한국은행 CBDC 통합원장 백서, 프라이버시에 대해 침묵

한국은행은 한강 프로젝트의 상세 설계 백서를 발표했습니다. 이 프로젝트는 토큰화된 예금, 도매 CBDC, 프로그래밍 가능한 결제 레일을 단일 중앙은행 운영 플랫폼에 결합한 통합원장 이니셔티브입니다. 백서는 아키텍처, 거버넌스, 이중통화체계를 상세히 다루지만 프라이버시에 대해서는 한 번도 언급하지 않습니다. 한국에서 사업을 운영하거나 글로벌 CBDC 설계를 주시하는 기업의 규정 준수 책임자, 감사인, CFO에게 이 침묵은 이달 말 시작되는 2단계 시범사업을 앞두고 중요한 거버넌스 신호입니다.

한강 프로젝트의 실제 기능

한강 프로젝트는 한국은행이 상업은행의 토큰화된 예금을 도매 CBDC 및 프로그래밍 가능한 결제 로직과 동일한 인프라에 배치하는 통합원장의 작업명입니다. 7개 상업은행이 올해 초 1단계에 참여했으며, 2단계에는 9개 은행이 합류할 예정입니다. 한국은행은 ECB 포럼에서 이 백서를 발표하여 설계 선택이 더 넓은 중앙은행 커뮤니티에 참조 모델로 제공되고 있음을 시사했습니다.

이중통화체계 논리와 프라이버시 긴장을 만드는 이유

백서의 핵심 주장은 이중통화체계가 유지되어야 한다는 것입니다. 상업은행이 소매 관계와 결제를 처리하고 중앙은행이 은행 간 결제를 촉진합니다. 역사적으로 이 분할은 중앙은행이 세부적인 소매 거래 데이터를 보유하지 않음을 의미했습니다. 두 계층을 중앙은행이 구축하고 운영하는 단일 플랫폼으로 축소하면 그 계산이 완전히 바뀝니다. 백서는 이러한 변화가 의도적인지, 관리되는지, 아니면 단순히 고려되지 않았는지 다루지 않습니다.

권위증명과 가시성 문제

플랫폼은 권위증명 합의 모델을 사용하므로 한국은행이 노드 검증을 제어합니다. 경쟁 이유로 데이터 분할이 거의 확실히 존재합니다. 참여 상업은행은 경쟁 기관이 자신의 거래 흐름을 보는 것을 허용하지 않을 것입니다. 그러나 은행 간 분할이 중앙은행의 가시성을 제한하는 것과 같지는 않습니다. 해결되지 않은 질문은 플랫폼 운영자로서 중앙은행이 개별 소매 거래를 볼 수 있는지 여부입니다. 백서는 답을 제공하지 않습니다.

위험을 부각시키는 2단계 사용 사례

2단계에서 실제로 테스트하는 내용을 살펴보면 위험이 더 커집니다. 한국은행은 플랫폼을 통해 정부 지급을 처리할 준비를 하고 있습니다. 1단계는 이미 8만 명의 사용자와 12,000개의 가맹점이 참여한 소매 결제를 처리했습니다. 백서는 야심 찬 목표를 설명합니다. 토큰화된 예금과 도매 CBDC가 2030년까지 국고보조금 지급의 4분의 1을 처리하는 것입니다.

정부 지급의 프라이버시 테스트 사례

국고보조금 지급을 중앙은행 운영 통합원장을 통해 라우팅하면 정부 지급 흐름과 개인 금융 행동 간의 직접적인 연결이 대규모로 생성됩니다. 이 데이터가 분할된 사일로에 있는지, 중앙은행이 접근할 수 있는지, 또는 현행 법률에 따라 다른 정부 기관이 요구할 수 있는지 여부는 백서에서 제기하지 않는 질문입니다. 한국에서 공공 부문 고객에게 조언하거나 정부 지급을 수령 또는 처리하는 법인을 감사하는 모든 기업에게 이는 단순한 정책 문제가 아니라 규정 준수 아키텍처 문제입니다.

2023년 한국은행 백서의 내용

한강 백서의 누락은 한국은행에게 새로운 주제가 아니기 때문에 설명하기 더 어렵습니다. 동 기관의 2023년 백서는 디지털 화폐를 위한 프라이버시 강화 기술에 대한 적극적인 연구를 설명했습니다. 세부적인 트레이드오프를 논의하는 설계 백서에서 적극적인 연구에서 완전한 침묵으로의 전환은 주목할 만합니다. 반드시 프라이버시 보호가 구축되지 않았음을 의미하지는 않습니다. 논의되지 않았으며, 그 부재 자체가 기관이 공개적으로 거버넌스 대화를 프레이밍하는 방식에 대한 신호를 보냅니다.

한국을 넘어 중요한 이유

한국은행은 ECB 포럼에서 이 백서를 발표하여 CBDC 아키텍처에 관한 국가 간 대화 속에 명시적으로 배치했습니다. 통합원장 설계를 주시하는 유럽 중앙은행과 규제 기관은 프라이버시 의무가 상당히 성문화된 법적 환경에서 운영됩니다. GDPR은 공공 기관이 처리하는 개인 데이터에 대해 데이터 최소화, 목적 제한, 접근 통제에 대한 엄격한 요구 사항을 부과합니다. 프라이버시를 선택적 논평으로 취급하는 CBDC 아키텍처 백서는 EU 내에서 복제될 경우 즉각적인 조사를 받을 것입니다.

EU 데이터 거버넌스 요구 사항과의 유사점

EU 기반 규정 준수 및 감사 전문가에게 한강 백서는 가까운 곳의 통합원장 제안을 평가하는 유용한 스트레스 테스트입니다. 관련 질문에는 누가 플랫폼 노드를 운영하는지, 인프라 계층에 어떤 거래 데이터가 보관되는지, 데이터 최소화 원칙이 사후에 적용되는 것이 아니라 원장 설계에 포함되는지, 플랫폼 운영자 자체에 대한 접근 통제가 무엇인지 등이 포함됩니다. 이는 유능한 GDPR 또는 금융 데이터 규정 준수 검토라면 표면화할 질문입니다. ECB 포럼의 중앙은행 백서가 이를 표면화하지 않았다는 점은 지적할 가치가 있는 간극입니다.

프로그래밍 가능한 결제 위험을 병행 추적하는 기업의 경우, 프로그래밍 가능한 디지털 결제 인프라의 AML 위험과 EU 기업을 위한 DORA ICT 사고 의무는 중앙은행 인프라가 소매 관련 영역으로 확장됨에 따라 모두 관련 참고 사항입니다.

규정 준수 책임자와 감사인을 위한 실용적 시사점

한강 백서는 최종 규제 프레임워크가 아닙니다. 설계 문서이며, 설계 문서는 구축되는 것을 형성합니다. 한국에 사업장이 있는 고객과 협력하거나 모든 관할권에서 CBDC 준비 상태에 대해 조언하는 규정 준수 전문가는 통합원장 제안을 검토할 때 다음을 미해결 항목으로 취급해야 합니다:

• 중앙은행이 플랫폼 운영자로서 소매 거래 데이터에 중개되지 않은 접근 권한이 있는지와 어떤 법적 권한에 따라 있는지 확인합니다.
• 기관 간 데이터 분할이 중앙은행의 가시성도 제한하는지, 아니면 상업은행 간 교차 가시성만 제한하는지 확인합니다.
• 프라이버시 강화 기술이 원장 프로토콜에 포함되었는지 아니면 애플리케이션 계층에 적용되었는지 평가합니다. 후자는 우회하거나 무시하기 더 쉽기 때문입니다.
• 도매 CBDC 결제 기록에 적용되는 데이터 보유 의무를 조사하고 해당 기록이 소매 흐름을 재구성하는 데 사용될 수 있는지 확인합니다.
• 지급 데이터와 개인 복지 수혜자를 연결하는 민감성을 고려하여 정부 지급 사용 사례에 대해 기존 프라이버시 영향 평가가 수행되었는지 확인합니다.

출처: Ledger Insights