이준호의 사이버보안 이야기 <39> OT 보안의 공백: 스마트팩토리, 무방비 도시를 만들다 > News Insight

2021년 5월, 미국 동남부의 주유소마다 휘발유를 채우려는 차량들이 길게 늘어서기 시작했다. 일부 운전자는 연료 품귀를 우려해 비닐봉지나 통에 기름을 사재기하는 웃지 못할 광경까지 벌어졌다. 미국 석유 공급망의 45%를 책임지던 콜로니얼 파이프라인이 랜섬웨어 해킹으로 가동을 멈추자, 불과 며칠 만에 현실 세계에 사이버 대란이 나타난 것이다. 한편 동유럽의 우크라이나에선 정체불명의 해커들이 한겨울 전력망을 공격해 수도 키이우 일대 10만 명이 암흑 속에 갇히는 사태까지 벌어졌다. 사이버 공격으로 도시의 불빛이 사라지고, 주유소 연료가 동나는 초유의 위기가 현실화된 것이다. 이러한 사건들은 운영기술(OT), 즉 발전소·공장·철도 등의 산업 제어망이 사이버 공격에 얼마나 취약한지를 드러냈다. 그리고 이는 비단 해외만의 이야기가 아니다. 첨단 스마트팩토리로 제조 혁신을 이루겠다는 우리나라 역시 OT 보안의 중요성에서는 자유롭지 않다. 이제는 OT 보안이 무엇이며 왜 중요한지, 국내외 사례를 통해 짚어보고 산업과 국가에 미칠 위험을 점검해야 할 시점이다. 이를 바탕으로 앞으로 대한민국이 나아가야 할 ‘안전한 스마트’의 방향을 제언해본다.

OT 보안이란 무엇인가? (IT와 무엇이 다른가)

IT 보안과 OT 보안은 지키고자 하는 대상과 우선순위에서 큰 차이가 있다. IT(정보기술) 환경의 주된 목적은 기업의 데이터와 네트워크 자원을 보호하는 것이다. 예컨대 서버, PC, 기업 데이터베이스, 이메일 시스템 등이 IT 자산에 해당하며, 해킹 시 주로 정보 유출이나 시스템 다운타임이 문제가 된다. OT(운영기술) 환경은 반대로 발전 설비, 공장 기계, 로봇, 센서 등 물리적 장비와 공정을 제어하는 데 초점을 둔다. 다시 말해 IT가 데이터와 커뮤니케이션을 다룬다면, OT는 물리적 장비의 동작과 결과를 다룬다.

이 차이로 인해 보안 사고 시 영향도 상이하다. IT 시스템이 해킹당하면 개인정보나 기밀이 유출되고 업무가 마비되는 비즈니스 손실이 주로 발생한다. 반면 OT 시스템이 해킹당하면 생산라인이 멈추고 전력 공급이 중단되며 심지어 폭발이나 정전과 같은 물리적 피해로 이어질 수 있다. 2010년대 초반 이란의 원심분리기를 파괴한 공격(스턱스넷)이나 앞서 언급한 우크라이나 정전 사태는 OT 해킹이 가져오는 물리적 파급력을 단적으로 보여준다. 한 OT 보안 전문가는 “OT에서 말하는 보안은 사이버 Security가 아니라 설비 Safety(안전)”라고 지적한다. 그만큼 OT 현장에서는 전통적으로 가동의 안정성과 안전을 최우선시해 왔고, 해커 침입 같은 사이버위협은 쉽게 상상하지 못했다. 실제로 “OT는 기본적으로 폐쇄망이기 때문에 공장 운영자는 사이버보안은 아예 생각조차 하지 않고 설비를 운용한다”는 말이 나올 정도였다.

그러나 최근 제조 공장과 사회기간시설에도 IoT 센서, AI 예지보전, 클라우드 모니터링 등 디지털 전환이 빠르게 진행되면서 IT-OT 간 경계가 허물어지고 있다. 과거 외부와 단절되어 있던 생산현장이 이제는 데이터 수집과 원격 관리 등을 위해 기업 IT망 및 인터넷과 연결되기 시작한 것이다. 이에 따라 OT 시스템도 랜섬웨어나 해킹 이메일 등 사이버공격에 직접 노출되는 시대가 되었다. 하지만 오랜 기간 별개의 영역으로 여겨져 온 탓에, OT 보안은 IT 보안에 비해 현격히 미흡한 실정이다. 한국뿐 아니라 전세계 제조업계가 공통으로 직면한 새로운 도전이 바로 이 OT 보안이며, 이를 보강하지 않은 스마트 인프라는 그야말로 무방비 상태나 다름없다.

왜 지금 OT 보안이 공백인가

우리나라 정부는 지난 수년간 제조업의 경쟁력 강화를 위해 이른바 스마트팩토리 보급에 총력을 기울여 왔다. 실제로 2014년부터 시작된 스마트공장 보급 사업을 통해 2022년까지 전국에 약 3만 개의 스마트공장이 구축되었다. 기업 생산현장의 디지털화가 빠르게 확산된 것이다. 그러나 스마트팩토리의 양적 성장 뒤에 가려진 질적 격차가 존재한다. 정부 보고서에 따르면 현재 구축된 스마트공장의 74.5%가 가장 낮은 ‘기초’ 수준에 머물러 있다. 자동화 설비는 도입했지만 고도화된 통합관리나 보안체계까지 갖추지 못한 공장이 태반이라는 의미다. 특히 그간 국내 스마트 제조혁신 전략은 운영기술(OT)보다 정보기술(IT) 역량 강화에 편중되어 있었다. 생산라인의 센서 데이터를 모으고 AI로 분석하는 등의 화려한 IT 기술 접목에 치중한 나머지, 정작 그 밑단의 제어망(OT)을 안전하게 지키는 기본 전제는 소홀했던 것이다.

이러한 구조적 요인에는 조직 문화와 인식 문제도 한몫한다. 대기업과 달리 중소 제조업의 경우 전담 보안인력 부족으로 인해 IT 보안조차 벅찬 곳이 많다. 하물며 OT 보안은 개념조차 생소하여 투자는커녕 필요성 인식도 낮다. 국내 생산현장에는 여전히 OT 보안 전문인력이 거의 전무한 상황이며, 공장의 자동화설비 담당자들도 사이버 위협 대응 경험이 부족하다. 한 조사에 따르면 국내 제조 기업의 79%가 외부 네트워크와 연결된 OT 장비를 100대 이상 운영 중이지만, OT 보안 관제센터(SOC)를 통해 이상 징후를 모니터링하는 곳은 12%에 불과했다. 다시 말해 88%의 공장 운영자들은 해킹 시 즉각 탐지하거나 대응할 체계를 갖추고 있지 못하다.

이렇듯 OT 보안은 기술적·관리적 뒷받침이 취약한데, 더욱 문제는 경각심 부족이다. 다행히도 지금까지 국내에서는 전국적 피해를 초래한 OT 해킹 사고가 공식 보고된 바 없다. 그러나 아이러니하게도 “큰 사건이 없었기 때문에 보안 수요도 적다”는 분석이 나온다. 눈앞의 피해 사례를 겪지 못하니 투자와 대비가 미뤄지고, 그 공백을 위협군이 노리고 있는 현실이다. 실제로 보안 업계 조사에서 국내 OT 담당자의 80%가 최근 1년 내 한 차례 이상의 사이버 침입을 경험했다고 응답했으며, 그로 인해 제조업체 10곳 중 4곳은 생산성 저하를 겪은 것으로 나타났다. 공격은 이미 진행 중인데도, 우리는 “설마 우리까지 당하겠어” 하는 안이함 속에 방치하고 있는 셈이다.

국내외 실제 사건 사례

세계 각국에서 OT 보안의 공백을 노린 공격이 현실화되면서 그 피해 사례도 속출하고 있다. 앞에서 언급한 콜로니얼 파이프라인 사건은 OT 해킹의 파괴력을 단적으로 보여줬다. 해커들은 이 송유관 운영사의 네트워크를 랜섬웨어로 잠그고 4백만 달러가 넘는 돈을 요구했다. 결국 에너지 공급 마비 사태를 막기 위해 회사는 440만 달러(약 56억 원)를 지급했고, 미국 정부까지 나서서야 겨우 사태가 진정되었다. 이 사건을 계기로 미국은 사이버보안을 국가안보 사안으로 격상시키고, 주요 기반시설에 대한 보안 규정을 강화하는 계기가 마련되었다.

유럽 지역에서는 2015년 우크라이나 전력망 해킹이 유명한 사례다. 해커들은 악성코드를 심어 배전소 제어 시스템을 장악한 뒤, 스위치 수십 개를 일제히 내려버렸다. 그 결과 우크라이나 수도와 서부 지역에 최대 6시간 동안 대규모 정전이 발생해 한겨울에 주민들이 큰 불편을 겪었다. 이듬해에도 키이우 변전소가 또 한 차례 해킹당해 10만 가구가 암흑에 빠지는 일이 재발했다. 이러한 공격 배후로는 우크라이나와 갈등 중인 러시아 해커 조직이 지목되었는데, 사이버공격이 현대전의 한 양상으로 이용될 수 있음을 보여준 대표적 사례로 꼽힌다.

중동 지역의 이란에서는 2021년 7월 해커들이 국가 철도망을 마비시킨 사건이 있었다. 해커들은 열차 예약 시스템을 뚫고 들어가 열차들을 멈춰 세운 뒤, 역내 전광판에 황당한 메시지를 띄웠다. “사이버공격으로 열차 지연”이라는 가짜 안내문과 함께, 자세한 문의는 이란 최고지도자 사무실 전화번호로 하라는 조롱 섞인 내용이었다. 이로 인해 이란 전역의 기차 운행에 전례 없는 대혼란이 벌어졌고, 승객들은 발이 묶였다. 이후 조사 결과 이는 금전 목적의 범죄가 아니라 정권에 대한 사이버 테러에 가까웠음이 드러나 충격을 주었다.

이밖에도 제조업을 노린 랜섬웨어 공격이 전세계에 빈발하고 있다. 2019년 노르웨이의 세계 최대 알루미늄 생산기업 노르스크 하이드로는 랜섬웨어에 감염돼 금속 제련 공정이 멈추고 4천만 달러 이상의 손실을 입었다. 이 사건으로 알루미늄 국제 시세가 1.2% 급등하는 등 공급망 충격이 나타나기도 했다. 2018년 대만의 반도체 회사 TSMC도 웜 바이러스 감염으로 2일간 공장 가동이 중단되어 약 3,000억 원(연매출의 3%) 손실을 보았다. 2022년 3월에는 도요타자동차의 부품 협력사가 해킹당해 도요타 일본 내 14개 전 공장의 조업이 하루 새 전면 중단되는 사태가 벌어졌다. 이렇듯 사이버 공격이 한 회사의 생산 차질을 넘어 산업 전반에 파급되는 사례가 늘어나자, 글로벌 기업들은 비로소 OT 보안 강화에 투자를 시작했다.

한편 대한민국도 더 이상 안전지대가 아니다. 최근 국가정보원과 경찰청 발표에 따르면 북한을 비롯한 해외 조직의 산업 해킹 시도가 지속적으로 포착되고 있다. 다행히 아직 국내에서 대규모 OT 피해 사례가 공표되진 않았지만, 앞서 언급한 조사에서 드러나듯 다수의 기업들이 크고 작은 해킹 침투를 실제로 겪고 있다. 몇 년 전 원자력발전소 도면 유출 사건이나 올해 발생한 병원 랜섬웨어 사태 등도 엄밀히 보면 OT 영역(에너지·의료)의 침해 사고다. 스마트팩토리 강국을 자임하는 우리나라 기업들이 이러한 위협에 노출되어 있다는 사실은 간과할 수 없다. 눈앞에 보이는 피해가 없다고 안심하기에는, 사이버 공격자들은 이미 조준경을 우리의 공장과 도시 인프라로 맞추고 있다.

산업·국가 차원의 리스크 확대

우리는 국가 경제를 위해 공장 설립과 생산능력 확충을 열렬히 독려해왔다. 실제로 정부 주도의 스마트산단 조성, 기업의 국내 파운드리 투자 발표 등 제조 인프라 확대에는 모두가 환호한다. 그러나 정작 그렇게 지은 공장을 어떻게 지킬 것인지에 대해서는 깊이 논의되지 않는다. 눈부신 디지털 발전의 이면에 자리한 보안 공백을 방치하면, 그 첨단 생산시설들은 하루아침에 멈춰 선 쇳덩이로 전락할 수 있다.

OT 해킹이 초래하는 산업 피해는 단순한 기업 차원의 손실을 넘어 산업 공급망 전체의 위기로 번진다. 이를 테면 부품 공장 한 곳이 랜섬웨어에 걸리면 완성품 조립까지 중단되어 다수 기업에 연쇄 타격을 줄 수 있다. 실제 도요타 협력사 해킹 여파로 전세계 자동차 생산량이 감소한 사례가 있고, 노르스크 하이드로 사태 때는 글로벌 원자재 가격이 출렁였다. 이처럼 현대 산업은 촘촘히 연결되어 있기 때문에, 한 지점의 사이버 취약성이 전방위 리스크가 되는 시대다. 우리나라 역시 반도체, 자동차, 정유 같은 기간산업이 밀집해 있다. 만약 해킹으로 주요 공장들의 가동이 멈춘다면 수출과 내수에 막대한 충격이 불가피하다. 또한 정유·화학 플랜트나 철강로, 가스관 등의 제어망이 공격당하면 자칫 폭발, 유해물질 누출 등의 안전사고로 이어져 시민들에게 직접적인 피해를 줄 수도 있다.

더 큰 문제는 이런 사이버 공격이 국가 기반시설로 확대될 경우 벌어질 일들이다. 전력망, 수도시설, 교통신호망, 철도, 병원, 위성통신 등 사회 필수서비스가 해킹당하면 그 도시는 사실상 기능을 상실하게 된다. 앞서 언급한 우크라이나 정전 사태처럼, 전기가 끊긴 도시에서는 병원 수술실부터 가정 난방까지 모두 마비된다. 신호등 제어 시스템이 해킹되어 도로가 혼잡해지거나 철도 관제가 오작동해 대형 사고가 날 가능성도 있다. 이러한 디지털 리스크는 군사적 위협 못지않게 위험하다. 사이버 공격은 물리적 폭탄 없이도 도시를 무력화할 수 있기 때문에, 유사시 적대 세력이 가장 선호하는 비대칭 수단으로 꼽힌다. 실제로 러시아-우크라이나 전쟁을 비롯해 중동 지역 분쟁에서 상대국의 에너지망이나 교통망을 노리는 사이버전이 빈번히 펼쳐졌다. 북한 역시 유사시 남한의 주요 SOC를 사이버공격할 수 있다는 우려가 지속 제기되어 왔다.

국가안보 차원에서 보더라도 OT 보안은 더 이상 선택이 아닌 필수다. 최근 우리 정부도 이러한 위험을 인지하고 국가 사이버안보 전략에 기반시설 및 산업보안을 주요 의제로 포함시키고 있다. 하지만 현실의 변화 속도에 비해 대비책 마련은 더디다. 민간 기업에 맡겨온 산업제어망 보안을 이제는 국가 차원의 컨트롤타워를 통해 체계적으로 강화해야 할 때다. 스마트시티, 자율주행, AI 국가전략 등 최첨단 미래비전도 결국 안전한 디지털 기반 위에서만 실현 가능하다. OT 보안의 공백을 방치한 채 ‘스마트’의 성과만 쫓는다면, 우리는 스스로 무방비 도시를 만드는 우를 범하게 될 것이다.

대책과 제언: ‘안전한 스마트’로 가는 길

이제 OT 보안 격차를 해소하기 위해 산업계와 국가 차원에서 총력을 다해야 한다. 스마트 제조혁신을 뒷받침하는 든든한 보안 방패를 갖추기 위해 다음 다섯 가지 방안을 제언한다:

1. 정책 거버넌스 강화: OT 보안을 국가 사이버안보 전략의 핵심 의제로 격상하고, 산업제어시스템 보안을 전담 조율할 컨트롤타워를 구축해야 한다. 미국, 유럽 등은 이미 정부 기관이 중심이 되어 에너지·교통·제조 기업들과 공동 대응체계를 마련하고 있다. 우리나라도 정부 부처 간 협력을 통해 OT 보안 표준과 지침을 정비하고, 정기적인 실태 점검과 모의훈련으로 대비 태세를 갖출 필요가 있다.

2. 산업별 보안 규제 및 지원: 전력, 가스, 철도, 반도체 등 핵심 산업 분야별로 OT 보안 표준과 규정을 수립해야 한다. 안전관리법이나 전력기술기준 등에 사이버보안 항목을 포함시켜 보안이 곧 안전임을 명문화할 필요가 있다. 또한 중소 제조업체들의 보안투자를 유도하기 위해 정부 차원의 지원 프로그램을 확대해야 한다. 예를 들어 노후 OT 장비 교체, 네트워크 분리, 백업 시스템 구축 등에 대해서는 정책적으로 예산 지원이나 세제 혜택을 부여하면 기업들의 참여를 높일 수 있을 것이다.

3. 전문인력 양성과 인식 제고: 산·학·연이 협력하여 OT 보안 전문인력을 긴급히 양성해야 한다. 제어공학에 밝은 인력에게 사이버보안 교육을 제공하거나, IT 보안 전문가에게 OT 현장 경험을 접목하는 융합 인재 프로그램이 필요하다. 다행히 정부가 최근 스마트공장 분야 등에 융합보안 대학원 지원을 시작하여 인재 양성에 나서고 있다. 이를 더욱 확대하고, 민간 기업의 현장 훈련 기회와 연계해 실무 역량을 갖춘 전문가 풀을 키워야 한다. 아울러 경영진과 현장 관리자 대상의 OT 보안 리터러시 교육을 실시하여 “설비도 해킹당할 수 있다”는 보안 인식 전환을 이루는 것이 시급하다.

4. 기술적 방어체계 구축: 기업 차원에서는 OT 망에 대한 가시성 확보와 위협 탐지 능력을 강화해야 한다. 현재 대다수 공장이 어디가 뚫리고 있는지조차 모르는 상황이므로, OT 전용 보안장비 도입이 필수적이다. 예를 들어 생산망과 업무망 사이에 방화벽 및 침입탐지시스템(IDS)을 설치하고, PLC·SCADA 등의 이상 행위를 실시간 모니터링하는 OT 보안관제 센터를 운영해야 한다. 물리적으로 떨어진 설비망일수록 USB를 통한 멜웨어 침투 사례가 많으므로, 휴먼실수 방지를 위한 보안통제 프로세스도 마련해야 한다. 주기적인 패치 적용과 백업체계 구축, 그리고 사고 발생 시 생산 공정을 안전하게 셧다운하는 비상 매뉴얼까지 갖춰 놓는다면 최악의 피해를 막을 수 있을 것이다.

5. 정보공유와 국제 협력: OT 보안 위협은 국경을 넘나드는 만큼, 산업계 전체의 공동 대응이 중요하다. 업종별로 사이버 위협정보를 공유하는 협의체를 활성화하고, 침해사고가 발생하면 실시간으로 경보를 전파해 제2, 제3의 피해를 예방해야 한다. 정부와 민간의 공조도 필수적이다. 주요 산업시설을 보호하기 위해 국내 보안기업의 기술 개발을 지원하고, 해외 유수 보안기업·기관과의 협력을 통해 최신 위협 인텔리전스를 확보해야 한다. 사이버공격은 한 국가만의 노력으로 막기 어려운 만큼, 국제 공조하에 랜섬웨어 대응, 해커 제재, 기술 공유 등이 이뤄져야 효과를 거둘 수 있다. “AI 시대에 사이버보안부터 챙겨야 진정한 강국이 된다”는 인식을 각국이 공유하며, 글로벌 차원에서 안전한 산업 디지털 생태계를 구축해나가야 할 것이다.

결론: '스마트'보다 '안전한' 디지털 대한민국

첨단 디지털 기술을 활용한 스마트 혁신은 대한민국 산업과 도시의 미래를 밝힐 청사진이다. 그러나 그 밝은 꿈을 실현하려면, 보이지 않는 곳에서 받쳐주는 안전망이 필요하다. 하드웨어적 스펙과 AI 알고리즘 경쟁에만 몰두하며 보안을 소홀히 한다면, 그 화려한 성과는 한순간에 물거품이 될 수 있다. 반대로 탄탄한 보안 토대 위에서 추진되는 스마트화는 어떤 위기에도 흔들리지 않는 지속 가능한 발전을 담보할 것이다. 사이버 공간의 방패 없이 이루는 디지털 강국은 존재할 수 없다. 이제는 ‘스마트 코리아’와 함께 ‘세이프 코리아’를 국가 비전으로 삼아야 할 때다. OT 보안의 공백을 메우고 산업과 도시 인프라를 단단히 보호함으로써, ‘스마트’보다 ‘안전한’ 디지털 대한민국을 만들어 나가야 한다. 그것이 4차 산업혁명 시대에 대한민국이 누려야 할 진정한 디지털 주권이며, 국민이 안심하고 누릴 수 있는 풍요로운 미래의 기반일 것이다.

<ifsPOST>