OT 환경, 안전지대 아니다…KISA “보안 리빙랩 통합 운영, 산업 맞춤 대응“

최근 정보기술(IT)과 운영기술(OT)의 결합이 가속화되면서 산업 현장 내 OT 기반 설비를 노리는 사이버 위협이 더욱 정교해지고 있다. OT 기반 설비는 국가의 핵심 인프라를 포함하고 있어 보안 사고가 발생하면 단순한 정보 유출을 넘어 국가의 안전을 위협하는 큰 사고로 확대될 수 있다.

실제로 지난 2021년 미국 최대 송유관 운영사인 콜로니얼 파이프라인(Colonial Pipeline)이 랜섬웨어 공격을 받아 운영이 중단됐다. 이 사고로 미국 동부 지역의 연료 공급에 큰 차질이 발생했다. 2023년 일본에서는 핵심 물류 거점인 나고야항(Nagoya Port)이 랜섬웨어 공격을 받아 컨테이너 터미널 운영이 약 하루 동안 전면 중단되기도 했다. 두 사건은 OT 환경의 보안 취약점이 국가 핵심 인프라에 얼마나 큰 위협을 줄 수 있는지 보여준 사례로 평가된다.

서민석 한국인터넷진흥원(KISA) 디지털제품보안팀장은 “디지털 전환으로 IT와 OT의 연결이 확대되면서, 기존 폐쇄망 기반 보안 인식만으로는 더 이상 대응이 어렵다”며 “IT에서 OT로 침투해 생산 현장을 겨냥하는 공격은 실제 설비 마비, 인명 사고, 기업 존속에 영향을 줄 수 있는 심각한 위협”이라고 지적했다.

제조업 70%, 보안에 연 500만원도 안 써…사고에도 무대응

생산 현장을 노린 사이버위협이 커지고 있지만 실제 보안 투자는 미흡한 실정이다. 과학기술정보통신부가 발표한 2024년 정보보호 실태조사에 따르면, 전국 6500여개 사업장 중 절반만 정보보호 예산을 쓰고 있으며, 이 중 75.8%는 연간 500만원도 지출하지 않고 있는 실정이다.

또한 침해 사고를 겪은 기업 중 67.7%가 “별다른 대응 조치를 하지 않았다”고 응답한 점도 심각한 문제로 꼽힌다.

서민석 팀장은 “특히 비교적 규모가 작은 중소기업은 보안 전담 인력 부재, 노후 설비 방치, 제어망 점검 미비 등으로 보안 대응의 출발점조차 마련되지 않은 상태”라고 말했다.

IT와 OT의 보안 우선순위 차이도 문제로 꼽힌다. 서 팀장은 “IT는 기밀성과 무결성이 우선이지만, OT는 설비가 멈추지 않고 정상적으로 작동해야 하므로 ‘가용성’이 최우선”이라며 “설비가 멈추거나 제품 품질에 문제가 생기면 안 되기 때문에 보안 점검이나 사이버보안 강화에 대한 부담이 크다”고 설명했다.

이어 “생산 현장에서는 보안 패치나 유지보수 과정에서 설비 중단이 발생할 수 있다는 우려가 커서, 실제로 보안 업데이트나 보안 솔루션 도입을 꺼리는 분위기”라며 “기계를 다루는 작업자들의 IT 이해도도 낮아 보안 조치 자체에 대한 두려움도 존재한다”고 덧붙였다.

현장 중심의 보안 리빙랩 운영, 보안 정책 수립까지 지원

이에 대한 대응으로 KISA는 2020년부터 ‘스마트공장 보안 모델’을 개발하고, 중소 제조업 현장을 직접 찾아가는 ‘스마트공장 보안 리빙랩’을 운영 중이다. 주요 설비와 네트워크 보안 점검은 물론, 실무자를 대상으로 한 교육과 정책 수립 컨설팅도 병행하고 있다.

서 팀장은 “단발성 점검보다는 현장 인식을 높이고, 장기적으로 보안 체계를 수립할 수 있는 기반을 만들어야 한다”며 “스마트공장 실무자들이 보안을 어렵게 느끼지 않도록 실질적인 지원을 이어가고 있다”고 강조했다.

보안 리빙랩 서비스는 사전 인터뷰를 통해 점검 필요성을 파악하고, 실제 공장을 방문해 생산관리시스템(MES), 프로그램제어장치(PLC), 사람과 기계 인터페이스(HMI) 등 주요 설비와 방화벽, 네트워크 장치의 보안 취약점을 진단하는 방식으로 운영된다. 이후에는 보안 정책과 가이드라인 제공, 보안 기능 적용방안, 교육 등을 통해 점검 결과에 맞춘 후속 조치를 제안한다. 이를 위해 8종의 자체 보안 점검 도구를 활용하고 있으며, 문서 검토와 인터뷰도 진행해 보안 인식 수준까지 진단한다.

KISA는 그동안 지역별 특화 산업과 연계해 보안 리빙랩을 분산 운영해왔다. 경기도는 스마트 공장, 원주는 디지털 헬스케어, 부산은 스마트시티, 군산은 자율주행차, 판교는 실감 콘텐츠 분야를 대상으로 맞춤형 보안 점검 서비스를 제공해왔다. 그러나 실제 수요 기업의 다수가 수도권에 집중돼 있고, 거리상의 불편과 설비 운영 특성상 현장 방문이 쉽지 않다는 점이 반복적으로 지적됐다.

이같은 문제를 해결하기 위해 KISA는 오는 12월부터는 보안 리빙랩을 기존 5개소에서 2개소로 통합 운영하고, ‘OT 제품 통합보안지원센터’ 체계로 전환할 예정이다. 판교 등 수도권 중심지에 센터를 배치해 산업 분야 간 종합 점검이 가능하도록 하고 보안 점검 도구도 확대·고도화할 계획이다.

판교 센터는 산업 전반을 대상으로 한 종합 보안 테스트와 컨설팅 거점으로 운영되며, 스마트공장, 자율주행차 등 다양한 산업군을 통합적으로 점검할 수 있는 공간으로 설계된다. 기업들은 ▲산업 간 종합 점검 ▲보안 테스트 ▲교육 ▲컨설팅 등을 통합적으로 수행할 수 있다. 기존 보안 리빙랩보다 다양한 보안 점검 도구와 물리·소프트웨어 보안 환경을 제공한다. 또한 기업이 무료로 활용할 수 있는 취약점 진단 테스트 공간도 마련돼, 중소 제조업체와 신산업 분야 기업들의 접근성과 활용도를 높일 계획이다.

원주 센터는 디지털헬스케어, 실감콘텐츠 분야에 특화된 보안 시험 및 검증 거점으로 운영되며, 식약처와 연계된 의료기기 사이버보안 점검과 인허가 지원 기능을 담당하게 된다.

서 팀장은 “실제 업체들의 본사는 지방에 있어도 생산 설비나 기술 인력은 대부분 수도권에 몰려 있는 경우가 많다”며 “거리가 멀어 점검을 받기 어렵다거나 원하는 도구를 활용할 수 없다는 지적이 반복돼 통합 운영을 결정하게 됐다”고 설명했다. 특히 산업 간 경계가 모호해지고 융합되는 흐름에 따라, 분야별로 나뉜 리빙랩 체계로는 복합적인 점검 수요에 대응하기 어렵다는 점도 고려했다.

이어 “실제 업체들의 본사는 지방에 있어도 생산 설비나 기술 인력은 대부분 수도권에 몰려 있는 경우가 많다. 거리가 멀어 점검을 받기 어렵다거나 원하는 도구를 활용할 수 없다는 지적이 반복돼 통합 운영을 결정하게 됐다”고 설명했다. 특히, 산업 간 경계가 모호해지고 융합되는 흐름에 따라, 분야별로 나뉜 리빙랩 체계로는 복합적인 점검 수요를 대응하기 어렵다는 점도 고려했다.

단, 예산과 인력의 한계 문제는 여전히 남아있다. 서 팀장은 “올해 보안 리빙랩과 각 산업별 보안 사업 예산이 약 30억원 규모로 운영되고 있지만 2026년부터는 기금 사업 축소로 인해 관련 예산도 줄어들 가능성이 크다”며 “기존 8개 분야에서 진행하던 사업들도 선택과 집중이 불가피한 상황”이라고 밝혔다.

이에 따라 지자체·유관기관과의 협력 확대, 찾아가는 스마트공장 보안 점검 서비스 강화 등 현장 접근성 보완 방안을 함께 모색하고 있다. 서 팀장은 “운영의 효율성과 접근성을 모두 고려한 조치”라며 “물리보안, 소프트웨어 보안, 취약점 진단까지 통합적으로 지원하겠다”고 설명했다.

5대 신산업·3대 주요 산업도 추진…“분야별 맞춤형 전략 필요”

스마트공장 외에도 KISA는 자율주행차·디지털헬스케어·스마트시티·실감콘텐츠 등 5대 핵심 산업에 OT 보안 모델을 개발해 적용 중이며, 최근에는 우주, 로봇, 선박 등 신디지털 산업으로도 영역을 확장하고 있다.

서 팀장은 “각 산업은 시스템 구조, 적용 규제, 보안 요구사항이 모두 달라 산업별 맞춤형 전략이 필수적”이라며 “보안 모델도 각 산업 특성에 맞춰 개별 개발하는 방식으로 운영 중”이라고 설명했다.

자율주행차는 차량 내 통신과 무선 업데이트(OTA) 기능의 보안 점검이 핵심이다. 자동차 사이버보안 관리체계(CSMS)를 반영한 모델을 따로 구축했다.

디지털헬스케어는 식품의약품안전처(이하 식약처)의 의료기기 사이버보안 허가 심사 기준에 부합하도록 보안 점검 항목을 구성했다. 실제로 관련 보안 시험 결과서를 발급받으면 식약처 인허가 절차에서 활용할 수 있다.

스마트시티는 도심항공교통(UAM), 교통 신호제어, 공공 인프라 연계 시스템의 융합 특성을 반영했으며, 실감콘텐츠는 VR/AR 기반의 콘텐츠 제작·전송 과정에서의 데이터 무결성과 해킹 방지 요구에 초점을 뒀다.

특히 우주·로봇·선박 분야는 최근 수요가 급증하면서 보안 협의체를 구성해 모델 개발을 본격화하고 있다. 우주 산업의 경우 위성, 지상체, 위성 활용 서비스 등 3단계로 구분해 보안 모델을 개발 중이며, 지난해에는 위성 활용 서비스에 대한 보안 모델을 먼저 배포했다.

로봇 분야는 제조용·서비스용 로봇에 대한 원격 제어 보안, 센서 데이터 위·변조 가능성 등을 중심으로 점검 항목을 구성 중이다.

선박 분야는 국내외 협업이 필수적인 특수성을 고려해, 해양수산부, 해경청, 한국선급, 국내 조선업체들과 보안 협의체를 구성해 대응 중이다. 특히 올해 11월에는 실제 사이버 공격을 가정한 스마트선박 사이버 침해사고 대응 모의훈련을 민·관 합동으로 시행할 예정이다. 서 팀장은 “작년에는 내부 사정으로 보도하지 못했지만, 올해는 정부 부처와 유관기관이 함께 참여하는 만큼 반드시 대외 공개할 계획”이라고 설명했다.

끝으로 서 팀장은 “OT 보안 점검은 단지 기술 대응이 아닌 예방 투자이자 생존 전략”이라며 “디지털 전환이 가속화되는 만큼, 산업별 특성을 반영한 체계적 보안 확산이 반드시 뒤따라야 한다”고 강조했다.

글. 바이라인네트워크

<곽중희 기자>god8889@byline.network