원격 유지보수가 잦은 공장이라면 산업제어 보안부터 설계해야 한다

• 목록
• 답변
• 글쓰기
• 옵션
  • 수정
  • 삭제

설비 업체가 장애를 확인할 때마다 현장 방문을 기다릴 수 없어 원격 접속을 열었는데, 정작 누가 언제 어떤 장비에 들어왔는지는 남아 있지 않은 공장이 많습니다. 생산은 편해졌지만 접속 계정 공유, 상시 개방된 원격 데스크톱, 출처를 모르는 노트북처럼 보이지 않는 위험도 함께 늘어납니다.

SDEC는 산업보안아키텍트 윤가람에게 원격 유지보수 환경의 산업제어 보안을 어디서부터 설계해야 하는지 물었습니다. 장비를 무조건 차단하는 방식이 아니라 생산성과 안전을 함께 지키는 기술 컨설팅 관점에서 답변을 정리했습니다.

원격 접속 하나가 왜 공장 전체의 문제가 됩니까?

Q. 사무실 VPN과 설비 원격 접속은 무엇이 다른가요?

A. 가장 큰 차이는 사고가 현실 세계의 동작으로 이어질 수 있다는 점입니다. 사무용 시스템이 침해되면 문서 유출이나 업무 중단이 발생하지만, 산업제어망의 HMI·PLC·산업용 PC가 영향을 받으면 컨베이어 정지, 공정 조건 변경, 품질 편차 또는 안전 인터록 오동작으로 연결될 수 있습니다. 같은 원격 접속이라도 보호 대상과 허용 가능한 중단 시간이 전혀 다릅니다.

현장에서는 인터넷 회선 자체보다 관리 방식에서 허점이 생깁니다. 협력업체가 공유 계정으로 접속하거나, 장애 대응을 이유로 포트를 계속 열어 두거나, 단종된 운영체제에 범용 원격제어 프로그램을 설치하는 사례가 대표적입니다. 기술은 목적을 달성하기 위한 수단이라는 기술의 기본 개념처럼 보안 도구도 도입 자체가 아니라 공장의 운영 목적과 연결되어야 합니다.

• 영향 범위: 한 대의 엔지니어링 PC에서 여러 생산라인으로 접근 가능한지 확인합니다.
• 접속 지속성: 작업이 끝난 뒤 세션과 방화벽 정책이 자동으로 닫히는지 살펴봅니다.
• 책임 추적: 개인별 계정, 접속 승인자, 수행 명령과 파일 전송 기록이 남는지 확인합니다.
• 복구 조건: 접속 차단이나 보안 장비 장애가 생산 정지로 이어지는 구조인지 검토합니다.

“원격 접속의 위험도는 회선 개수보다 그 통로로 도달할 수 있는 설비의 수와 권한의 크기로 판단해야 합니다.”

방화벽이 설치돼 있어도 안심할 수 없는 이유는 무엇인가요?

Q. 공장 입구에 방화벽이 있으면 기본 보호는 된 것 아닌가요?

A. 경계 방화벽은 필요하지만 그것만으로 충분하지 않습니다. 사무망에서 생산망으로 들어가는 통신, 생산라인 사이의 통신, 유지보수 노트북에서 PLC로 향하는 통신을 하나의 신뢰 구역으로 묶으면 최초 침해 이후의 수평 이동을 막기 어렵습니다. 특히 ‘내부 장비이니 안전하다’는 전제는 이동식 저장장치, 임시 노트북, 무선 공유기 앞에서 쉽게 무너집니다.

산업제어 보안은 자산을 역할별 구역으로 나누고 꼭 필요한 경로만 연결하는 망 분리와 세분화가 핵심입니다. 다만 논리적 분리만 믿어서는 안 됩니다. 사용하지 않는 스위치 포트, 유지보수용 보조 랜카드, 설비 업체가 남겨 둔 LTE 라우터처럼 설계도에 없는 우회 통로가 실제 현장에 존재할 수 있기 때문입니다.

Q. 어떤 구역부터 나누는 것이 현실적입니까?

처음부터 모든 셀을 세밀하게 분리하면 방화벽 규칙과 장애 대응 부담이 급증합니다. 우선 인터넷·업무망, 생산운영망, 제어망, 안전 관련 설비, 외부 유지보수 구간을 구분한 뒤 공정 중요도에 따라 세분화하는 편이 좋습니다. 연결이 필요한 경우에도 출발지, 목적지, 프로토콜, 시간대를 명시해야 ‘전체 허용’ 규칙이 남지 않습니다.

1. 네트워크 도면과 실제 스위치 연결 상태의 차이를 조사합니다.
2. 생산 중단 영향이 큰 설비와 안전 기능을 별도 구역 후보로 지정합니다.
3. 현재 통신을 일정 기간 관찰해 정상 데이터 흐름을 기준선으로 만듭니다.
4. 차단 정책은 관찰 모드와 시험 라인을 거친 뒤 단계적으로 적용합니다.
5. 예외 규칙에는 담당자, 사유, 만료일을 기록해 영구 예외가 되지 않게 합니다.

안전한 원격 유지보수 구조는 어떻게 만들어야 합니까?

Q. 협력업체가 PLC에 직접 접속하지 못하게 하면 대응이 늦어지지 않나요?

A. 직접 접속을 없애는 대신 통제된 중간 지점을 제공하면 속도와 보안을 함께 확보할 수 있습니다. 외부 사용자는 다중인증을 거쳐 원격접속 게이트웨이에 들어오고, 승인된 시간 동안 점프 서버를 통해 지정 설비에만 접근하게 구성합니다. 이때 접속 요청자와 승인자를 분리하고, 세션 녹화 또는 명령 기록을 남기면 장애 원인 분석에도 도움이 됩니다.

긴급 상황을 이유로 공용 계정을 유지하는 현장도 있지만, 실제 긴급 대응에서는 누가 암호를 알고 있는지 찾느라 더 늦어지곤 합니다. 개인별 계정과 역할 기반 권한을 미리 발급하고, 당직자가 모바일이나 별도 승인 단말에서 한시적으로 접속을 승인하도록 설계하는 편이 빠릅니다. 파일 전달 역시 메일이나 개인 USB가 아니라 악성코드 검사와 반입 승인을 거치는 전용 구간을 사용해야 합니다.

Q. 권장 접속 흐름을 단계별로 설명해 주세요.

1. 요청: 작업 대상, 사유, 예상 시간, 필요한 프로그램을 작업 티켓에 등록합니다.
2. 인증: 협력업체 담당자는 개인 계정과 다중인증으로 본인을 증명합니다.
3. 승인: 현장 책임자가 생산 상태를 확인한 뒤 정해진 시간만 권한을 엽니다.
4. 접속: 점프 서버에서 허용된 설비와 프로토콜로만 연결합니다.
5. 감사: 화면, 명령, 파일 전송, 시작·종료 시각을 작업 티켓과 연계합니다.
6. 회수: 세션 종료 즉시 임시 권한을 폐기하고 변경 사항을 백업합니다.

이 구조에서는 게이트웨이 장애 시 대응 방식도 중요합니다. 보안 장비가 고장 났다고 우회 회선을 바로 연결하면 통제 체계가 무력화됩니다. 비상 접속은 사전에 정의된 계정, 현장 입회, 짧은 유효시간, 사후 검토라는 별도 절차로 준비해야 합니다.

기존 설비를 멈추지 않고 보안을 적용할 수 있나요?

Q. 오래된 PLC와 운영체제에는 보안 프로그램을 설치하기 어렵습니다

A. 맞습니다. 산업용 설비는 공급사 보증, 실시간 제어 성능, 인증된 프로그램 버전 때문에 일반 PC처럼 에이전트를 자유롭게 설치할 수 없습니다. 지원이 끝난 운영체제를 즉시 교체하지 못하는 경우도 많습니다. 이때 필요한 것은 ‘패치가 안 되니 포기한다’가 아니라 네트워크와 운영 절차에서 위험을 낮추는 보완 통제입니다.

우선 수동형 자산 식별을 활용하면 생산 통신에 새로운 패킷을 보내지 않고도 주요 장비와 프로토콜을 파악할 수 있습니다. 이후 취약 장비를 별도 VLAN이나 산업용 방화벽 뒤에 배치하고, 허용된 엔지니어링 스테이션에서만 접근하도록 제한합니다. 불필요한 서비스와 포트는 설비 공급사 확인을 거쳐 닫되, 가동 중인 PLC를 적극 스캔하는 작업은 사전 검증 없이 진행하지 않아야 합니다.

Q. 생산 중단을 피하려면 어떤 순서가 좋습니까?

• 관찰 단계: 최소 한 번의 생산 주기를 포함해 정상 통신과 간헐 통신을 수집합니다.
• 시험 단계: 비가동 설비나 테스트 셀에서 방화벽 정책과 장애 전환을 검증합니다.
• 제한 단계: 명백히 사용하지 않는 외부 통신부터 차단하고 영향을 기록합니다.
• 보호 단계: 중요 설비 구역에 허용 목록 정책을 적용하되 즉시 복구안을 준비합니다.
• 운영 단계: 공정 변경 때 보안 정책도 함께 수정되는 변경관리 절차를 만듭니다.

예를 들어 월말에만 품질 데이터를 전송하는 장비를 일주일 관찰하고 ‘미사용 통신’으로 판단하면 정상 업무가 중단될 수 있습니다. 그래서 데이터 수집 기간은 달력상의 날짜보다 배치 생산, 금형 교체, 정기 보전 같은 공정 이벤트를 기준으로 정해야 합니다. 설비를 이해하지 못한 보안 정책은 정교해 보여도 운영 현장에서는 오래 유지되지 않습니다.

산업제어 보안 컨설팅 비용과 범위는 어떻게 정해집니까?

Q. 예산은 장비 수로 계산하면 되나요?

A. 장비 수는 일부 기준일 뿐입니다. 같은 100대라도 한 건물의 단일 라인과 여러 지역에 흩어진 공장은 조사 난이도가 다릅니다. 네트워크 도면의 신뢰도, 운영 중단 가능 시간, 사용 중인 산업 프로토콜, 협력업체 수, 안전 시스템 포함 여부도 투입 공수에 큰 영향을 줍니다. 따라서 견적을 받을 때는 제품 수량보다 산출물과 현장 범위를 먼저 맞춰야 합니다.

일반적으로 단일 사이트의 현황 진단과 개선 로드맵은 수천만 원 범위에서 논의되는 경우가 많지만, 이는 보편적인 정가가 아닙니다. 다수 공장 실사, 패킷 분석, 침투 검증, 네트워크 재설계, 게이트웨이 구축까지 포함하면 규모가 크게 달라집니다. 반대로 짧은 인터뷰와 문서 검토만 제공하는 저가 진단은 실제 연결 상태나 우회 회선을 발견하지 못할 수 있습니다.

Q. 제안서에서 무엇을 비교해야 합니까?

• 현장 범위: 공장 수, 라인 수, 야간·휴일 조사 여부가 명시됐는지 봅니다.
• 조사 방법: 인터뷰, 구성 백업 분석, 수동형 트래픽 분석, 물리 점검의 포함 여부를 확인합니다.
• 산출물: 자산 목록, 통신 흐름도, 위험 평가표, 목표 아키텍처, 투자 로드맵을 구분합니다.
• 구현 지원: 진단 후 방화벽 규칙 설계와 시험 가동을 누가 맡는지 확인합니다.
• 기술 이전: 운영자 교육, 절차서, 예외관리 양식이 제공되는지 살펴봅니다.

예산이 제한되어 있다면 중요 라인 한 곳을 기준 모델로 만드는 방법이 효과적입니다. 자산 가시화와 원격 접속 통제부터 적용하고 운영 경험을 축적한 뒤 다른 라인으로 확장하면 초기 투자와 생산 리스크를 낮출 수 있습니다. 해외 현장에서 국내 디지털 기술을 검증한 글로벌 실증 사례처럼, 산업 솔루션은 제안서보다 실제 환경에서의 검증 결과가 더 중요한 판단 근거가 됩니다.

도입 후 효과는 어떤 지표로 판단해야 합니까?

Q. 사고가 없었다는 사실만으로 효과를 증명할 수 있나요?

A. 사고 건수만으로는 부족합니다. 공격을 받지 않았을 수도 있고, 사고를 탐지하지 못했을 수도 있기 때문입니다. 대신 노출된 접속 경로가 얼마나 줄었는지, 공유 계정이 개인 계정으로 얼마나 전환됐는지, 승인되지 않은 변경을 얼마나 빨리 발견하는지처럼 운영 가능한 선행 지표를 사용해야 합니다.

보안 지표가 생산 조직의 언어와 연결되지 않으면 현장 참여를 얻기 어렵습니다. 예를 들어 ‘위험 점수 20% 감소’보다 ‘협력업체 작업 이후 설정 변경 확인 시간이 3시간에서 20분으로 단축됨’이 더 설득력 있습니다. 장애 대응 시간, 작업 승인 대기 시간, 오탐으로 인한 확인 업무도 함께 측정해야 보안 강화가 생산성을 떨어뜨리는지 객관적으로 볼 수 있습니다.

Q. 월별로 관리하기 좋은 항목을 추천한다면요?

• 소유자와 용도가 확인된 산업 자산의 비율
• 다중인증이 적용된 외부 원격 접속 계정의 비율
• 만료일을 넘긴 임시 권한과 방화벽 예외 규칙의 수
• 승인되지 않은 신규 장비를 발견하는 데 걸린 평균 시간
• 중요 설정 변경 후 백업 및 검증이 완료되기까지의 시간
• 보안 경보 중 실제 조사가 필요한 경보와 오탐의 비율
• 분기별 복구 훈련에서 목표 시간 안에 복원한 설비의 비율

센서 데이터나 소리처럼 현장 신호에서 이상을 구분하는 기술도 발전하고 있습니다. 실제로 소리를 활용해 질병 징후를 판단하는 AI 사례는 데이터의 맥락이 탐지 품질을 좌우한다는 점을 보여줍니다. 산업제어 보안도 패킷 양만 보는 것이 아니라 생산 시간, 설비 상태, 작업 승인 정보와 함께 분석해야 정상 작업과 이상 행위를 더 정확히 구분할 수 있습니다.

“좋은 보안 지표는 경영진에게 보여주기 위한 숫자가 아니라 다음 달의 개선 행동을 결정하게 만드는 숫자입니다.”

모든 원격 접속을 막는 것이 오히려 안전하다는 주장도 있습니다

Q. 외부 연결을 완전히 없애면 가장 확실하지 않습니까?

A. 공격 표면만 보면 타당한 주장입니다. 안전 중요도가 매우 높고 외부 지원 없이 운영할 수 있는 독립 설비라면 물리적 단절이 적합할 수 있습니다. 원격 접속이 없는 설계는 계정 탈취나 외부 게이트웨이 취약점에서 비롯되는 위험을 분명히 줄입니다. 특히 작업 빈도가 매우 낮다면 복잡한 원격접속 플랫폼보다 현장 입회 절차가 경제적일 수도 있습니다.

그러나 ‘원격 접속 금지’ 정책과 ‘실제로 원격 경로가 없음’은 다른 이야기입니다. 공식 통로를 닫았더니 현장 직원이 개인 휴대전화 테더링이나 승인되지 않은 원격제어 프로그램을 사용하는 경우가 생길 수 있습니다. 해외 설비 공급사의 긴급 지원이 필요한 공장에서 모든 연결을 금지하면 복구 시간이 늘고, 결국 기록이 남지 않는 비공식 우회 접속이 만들어질 가능성도 있습니다.

Q. 그렇다면 허용과 차단은 어떤 기준으로 결정해야 하나요?

1. 원격 지원이 없을 때 예상되는 생산 중단 시간과 안전 영향을 계산합니다.
2. 현장 인력만으로 진단·복구 가능한 설비와 외부 전문 지원이 필요한 설비를 구분합니다.
3. 접속 빈도, 접근 권한, 도달 범위, 데이터 반출 필요성을 기준으로 위험을 평가합니다.
4. 위험이 이익보다 크면 차단하고, 필요성이 크면 승인형 일회성 접속으로 제한합니다.
5. 6개월 또는 주요 공정 변경 시점마다 필요성과 예외 사용 기록을 다시 검토합니다.

핵심은 ‘연결이냐 단절이냐’라는 단순한 선택이 아닙니다. 어떤 공장은 현장 방문만 허용하는 편이 합리적이고, 다른 공장은 통제된 원격 유지보수가 복구 안정성을 높일 수 있습니다. SDEC 기술 컨설팅은 제품을 먼저 고르기보다 공정 중요도와 대응 역량을 확인해 차단할 경로, 제한적으로 열 경로, 반드시 기록할 작업을 구분하는 데서 출발합니다. 편리함을 위해 무조건 연결하는 것도, 보안을 이유로 운영 현실을 외면하는 것도 지속 가능한 산업 엔지니어링 해법은 아닙니다.

• 완전 차단이 적합한 경우: 외부 지원 필요성이 낮고 안전 영향이 큰 독립 설비
• 한시 접속이 적합한 경우: 장애 시 제조사 분석이 필요하지만 평상시 연결은 불필요한 설비
• 상시 플랫폼이 적합한 경우: 다수 협력업체와 여러 공장을 중앙에서 통제해야 하는 환경
• 재검토가 필요한 신호: 우회 접속 발견, 승인 대기 장기화, 공유 계정 재등장, 공정 구조 변경