8. IROA 보안 실행 공간: 기기 없이도 오래·안전하게 실행하는 기반

IROA의 기본 원격 실행환경은 사용자의 PC가 아니라 IROA 또는 승인된 운영자가 제공하는 초기화 가능한 보안 실행 공간이다. 사용자가 스마트폰이나 PC를 갖고 있지 않아도 요청을 처리하고, 사용자의 기기를 몇 시간씩 켜둘 수 없는 장시간 요청과 더 큰 컴퓨팅 자원이 필요한 요청을 맡는다.

요청별 작업 보호 꾸러미가 세 개의 격리 NODE에서 실행되고 검증 증명으로 합쳐지는 보안 실행 공간

8.1 보안 실행 공간이 필요한 요청

병원·복지·교통·상거래 사이트의 예약·변경·취소
취소 자리, 대기순번, 가격·배송 상태의 장시간 확인
여러 서비스의 시간·비용·접근성 조건 비교
긴 양식, 문서 변환, 비식별화와 접근성 형식 생성
로봇이 현장에서 처리하기 어려운 시각·계획·언어 추론
모바일이 없거나 통신이 끊긴 동안 승인 범위 안의 비동기 작업

8.2 요청별 격리 작업공간

작업마다 새 가상 브라우저·컨테이너와 별도 암호화 키 발급
허용된 도메인·도구·행동·비용·시간만 실행
승인된 소프트웨어 이미지와 보안 업데이트
원격 신뢰 확인으로 실행 공간 상태와 실행환경 검증
화면·키 입력·대화의 불필요한 기록 금지
이용 종료 후 쿠키·임시 파일·데이터키 삭제와 삭제 확인서
운영자에게 이용자의 대화·건강·예약 원문 비공개

보안 실행 공간에는 다음 일곱 가지 보호물을 하나의 **요청별 보호 꾸러미(Task Capsule)**로 묶어 전달한다.

요청 선언서: 목적, 대상 서비스, 성공조건과 만료시간
일회성 Capability: 허용 도메인·도구·행동·비용만 포함한 작업 권한
인증정보 보관소 연결: 비밀번호 원문 대신 공식 인증·패스키·짧은 토큰 사용
Policy Sandbox: 파일·네트워크·메시지·결제·개인정보 전송을 독립 통제
사용자 확인 지점: 결제·계약·민감정보 등 반드시 멈춰야 할 단계
Result Receipt: 예약번호·접수응답·결제승인처럼 성공을 입증하는 결과
Deletion Receipt: 종료 후 임시 자격·쿠키·작업키 폐기를 증명하는 기록

결과 확인서(Result Receipt)와 삭제 확인서(Deletion Receipt)는 원문 개인정보를 공개 원장에 남기지 않는다. 필요한 경우 정책 버전, 보안 실행 공간 상태, 결과의 무결성 해시처럼 개인을 직접 식별하지 않는 증명만 별도 보관한다.

8.3 실행 공간 유형과 신뢰 수준

등급	예시	허용 요청
N0 공개 연산	검증된 비식별 연산 풀	공개정보 정리, 합성·비식별 처리
N1 관리형 실행	IROA 보안 실행 공간·등록 운영자	낮은 위험의 격리 웹 요청, 장시간 추적
N2 승인 접근 거점	키오스크·복지관·반려기기	예약·주문, 제한된 본인확인, 사람 연결
N3 기관	병원·지자체·복지기관	계약·자격 범위의 민감업무
N4 개인 승인	워치·모바일·패스키·대면 확인	자격증명 사용과 최종 승인

높은 등급은 더 많은 개인정보를 자동으로 볼 수 있다는 뜻이 아니다. 요청 목적, 사용자 동의, 데이터 등급, 실행 공간의 현재 증명 상태를 모두 만족해야 한다. 실행 공간 소유자와 실제 실행환경의 신원·상태를 분리해 검증한다.

8.4 신원·비밀번호·OTP

실행 공간에는 전체 계정 권한이나 비밀번호·OTP를 전달하지 않는다. 패스키, 공식 OAuth, 기기 또는 기관 확인, 검증가능한 자격증명을 이용해 필요한 자격만 제시한다. 권한은 목적·사이트·행동·금액·유효시간이 제한된 일회성 작업 권한으로 바꾼다. 결제나 법적 효과가 있는 단계는 사용자 또는 사전에 지정된 적격 도움 제공자가 별도 채널에서 확인한다. 안전한 분리가 불가능하면 자동화를 중단한다.

8.5 개인 PC는 선택적 보조 실행 공간

사용자가 이미 로그인한 로컬 서비스나 개인 파일을 외부로 보내지 않고 처리해야 할 때는 개인 PC를 선택할 수 있다. 그러나 개인 PC 소유·설치·상시 전원·고성능 하드웨어를 IROA 이용 조건으로 삼지 않는다. 개인 PC 실행 공간은 사용자가 명시적으로 켠 요청만 수행하고 언제든 연결을 끊을 수 있다.

8.6 반려기기·로봇 실행 공간

반려 스피커·화면·로봇은 사용자와 가까운 이용 창구이자 제한된 로컬 실행 공간이다. 가능한 음성 깨우기, 접근성 설정, 짧은 대화와 안전정책은 기기에서 처리한다. 더 큰 추론이나 장시간 요청은 원문 전체가 아니라 필요한 입력과 일회성 권한만 보안 실행 공간에 전달한다.

가정용 반려기기가 사용자의 복잡한 요청을 사람 지원자에게 안전하게 인계하는 과정

고정형 단계: 스피커·화면·키오스크·원격 현존 장치로 대화·알림·사람 연결을 검증한다.
이동형 단계: 가정 내 이동, 원격 가족 연결, 제한된 순찰과 물건 위치 안내를 현장 시험한다.
신체 보조 단계: ISO 13482 계열 안전요구, 보험, 인간공학, 기관 심사와 현장검증 뒤 제한적으로 검토한다.

로봇은 의료기기나 보호자로 오인되지 않아야 한다. 기본값 얼굴인식, 상시 녹음·촬영, 강제 추적, 승인 없는 문 열기·물체 이동·신체 접촉을 금지하며, 물리 행동은 항상 속도·공간·힘·중단 조건을 제한한다.

8.7 사용 중인 데이터 보호

전송 중 암호화와 저장 암호화만으로는 보안 실행 공간이 실행하는 순간의 데이터를 모두 보호할 수 없다. D3 건강·금융·장애 데이터와 기관 요청에는 운영체제 격리, 최소 관리자 권한, 키 분리, 감사와 함께 하드웨어 기반 신뢰 실행 환경(TEE)과 원격 신뢰 확인을 선택적으로 검토한다. 기밀 컴퓨팅은 유력한 보호 수단이지만 모든 공격을 막거나 개인정보 처리의 적법성을 자동으로 보장하지 않는다. IROA는 특정 하드웨어 인증을 이미 획득했다고 주장하지 않으며, 실제 도입 전 성능·공급망·사이드채널·운영 복구를 검증한다.