 볼 수 있고 진실성을 검증할 수 있습니다.
• 탈중앙화 관리: 데이터가 단일 주체에 의해 통제되지 않으며, 책임도 단일 주체에 있지 않습니다.
• 높은 가용성: 데이터가 여러 노드에 복제되어 저장되므로 언제든 접근할 수 있습니다.

블록체인의 규제 준수는 Web3.0 산업에만 국한되지 않습니다

기업의 업무 성격과 관리하는 데이터 유형에 따라 현대 블록체인 애플리케이션은 다양한 규제 규칙의 적용을 받을 수 있습니다. 최근 전 세계 금융 규제 기관들이 관련 규제 프레임워크를 지속적으로 발표하고 업데이트하면서 미디어와 대중의 관심을 받고 있습니다. 그러나 기업은 개인 신원 데이터, 의료 기록, 비즈니스 문서, 디지털 자격증 등의 데이터 처리와 관련된 다른 법규의 적용도 받고 있습니다. 본 문서에서는 개인 및 건강 데이터 관리에 블록체인 기술을 활용할 때의 프라이버시 및 데이터 보호 규제 프레임워크의 영향에 중점을 둘 것입니다.

규제 영역에서 프라이버시와 개인 데이터 보호(GDPR, CCPA/CPRA, PIPL 등)와 건강 데이터 보호(HIPAA 등) 간에는 많은 중복 요구 사항이 존재합니다. 이는 관련 데이터의 민감성으로 인해 데이터 보호, 보안 및 프라이버시에 대한 유사한 요구 사항이 제기되기 때문입니다.

이러한 규정은 블록체인 기술이 널리 보급되기 전에 제정되었기 때문에 블록체인과 관련된 문제를 직접 다루지 않습니다. 그러나 이러한 규정은 개인 또는 건강 데이터 관리에 블록체인 기술을 사용하는 기업에도 여전히 적용됩니다.

이어지는 내용에서는 각 과제를 심층적으로 살펴보고, 기업이 블록체인을 사용할 때 프라이버시 및 데이터 보호 요구 사항을 어떻게 충족할 수 있는지, 그리고 CertiK이 이러한 맥락에서 어떻게 도움을 줄 수 있는지 분석할 것입니다.

불변성

블록체인의 불변성 특성은 규정 준수 측면에서 여러 가지 중요한 과제를 야기합니다. 특히 사용자의 데이터 수정 또는 삭제 권리 제한과 데이터 보관 요구 사항 등의 문제가 있습니다.

투명성

사용자 프라이버시 보호를 위한 액세스 제어 요구 사항은 블록체인 솔루션 구현 시 복잡한 과제를 야기합니다.

탈중앙화

블록체인의 탈중앙화 특성, 특히 거버넌스 측면에서 규제 요구 사항의 역할 및 책임 규정과 충돌할 수 있습니다.

가용성

블록체인 네트워크의 노드가 일반적으로 다른 지리적 위치에 분산되어 있어 데이터 거주 및 전송의 규정 준수에 큰 도전과제를 야기합니다.

해결책

하이브리드 스토리지 모델

하이브리드 스토리지 모델은 블록체인의 장점과 규제 요구 사항을 균형 있게 해결하는 주요 솔루션입니다. 이러한 모델은 데이터를 체인 상 저장과 체인 외 저장으로 전략적으로 분리합니다:

• 민감한 데이터는 기존의 규정 준수 데이터베이스에 저장합니다.
• 블록체인에는 데이터 참조와 검증 증명만 저장합니다.
• 민감한 데이터의 수정은 체인 외 저장소에서 수행할 수 있습니다.
• 블록체인은 불변의 감사 기록을 유지합니다.

하이브리드 스토리지 모델을 채택하면 민감한 데이터는 기존 또는 체인 외 저장 솔루션에 저장되어 다음과 같은 과제를 해결할 수 있습니다:

• 불변성: 체인 외 저장을 통해 데이터 삭제 및 수정이 가능하면서도 데이터 무결성을 유지할 수 있습니다. 또한 체인 외 데이터에 대한 보존 정책을 적용할 수 있습니다.
• 투명성: 체인 외 저장을 통해 민감한 데이터의 보안, 액세스 제어 및 암호화 조치를 강화하고 관리할 수 있습니다.
• 탈중앙화: 기존 저장 솔루션을 통해 역할과 책임을 쉽게 분할할 수 있습니다.
• 높은 가용성: 데이터 위치와 저장 관할권을 효과적으로 통제할 수 있습니다.

예를 들어, 의료 서비스 제공자는 환자 기록을 HIPAA 표준을 준수하는 데이터베이스에 저장하고, 동시에 블록체인을 사용하여 액세스 로그를 추적하고 데이터 무결성을 유지할 수 있습니다. 이 프로세스를 통해 필요한 경우 기록을 수정 또는 삭제하고, 데이터 보존 정책을 준수하며, 데이터 저장 위치를 통제하는 동시에 불변의 감사 기록을 유지할 수 있습니다. 에스토니아의 전자 보건 시스템(e-Health)은 이러한 모델의 사례로, 환자 기록은 체인 외 데이터베이스에 저장되지만 KSI 블록체인을 사용하여 전국 의료 네트워크의 데이터 무결성과 액세스 로그를 보호합니다.

허가된 프라이빗 체인 네트워크

프라이빗 체인 네트워크는 조직에 네트워크 참여, 권한 및 데이터 거버넌스에 대한 통제권을 제공하면서도 분산 시스템의 이점을 유지합니다:

• 인증 및 허가를 통해 네트워크 회원 자격을 관리합니다.
• 역할 기반 권한을 통해 데이터 액세스와 노드 작업 권한을 정의합니다.
• 구성 가능한 합의 메커니즘과 거버넌스 규칙을 적용합니다.
• 노드 분포의 지리적 위치를 통제할 수 있습니다.

이 네트워크 솔루션은 다음과 같은 문제를 해결합니다:

• 투명성: 데이터 액세스를 세부적으로 제어하여 보안 및 프라이버시 요구 사항을 충족할 수 있습니다(암호화 기술 적용으로 추가 강화 가능).
• 탈중앙화: 데이터 컨트롤러/프로세서와 같은 역할과 책임을 명확히 할 수 있습니다.
• 높은 가용성: 데이터 위치와 분포를 효과적으로 통제할 수 있습니다.

대표적인 예로, 허가된 프라이빗 체인 네트워크를 통해 건강 관련 데이터에 대한 세부적인 액세스 제어를 구현하여 환자 프라이버시를 보장하면서도 안전한 의료 협업을 지원할 수 있습니다:

• 의료 서비스 제공자가 환자 기록에 대한 액세스 권한을 유지합니다.
• 각 참여자는 승인된 의료 기록 일부만 볼 수 있습니다.
• 임상 협력 파트너는 역할에 따라 특정 권한 수준을 가집니다.
• 환자는 전체 병력을 공개하지 않고도 기록을 공유할 수 있습니다.

예를 들어 Medicalchain은 Hyperledger Fabric의 허가 아키텍처를 활용하여 다양한 액세스 수준을 구현하여, 환자가 누가 언제 어떤 정보를 볼 수 있는지 통제할 수 있습니다. 또한 리즈 교육 병원 신탁(Leeds Teaching Hospital Trust)과 퀸 엘리자베스 병원(Queen Elizabeth Hospital)과 같은 의료 기관은 규제 요구 사항을 충족하면서도 환자 데이터를 안전하게 교환할 수 있습니다.

영지식 증명(ZKP)

영지식 증명은 기저 데이터를 노출하지 않고도 정보를 검증할 수 있어, 규정 준수와 프라이버시를 동시에 달

• 수학적 증명을 통한 데이터 유효성 생성.
• 기본 데이터를 공개하지 않고 주장을 검증.
• 정보의 선택적 공개 구현.
• 검증 과정에서 데이터 기밀성 유지.

민감한 데이터가 데이터 보호 및 개인정보 보호 요구 사항에 따라 체인 외부에 안전하게 저장되어 있다고 가정하면 다음과 같은 과제를 해결할 수 있습니다:

• 불변성: 데이터 수정 및 삭제, 그리고 보존 정책은 체인 외부에서 처리되지만 체인 상에서 데이터 진실성을 검증할 수 있습니다.
• 투명성: 체인 상에서 데이터를 검증하는 동시에 체인 외부에서 민감한 데이터의 기밀성을 보호합니다.
• 탈중앙화: 체인 외부 저장 솔루션을 통해 민감한 데이터의 역할과 책임을 명확히 합니다.
• 고가용성: 데이터의 위치와 분포는 체인 외부 데이터 저장에 의존하지만 검증 기능은 체인 상에서 구현할 수 있습니다.

금융 기관은 제로 지식 증명 기반 KYC 프로세스를 통해 다음과 같은 기능을 구현할 수 있습니다:

• 고객이 원본 개인 데이터를 공개하지 않고도 신원을 증명할 수 있습니다.
• 은행은 민감한 정보를 저장하지 않고도 규정 준수를 검증할 수 있습니다.
• 신원 인증 결과가 체인 상에 저장되면서도 프라이버시가 보호됩니다.
• 여러 기관이 고객 상태를 검증할 수 있으며 중복 확인이 필요하지 않습니다.

예를 들어, Privado ID[7](이전 Polygon ID)는 조직이 W3C 표준을 준수하는 검증 가능한 자격증을 발급할 수 있게 하며, 사용자는 기본 개인 데이터를 공개하지 않고도 특정 주장(예: KYC 상태)을 검증할 수 있습니다. 이 프로세스는 블록체인 기반 검증과 제로 지식 증명 기술을 결합하여 규정 준수와 프라이버시 보안을 모두 고려합니다.

결론

블록체인 기술과 규제 준수의 교차점은 중대한 과제를 가져왔지만, 새로운 솔루션은 이 격차를 해소하는 실용적인 방법을 제공합니다. 다음 표는 주요 과제와 해당 솔루션을 대응시켰습니다. 표에 나열된 솔루션은 모두 체인 외부에 저장된 민감한 데이터가 데이터 보호 및 개인정보 보호 요구 사항에 따라 관리된다는 것을 전제로 합니다:

핵심 요점

• 현재 단일 솔루션으로는 민감한 데이터를 체인 상에 호스팅하면서도 모든 규정 준수 과제를 완전히 해결하고 블록체인 기술의 본질적 특성과 이상을 유지할 수 없습니다. 다양한 방법을 결합하고 구체적인 비즈니스 및 운영 요구 사항을 고려하는 것이 최선의 선택일 수 있습니다.
• 규정 준수를 개발 프로세스 초기부터 고려하는 것이 사후 보완보다 도움이 됩니다. 이를 통해 적절한 블록체인 유형(예: 퍼블릭/프라이빗, 허가/비허가 등) 및 추가 솔루션을 결정할 수 있습니다.
• 관련 법규가 계속 발전 중이고 기술 솔루션도 계속 발전하고 있기 때문에 최신 규제 정책 동향을 지속적으로 파악하는 것이 중요합니다.

블록체인 기술과 규제 프레임워크가 점점 성숙해짐에 따라, 솔루션을 신중하게 조합할 수 있는 조직이 규정 준수를 유지하면서도 블록체인의 장점을 최대한 활용할 수 있을 것입니다.

CertiK는 개인 및 민감한 데이터 관리가 필요한 기업을 포함하여 블록체인을 도입하는 기업에 대해 모든 발전 단계에서 솔루션 지원을 제공합니다. 제공되는 서비스에는 다음이 포함됩니다:

• 기반 시설 및 데이터 설계 또는 기존 환경 분석, 적용 가능한 규제 프레임워크 식별;
• 기반 시설 및 데이터 설계 또는 기존 환경 평가, 정보통신기술(ICT) 및 규제 리스크 식별;
• ICT 및 규제 리스크에 대한 대응 조치 권장;
• 규정 준수를 유지하면서도 블록체인 기술을 최대한 활용할 수 있는 적절한 솔루션 결정.

[1] GDPR: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02016R0679-20160504

[2] CCPA/CPRA: https://leginfo.legislature.ca.gov/faces/codes_displayText.xhtml?division=3.&part=4.&lawCode=CIV&title=1.81.5

[3] PIPL: http://en.npc.gov.cn.cdurl.cn/2021-12/29/c_694559.htm

[4] HIPAA: https://www.hhs.gov/hipaa/for-professionals/privacy/laws-regulations/combined-regulation-text/index.html

[5] e-Health: https://e-estonia.com/solutions/e-health/e-health-records/

[6] Medicalchain: https://medicalchain.com/en/whitepaper/

[7] Privado ID: https://www.privado.id/