[기고]

OT 보안, 솔루션보다 ‘현장 조건’부터 확인하라

기술보다 환경을 먼저 이해해야 OT 보안 도입이 성공합니다

박경국 쿤텍 TS팀 수석 엔지니어(팀장)

랜섬웨어와 공급망 공격이 산업 제어 환경까지 확산되면서 운영기술(OT) 보안의 필요성에 대한 공감대가 빠르게 커지고 있다. IEC 62443이나 NIST Cybersecurity Framework 2.0과 같은 보안 프레임워크도 점점 더 정교해지고 있다.

제조, 에너지, 발전 등 산업 현장에서는 최근 OT 보안 도입을 고려하면서 “어디서부터 시작해야 하는가?”에 대한 고민이 커지고 있다. 절차만 보면 자산 식별, 네트워크 분리, 모니터링 체계 구축, 이후 이상 징후 대응까지 비교적 명확해 보인다.

하지만 현장의 반응은 다르다. 매뉴얼대로 진행해도 예상치 못한 문제가 발생하거나, 기술적으로는 단순해 보였던 작업이 일정 지연이나 운영 중단으로 이어지는 경우가 많다.

OT 보안이 어려운 이유는 기술이 부족해서가 아니다. OT 환경 자체가 처음부터 ‘보안’이 아니라 ‘운영 지속성’을 중심으로 설계된 공간이기 때문이다. IT 환경에서 통하던 도입 공식이 OT 현장에서는 그대로 적용되지 않는다.

다시 말해 기술이 아닌 환경을 고려해야 한다. 그렇다면 어떤 현장 환경이 실제 장애물이 될까? OT 보안 도입을 어렵게 만드는 대표적인 5가지 현장 조건은 다음과 같다.

1. 에이전트 기반 보안 솔루션 설치가 불가한 노후 장비

현장의 산업용 제어기(PLC), 휴먼-머신 인터페이스(HMI), 감시·제어시스템(SCADA) 장비 중 상당수는 10년에서 길게는 20년 이상 운영된다. 구형 운영체제를 탑재했거나 이미 유지보수가 종료된 장비도 존재한다.

이런 장비에 에이전트 기반 보안 솔루션을 설치하는 것은 현실적으로 어렵다. 설치 자체가 장비 성능에 영향을 주거나 벤더의 유지보수 보증을 무효화할 수 있기 때문이다.

2. 생산장비 가동 중단이 불가한 환경

24시간 365일 운영돼 생산 가동 중단이 불가한 공장에서는 보안 장비를 설치하거나 네트워크 설정을 변경할 수 있는 시간도 매우 제한적이다.

연 1~2회의 정기 점검 기간조차 생산 설비 유지보수, 검·교정, 외부 벤더 작업으로 이미 채워져 있는 경우가 많다.

3. 네트워크 구성도 불일치

네트워크 구성도 역시 OT 보안의 대표적인 변수다. 문서상으로는 스위치와 포트 구조가 명확해 보여도, 실제 현장에서는 장비가 교체돼 있거나 문서에 없는 장비가 추가돼 있기도 하다.

구성도를 기준으로 보안 장비 배치를 설계했지만, 현장에 도착해 보니 특정 스위치가 SPAN 포트 구성이 불가능한 더미 허브로 교체돼 있거나 모든 포트가 사용 중이라 미러링 구성이 불가능했던 사례도 있었다. 결국 설계를 전면 재검토해야 했고 프로젝트 일정은 지연됐다.

설정 하나의 차이가 탐지 품질을 좌우하기도 한다. 지연 끝에 SPAN 포트를 구성했다고 해서 끝나는 것이 아니다. 스위치가 단방향 미러링으로 설정돼 절반 수준의 데이터만 수집되는 사례도 발생할 수 있다. OT 보안에서는 설정의 존재보다 설정의 방향성과 실제 수집 품질을 검증하는 과정이 중요하다.

4. 조직별 우선순위의 차이

보통 보안팀은 위협 탐지를, 운영팀은 생산 중단 방지를 최우선으로 고려한다. 이 차이는 보안 솔루션 구축 이후에도 이어진다.

구축 완료 후 6개월이 지나 미확인 경보가 수백 건 쌓여 있던 사례도 있었다. IT 보안팀은 경보의 공정상 의미를 해석하는 데 어려움이 있었고, OT 운영팀은 보안 솔루션 화면 해석과 관련된 교육을 충분히 받지 못했다.

그 결과 누구도 그 경보를 자신의 업무로 인식하지 못했다. 누가 경보를 보고, 어떤 기준으로 해석하며, 어떤 절차로 대응할지 가이드라인이 정해져 있지 않다면 보안 솔루션은 제대로 작동하지 않는다.

5. 벤더 계약의 제약

설비 유지보수 계약에는 “사전 승인 없는 설정 변경 시 보증 무효”와 같은 조항이 포함된 경우가 많다.

한 현장에서는 트래픽 미러링을 위해 스위치 포트 하나를 여는 단순한 작업조차 벤더 승인 절차에 오랜 시간이 소요됐다. 기술적으로는 단시간에 끝날 작업이 계약 구조로 인해 프로젝트 전체 일정을 좌우하기도 한다.

OT 보안을 어렵게 만드는 5가지 현장 조건 (출처: 쿤텍)

“보안 도입은 위험”이라는 인식이 생기는 이유와 해결책

보안 솔루션 도입 과정에서 큰 위험은 IT식 보안 방식을 OT에 그대로 적용할 때 발생한다. OT 프로토콜은 밀리초 단위의 응답 속도와 일정한 통신 패턴을 전제로 설계된 경우가 많아, IT 환경에서는 미미해 보이는 지연도 OT 현장에서는 공정 이상 신호로 해석될 수 있다.

예를 들어 차단 기능을 강화하기 위해 보안 장비를 네트워크 경로 중간에 직접 연결하는 인라인 방식을 적용하는 과정에서 PLC와 HMI 간 통신 타이밍이 어긋나 생산 라인이 중단된 사례도 있었다.

이러한 경험이 누적되면서 “보안을 도입하면 오히려 설비가 멈출 수 있다”는 인식이 생긴다. 그러나 이는 IT 환경을 전제로 설계된 능동적·인라인 방식을 OT에 그대로 적용했을 때 발생하는 리스크이지, OT 보안 자체의 한계라고 볼 수는 없다.

OT 보안에서는 운영 네트워크에 개입하지 않고 트래픽을 복사해 분석하는 패시브 모니터링이 기본이 돼야 한다. 또한 패시브 방식만으로 모든 문제를 해결할 수는 없기 때문에, 정상 통신 패턴을 학습해 이상 행위를 구분하는 기준선 학습(Baseline Learning)도 필요하다.

초기 오탐과 경보가 과도하게 발생하면 운영팀의 경보 신뢰도가 떨어지고 실제 위협을 놓칠 수 있다. 최소 2~4주의 기준선 학습과 이후 경보 우선순위 조정은 OT 보안 운영의 필수 과정이다.

솔루션보다 현장 조건이 먼저

OT 보안은 솔루션 선정 전에 현장 조건을 확인하는 것에서 출발한다. 노후 장비 비율, 작업 가능한 점검 시간, 네트워크 구성도의 최신성, IT·OT 간 협력 창구, 벤더 계약상의 설정 변경 제약을 먼저 점검해야 한다.

설계 단계에서는 문서보다 현장 실사를 우선해야 하며, 구축 이후에는 기준선 학습과 경보 운영 체계를 함께 마련하는 것이 중요하다.

OT 보안의 목표는 단순한 보안 장비 설치가 아니다. 운영을 멈추지 않으면서 보이지 않던 자산과 통신을 가시화하고, 이상 징후를 현장이 이해할 수 있는 방식으로 탐지·대응하는 체계를 만드는 데 있다.

결국 OT 보안은 제품만으로 완성되지 않는다. 현장 실사부터 네트워크 구조 확인, 운영 조직과의 협업, 기준선 학습과 경보 튜닝까지 함께 설계돼야 한다.

쿤텍은 2019년부터 글로벌 산업 사이버보안 플랫폼 ‘클래로티(Claroty)’의 국내 공식 파트너로서, 산업 현장 특성을 반영한 OT 및 산업제어시스템(ICS) 보안 컨설팅과 구축, 운영 지원을 수행하고 있다. 심층 패킷 분석(DPI) 기반으로 자산 식별, 통신 패턴 분석, 알려진 위협과 알려지지 않은 위협 및 이상 행위 탐지 등 생산성을 해치지 않는 보안 고도화를 지원한다.