“스마트공장 도입에 앞서 보안설계부터 하자”

프린트

Live 중기 ㅣ 산업뉴스 “스마트공장 도입에 앞서 보안설계부터 하자” 기존 네트워크와 분리해 별도 시스템 구축…생산성 초점 보안 취약

기사입력2016-09-28 13:30

스마트공장을 도입하기에 앞서 해킹 등을 막을 수 있는 보안설계부터 강화해야 한다는 지적이 늘고 있다. 생산성과 편의성 향상에만 초점을 맞춘 나머지 보안문제는 간과했기 때문이다. 우리보다 스마트공장 도입이 앞선 독일 미국 등도 기존의 네트워크와 분리한 별도의 보안시스템을 구축하는 등 보안문제에 집중하고 있다.

국회 대중문화미디어연구회와 (사)한국해킹보안협회가 27일 개최한 ‘시큐어 코리아 2016’에서 고려대 정보보호대학원 한근희 교수는 “우리나라도 스마트공장을 도입할 때부터 보안을 고려해 설계해야 한다”며 “미국의 경우는 2008년부터 스마트공장 관련 침해사고에 대응하기 위해 별도 기관을 만들어 활동하고 있다”고 소개했다.

스마트공장이란 제조업 생산성을 향상시키기 위해 공장 안팎에 사물인터넷 등을 도입해 전 공정단계를 자동화하는 것을 말한다. 기존 제조업이 사람의 경험과 손기술에 의존해왔다면, 스마트공장에서는 작업공정 전 과정이 각종 스마트 센서와 소프트웨어를 통해 자동으로 이뤄진다.

제품기획·설계, 제조공정, 유통판매 등 전 과정이 망으로 연결되기 때문에 해킹을 사전에 차단하는 것이 무엇보다 중요하다. 특히 해킹으로 단순 정보를 빼갈 뿐만 아니라, 공공인프라나 산업시설을 불법으로 제어하고 파괴할 수도 있어 경제·산업 전반에 걸쳐 피해를 입히고 인명피해도 발생할 수 있어 스마트공장 보안강화는 필수다.

<그래픽=이가영 기자> ©중기이코노미

산업연구원은 사물인터넷(IoT)을 포함한 국내 보안피해액은 지난해 13조4000억원에서 2020년에는 17조7000억원, 2030년에는 26조7000억원에 이를 것으로 추정한다. 보안피해로 인해 국가신용도가 하락하거나, 데이터 유출로 인한 2차 피해까지 고려하면 피해규모는 더 커진다. 특히 업계관계자들의 전언에 따르면, 스마트공장의 기기들은 대체로 컴퓨팅 성능이 단순하고 보안도 허술한 경우가 많아 대부분 외부공격에 취약하다는 것이다.

따라서 전문가들은 스마트공장의 핵심으로 불리는 ‘산업제어시스템(ICS)’은 기존의 IT와는 상이한 부분이 많기 때문에 보안시스템도 다르게 설계해야 한다는 의견을 내놨다. 바꿔말해 현장설비 등 물리적 자산보호에 중점을 둬야 한다는 것이다.

산업제어시스템은 산업생산에서 사용되는 SCADA, 분산제어시스템(DCS) 및 PLC와 Field Device와 같은 여러 종류의 제어시스템을 말한다. 통신시설을 통해 떨어져있는 구성요소들에 명령을 내리고 산업체의 공장을 제어하고 감시하는 등의 역할을 수행한다.

<그래픽=이가영 기자> ©중기이코노미

기존 IT에서 보안은 물리적 자산보다는 정보자산 보호에 초점을 맞추고 있다. 그러나 스마트 공장의 보안목표는 감시제어 시스템의 가용성, 현장설비 및 장치보호, 현장 작업운영지속 및 안전, 실시간 대응, 영업비밀 유출방지 등이다. 또 ICS는 시간으로 운영되고 재구동이 불가능하기 때문에 ‘타이밍’이 조금만 어긋나도 공장 안전과 제품 품질에 큰 영향을 미친다. 이와함께 스마트공장의 설비, 기기 및 센서는 다양한 기기와 다른 통신 프로토콜을 사용해 연결하기 때문에 보안시스템이 일반 IT보다 복잡하다. 예컨대 단순 컴퓨터의 경우 백신프로그램을 깔면 바이러스 예방이 가능하나, 스마트공장의 경우 한 종류의 특화된 보안 솔루션을 도입하기 어렵다. 네트워크 구조가 복잡해 침투경로도 다양하다. 외부 인터넷 망과는 차단돼 있어 일반 통신망을 통한 제어시스템 침투는 불가능하나 USB메모리, CD롬, 외장하드 등 외부장치를 내부 전산망의 컴퓨터에 연결하면 악성코드가 침투할 가능성이 있다.

고려대 한근희 교수는 “기업 자체적으로 기업 네트워크와 스마트공장 네트워크를 분리해 정보유출을 방지하고, 방화벽을 설정해 스마트공장의 보안을 강화할 수 있다”며 이와함께 “이메일 보안, USB사용 차단 등 직원들의 노력도 필요하다”고 말했다.

한편 해외의 경우 스마트공장 별도의 보안시스템을 구축하는데 집중하고 있다. 독일은 보안정책이 없는 ‘인더스트리 4.0(Industrie 4.0)’ 대신 지난해부터 ‘플랫폼 인더스트리(Platform Industrie) 4.0’을 실시하고 있다. 데이터 소유권과 접근 및 분석 권한 등에 대한 명확한 법적 기준이 없던 기존의 정책 대신 IT 보안 안전성을 높이는 연구를 강화하는 쪽으로 수정한 것이다.

미국은 정보보호와 관련해 ISA(International Society of Automation)-99에서 산업 자동제어 시스템의 전자적 보호를 위한 구현 절차를 정의한 표준을 정하고, 기술보고서도 펴냈다. 이 보고서에는 산업용 자동화 시스템에 대한 제조·설계·관리 등의 내용을 담았다. 또 스마트 제조분야의 안전 및 보안을 위해 ‘산업 제어시스템 사이버 대응팀’(ICS-CERT:Industrial Control Systems Cyber Emergency Response Team)도 독자적으로 운영하고 있다.