연결을 줄여야 강해진다, OT 보안 엔지니어링의 역설

• 목록
• 답변
• 글쓰기
• 옵션
  • 수정
  • 삭제

공장 네트워크를 더 많이 연결하면 생산성이 높아질 것 같지만, 연결 지점이 늘어날수록 설비 정지와 보안 사고의 경로도 함께 증가합니다. 그렇다고 모든 장비를 고립시키면 데이터 활용과 원격 지원이 어려워집니다. OT 보안 엔지니어링은 연결을 무조건 차단하는 작업이 아니라, 생산에 필요한 통신만 남기고 위험한 경로를 구조적으로 줄이는 기술입니다.

SDEC 기술 편집팀이 산업보안엔지니어 윤가람 씨에게 제조 현장에서 자주 발생하는 질문을 던졌습니다. IT 보안 솔루션을 그대로 적용하기 어려운 이유부터 네트워크 분리, 자산 식별, 예산 산정, 구축 이후 운영 방법까지 실무 관점에서 살펴봅니다.

Q. 방화벽이 있는데도 공장 보안이 취약한 이유는 무엇입니까?

A. 경계 장비보다 내부 통신 구조가 먼저이기 때문입니다

사무실과 공장 사이에 방화벽 한 대를 설치했다고 해서 OT 보안이 완성되지는 않습니다. 생산 현장에서는 PLC, HMI, SCADA 서버, 산업용 PC, 품질검사 장비와 설비업체 원격지원 노트북이 서로 연결됩니다. 경계가 한 번 뚫렸을 때 내부 장비들이 제한 없이 통신한다면 공격이나 오작동이 공정 전체로 빠르게 번질 수 있습니다.

특히 오래된 제어장비는 최신 인증 방식이나 암호화 기능을 지원하지 않는 경우가 많습니다. 운영체제 업데이트가 중단된 산업용 PC도 생산 프로그램과 드라이버 호환성 때문에 즉시 교체하기 어렵습니다. 따라서 IT 환경처럼 일괄 패치를 적용하기보다 통신 허용 목록, 구역 분리, 접근 기록을 결합해 장비의 약점을 보완해야 합니다.

질문: 현장 담당자는 무엇부터 확인해야 합니까? 인터넷 연결 여부만 보지 말고 생산망으로 들어오는 모든 경로를 찾아야 합니다. 협력사 VPN, 유지보수용 공유기, 무선 AP, USB를 사용하는 엔지니어링 노트북처럼 공식 도면에서 빠진 연결이 실제 사고의 출발점이 되기 쉽습니다. 기술을 단순한 장비가 아니라 문제 해결 과정으로 이해하려면 지식백과의 기술 개념도 함께 참고할 수 있습니다.

• 경계 확인: 업무망, 생산망, 외부 인터넷 사이의 연결 지점을 표시합니다.
• 내부 경로 확인: 서로 다른 생산라인과 제어반이 실제로 통신하는지 점검합니다.
• 우회 경로 확인: 임시 LTE 라우터, 개인용 공유기, 이중 랜카드와 원격제어 프로그램을 찾습니다.
• 운영 조건 확인: 24시간 가동 설비인지, 재부팅과 패치가 가능한 시간대가 언제인지 기록합니다.

“OT 보안의 첫 질문은 어떤 제품을 살지가 아닙니다. 이 통신이 끊겼을 때 생산이 멈추는지, 반대로 왜 열려 있어야 하는지를 설명할 수 있는지가 출발점입니다.”

Q. 네트워크를 많이 분리할수록 안전해지는 것 아닙니까?

A. 과도한 분리는 관리되지 않는 우회 연결을 만듭니다

논리적으로는 구역을 잘게 나눌수록 공격 확산 범위를 줄일 수 있습니다. 그러나 생산 흐름을 무시한 분리는 현장 작업을 불편하게 만들고, 작업자가 승인되지 않은 원격제어 도구나 USB로 데이터를 옮기게 할 수 있습니다. 보안 수준이 높아 보이는 설계가 오히려 보이지 않는 통로를 만드는 역설입니다.

구역은 장비 수가 아니라 기능과 위험도를 기준으로 나누는 편이 효과적입니다. 예를 들어 안전계장시스템, 핵심 제어라인, 일반 생산설비, 품질 데이터 수집 영역, 설비업체 원격지원 영역을 구분할 수 있습니다. 각 구역 사이에는 산업용 방화벽이나 접근제어 장치를 배치하고, 실제 필요한 프로토콜과 목적지만 허용합니다.

A. 데이터 흐름과 제어 흐름을 구별해야 합니다

MES가 PLC의 생산실적을 읽는 통신과 엔지니어링 워크스테이션이 PLC 프로그램을 변경하는 통신은 위험도가 다릅니다. 두 작업을 같은 권한으로 취급하면 데이터 조회 계정이 제어 변경 경로로 악용될 수 있습니다. 분석용 데이터는 OT DMZ의 중계 서버나 단방향 전송 구조를 활용하고, 제어 변경은 승인된 단말과 시간에만 허용하는 방식이 적합합니다.

1. 공정 단위로 구역을 정의합니다. 정지 영향과 안전 영향을 기준으로 핵심 설비를 분류합니다.
2. 현재 통신을 수동 수집합니다. 패킷을 차단하지 않는 미러링 방식으로 출발해 설비 영향을 피합니다.
3. 업무 목적을 확인합니다. IP와 포트만 기록하지 말고 누가 어떤 작업에 사용하는지 연결합니다.
4. 허용 정책을 시험합니다. 비가동 시간이나 테스트 구역에서 적용한 뒤 단계적으로 확대합니다.
5. 예외에 만료일을 둡니다. 임시 허용 정책이 영구 규칙으로 남지 않게 담당자와 종료일을 지정합니다.

Q. 자산 목록은 엑셀 한 장이면 충분하지 않습니까?

A. 목록보다 중요한 것은 변경을 따라가는 체계입니다

엑셀은 시작 도구로 충분하지만 장비명과 IP 주소만 적어 둔 정적 목록은 빠르게 낡습니다. 생산라인 증설, PLC 교체, 협력사 노트북 접속, 스위치 포트 변경이 반복되기 때문입니다. 자산 목록에는 제조사와 모델뿐 아니라 펌웨어, 운영체제, 설치 위치, 담당자, 통신 상대, 백업 보유 여부, 공정 중요도가 포함되어야 합니다.

질문: 자동 자산탐지 솔루션을 바로 도입하면 해결됩니까? 수집 속도는 빨라지지만 탐지 결과가 곧 정답은 아닙니다. 동일한 IP를 교대로 쓰는 장비, 전원이 특정 시간에만 켜지는 검사기, 벤더 고유 프로토콜을 사용하는 장비는 오인식될 수 있습니다. 자동 탐지 결과를 전기 도면, PLC 프로젝트 파일, 스위치 MAC 주소 테이블과 교차 검증해야 신뢰할 수 있습니다.

산업 데이터 활용은 보안과 반대되는 목표가 아닙니다. 실제 현장 음향을 분석해 가축 질병을 판단하는 토종 AI 적용 사례처럼 센서 데이터의 가치가 커질수록 수집 장치의 출처, 변경 이력, 전송 경로가 명확해야 분석 결과도 믿을 수 있습니다. 자산 식별은 보안 통제이면서 데이터 품질 관리이기도 합니다.

• 필수 식별 정보: 자산 ID, 제조사, 모델, 시리얼, IP·MAC 주소, 물리적 위치를 기록합니다.
• 운영 정보: 공정 역할, 가동 시간, 정지 허용 시간, 설비 책임자를 연결합니다.
• 복구 정보: 프로그램 백업 위치, 최근 백업일, 복원 절차와 예비품 유무를 확인합니다.
• 보안 정보: 지원 종료 여부, 알려진 취약점, 원격접속 방식과 계정 관리자를 표시합니다.
• 변경 정보: 신규 연결과 설정 변경이 발생하면 작업요청 번호와 승인자를 남깁니다.

“자산 목록의 완성도를 장비 개수로 평가하지 마십시오. 내일 한 장비가 멈췄을 때 담당자, 백업, 통신 영향 범위를 몇 분 안에 찾을 수 있어야 쓸모 있는 목록입니다.”

Q. OT 보안 컨설팅 비용은 어디에서 차이가 납니까?

A. 제품 가격보다 현장 범위와 가동 제약이 비용을 좌우합니다

OT 보안 프로젝트는 공장 규모, 생산라인 수, 네트워크 복잡도와 산출물 수준에 따라 금액 차이가 큽니다. 제한된 한 개 라인을 대상으로 자산 조사와 위험 진단을 수행하는 소규모 컨설팅은 통상 수천만 원 범위에서 검토되지만, 여러 공장의 네트워크 재설계와 방화벽·접근제어 구축, 운영체계 수립까지 포함하면 수억 원 이상으로 확대될 수 있습니다. 이는 확정 견적이 아니라 2026년 국내 산업 프로젝트를 검토할 때 사용할 수 있는 개략적 예산 범위이며, 현장 조사 후 별도 산정이 필요합니다.

가격을 비교할 때는 장비 수량만 보면 안 됩니다. 야간이나 정기보수 기간에만 작업할 수 있는 공장, 생산 중단 비용이 큰 연속공정, 도면이 최신화되지 않은 사업장은 조사와 검증 시간이 길어집니다. 반대로 표준화된 라인이 반복되고 자산 자료가 잘 관리된 사업장은 첫 라인의 설계를 템플릿으로 활용해 후속 구축 비용을 줄일 수 있습니다.

A. 단계별 발주가 투자 실패를 줄입니다

처음부터 전 공장을 한 번에 바꾸기보다 진단, 상세설계, 파일럿, 확산의 네 단계로 나누는 방식이 현실적입니다. 해외 환경에서 기술을 검증한 K-디지털 글로벌 실증 사례가 보여주듯, 제한된 환경에서 성능과 운영 가능성을 확인하는 과정은 기술 솔루션의 확산 위험을 낮춥니다. OT 보안도 대표 라인에서 통신 누락, 지연, 작업자 불편을 확인한 뒤 표준안을 보완해야 합니다.

1. 현황 진단: 자산과 연결 경로, 계정, 백업, 취약 운영 절차를 조사합니다.
2. 목표 설계: 구역·통신 구조, 원격접속, 로그 수집과 복구 목표를 정의합니다.
3. 파일럿 구축: 대표 라인에서 차단 정책과 장애 대응 절차를 검증합니다.
4. 단계적 확산: 설비 특성에 맞게 표준 설계를 조정하며 다른 라인에 적용합니다.
5. 운영 전환: 정책 승인, 예외 처리, 월간 점검과 사고 대응 책임을 현장 조직에 이관합니다.

제안서를 받을 때는 방화벽 몇 대를 설치하는지보다 산출물을 구체적으로 확인해야 합니다. 최신 네트워크 도면, 자산대장, 통신 허용 목록, 설정 백업, 장애 복구 절차, 운영자 교육, 정책 튜닝 기간이 포함되어야 투자 결과가 조직에 남습니다. SDEC와 같은 기술 컨설팅 및 엔지니어링 파트너를 평가할 때도 현장 제약을 설계에 반영하고 구축 후 운영 기준까지 제시하는지 살펴보는 것이 좋습니다.

Q. 구축 후 사고를 부르는 세 가지 습관은 무엇입니까?

A. 예외 방치, 공동 계정, 검증 없는 차단이 반복됩니다

첫 번째 실수는 긴급 작업을 위해 열어 둔 방화벽 규칙과 원격접속 계정을 회수하지 않는 것입니다. ‘이번 주만 사용’한다는 예외가 담당자 변경 후에도 남으면 누구도 용도를 설명하지 못하는 상시 통로가 됩니다. 예외 신청에는 대상 장비, 작업자, 허용 시간, 승인자와 자동 만료 조건을 반드시 포함해야 합니다.

두 번째는 설비팀 전체가 하나의 관리자 계정을 공유하는 습관입니다. 변경 기록에 동일한 이름만 남아 원인 추적이 불가능하고, 퇴사자나 협력사의 접근 권한도 제때 회수하기 어렵습니다. 개인별 계정 발급이 불가능한 구형 시스템이라면 접속 중계 서버에서 사용자 인증과 화면 기록을 남기고, 공유 비밀번호를 작업 종료 후 교체하는 보완책이 필요합니다.

세 번째는 보안 정책을 실제 설비에서 곧바로 차단 모드로 적용하는 것입니다. 제어 프로토콜은 짧은 주기로 통신하거나 장애 시 보조 경로로 전환될 수 있어 평상시 관찰만으로 모든 흐름을 발견하기 어렵습니다. 최소 한 번의 생산 전환, 품목 변경, 설비 점검 주기를 관찰하고 알림 모드에서 누락된 통신을 검증한 뒤 차단해야 합니다.

• 예외 정책 실수: 만료일 없는 임시 규칙을 만들고 담당자가 기억하기를 기대합니다.
• 계정 관리 실수: 편의를 이유로 협력사와 내부 직원이 같은 관리자 계정을 사용합니다.
• 정책 적용 실수: 백업과 원복 절차 없이 스위치 또는 방화벽 설정을 변경합니다.
• 탐지 운영 실수: 경보 수만 집계하고 생산 이벤트와 연관성을 확인하지 않습니다.
• 복구 훈련 실수: 백업 파일의 존재만 확인하고 실제 복원 가능성은 시험하지 않습니다.

현장에서 바로 적용할 수 있는 방법은 월 1회 30분의 짧은 운영 검토를 고정하는 것입니다. 신규 자산, 만료 예정 예외, 비정상 원격접속, 백업 실패, 반복 경보를 설비·생산·보안 담당자가 함께 확인하십시오. 좋은 OT 보안 솔루션은 통신을 가장 많이 막는 시스템이 아니라 생산을 이해하면서 불필요한 연결을 지속적으로 줄이는 운영 구조입니다.