자동차-KISA “한번 터지면 대형사고… OT 보안 위해 직접 제조사 찾아가 솔루션 제공”

“정보기술(IT) 사고는 데이터 유출, 시스템 중단 등 해당 서비스에만 국한되나, 운영기술(OT) 사고는 생산설비 중단으로 이어져 금전적 피해와 함께 인명 피해까지 위협이 된다. 이에 한국인터넷진흥원(KISA)은 스마트공장 보안 강화를 위한 솔루션을 제공하고 나아가 새로운 디지털 산업 보안 강화를 위한 기반을 조성하고 있다.”

서민석 KISA 디지털제품보안팀장은 지난 26일 “운영기술(OT)산업은 4차 산업혁명, 스마트공장 등 디지털 전환(DX)으로 정보기술(IT)과의 연계가 확대하고 있다”며 “다만 IT와 OT는 상호간 연결을 고려해 설계하지 않아 IT 솔루션의 호환이 어렵고 OT 시스템은 통상 레거시 장치가 정기적 보안 패치나 업데이트가 어려운 경우가 대다수”라며 이같이 말했다.

OT 산업 보안 사고는 실제 큰 피해를 낳는다. 2017년 덴마크 해운대기업은 랜섬웨어 공격으로 선사 IT시스템이 마비돼 물류 운송이 중단되는 등 약 3000억원 피해를 봤다. 2020년 독일에서는 대학병원 IT시스템이 랜섬웨어 공격으로 마비돼 환자가 사망하는 사고가 발생하기도 했다.

서 팀장은 국내 기업들의 낮은 보안 인식을 우려했다. 그는 “과기정통부에 따르면 지난해 기준 정보보호 관련 예산을 사용한 기업 중 75.8%가 ‘500만원 미만’이라고 답했다”며 “또 정보 침해사고를 경험한 기업체 중 77.7%는 ‘별다른 활동을 수행하지 않음’이라고 답했다”고 말했다. 이어 “OT 산업의 디지털화가 지속하고 있으나 보안과 관련된 한계가 개선되지 않고 있다”며 “특히 중소기업일수록 보안 전담인력이 부족하거나 제어망에 대한 정기 점검이 없는 등 보안에 취약할 수밖에 없는 구조”라고 덧붙였다.

이에 KISA는 OT 산업의 보안강화를 위한 다양한 대책을 시행하고 있다. 서 팀장은 “KISA는 2020년 스마트공장 OT 대상 보안모델을 개발하고 개포했다”며 “이 모델은 국내외 표준을 반영해 스마트공장 IT·OT 영역에서 발생하는 공격 벡터, 공격 경로, 보안 요구사항 등에 대한 솔루션을 제시하고 있다”고 말했다. 이어 “또 직접 스마트공장 구축기업이나 지역 중소 제조업을 방문해 취약점을 점검하고 있다”며 “점검 이후 자문 컨설팅도 제공하는데, 이러한 점검수요가 2020년 4건에서 지난해 20건으로 매년 증가하는 추세”라고 밝혔다.

KISA는 새로운 디지털제품 산업군의 보안 강화를 위한 다양한 활동에 나서고 있다. 서 팀장은 “민·관·연 전문가로 구성된 디지털 산업 보안협의체를 구축해 각 산업군의 의견을 수렴해 정책과제를 발굴하고 다른 부서와의 연계를 통해 정책 실효성을 확보하고 있다”며 “또 자율주행차, 디지털헬스케어, 로봇, 스마트선박, 우주 등 산업별 특성과 글로벌 규제 등을 고려한 보안모델을 설계해 신 산업군에 대한 보안 문제를 대비하고 있다”고 강조했다.