[아이티데일리] 사이버 물리 시스템(Cyber-Physical System, 이하 CPS)의 초연결 지능형 메시가 모든 사물과 사람을 상호 연결하는 세상이 오고 있다.

CPS는 인간을 포함한 물리적 세계와의 상호 작용을 위해 감지, 계산, 제어, 네트워킹 및 분석 등을 지휘하도록 설계됐다. 사이버 영역과 물리적 영역에서 보안의 중요성이 강조되고 있으며 보안은 커넥티드 OT, IoT, 산업용 IoT, 스마트 빌딩, 스마트 시티, 드론 등과 같은 모든 기술과 관련돼 있다.

대부분의 기업들은 여러 이유로 운영 기술(Operational Technology, 이하 OT)을 엔터프라이즈 네트워크에 연결하고 새롭게 연결된 자산을 배포해 CPS를 생성하는 데 관심을 보이고 있다. 그러나 기업들은 안타깝게도 ‘안전한 시장 출시’보다 최초의 시장 출시를 더 중요시 하는 경향을 보이고 있다.

결과적으로 기업들의 디지털 혁신은 취약성이 나타나면서 더 큰 위험을 초래하며 보안 및 위험 관리(Security and Risk Management, 이하 SRM) 리더들은 이를 처리하기 위해 고군분투하고 있다.

분석

사물인터넷이 ‘위험한 사물인터넷(Internet of Dangerous Things)’으로 변질되거나 OT-IT 융합이 OT-IT 붕괴(Meltdown)로 이어지는 것을 막으려면, SRM 팀은 연결된 자산의 사이버-물리 보안 고려 사항들에 집중해야 한다. IT 및 데이터와 관련된 문제에만 집중해 문제의 절반만 해결하는 경우가 많은데, 실용적인 사이버-물리 보안 리스크 마인드셋을 채택하고 CPS의 위협과 취약성을 이해하는 데 집중하는 것이 매우 중요하다.

커넥티드 시스템의 사이버-물리 특성 인식

CPS는 사이버 및 디지털 접근 방식을 물리적 세계에 통합함으로써, 개별 프로세스부터 전체 에코시스템까지 최적의 결과를 얻기 위해 상호 연결된 일련의 노력들을 뒷받침한다<그림 1>. 데이터에 중점을 두는 엔터프라이즈 IT 시스템과 달리, CPS는 일을 ‘수행’하며, 사물을 감지하고 현실 세계에서 이를 생성 또는 변경한다.

결과적으로 CPS는 도달 범위와 복잡성으로 인해 디지털 세계와 물리적 세계 양쪽의 공격 표면을 증가시킨다. 그러나 물리적 세계와의 연결을 통해 배운 점들은 모든 시스템에 대해 더 나은 방어 전략을 제시하는 데 도움이 될 것이다.

스턱스넷(StuxNet), 낫페트야(NotPetya), 미라이(Mirai) 등의 공격을 받으면서, 사이버 세계와 물리적 세계의 상호 의존성은 수년간 인지돼왔다. 그러나 2021년 발생한 각종 대규모 랜섬웨어 공격은 그 어느 때보다 사람들이 의존성을 실감하는 계기가 됐다. 일례로 미국 앨라배마 주 스프링힐 병원은 임상 장비 미작동으로 인한 사망으로 소송을 당하고 있다. 이는 랜섬웨어에 직접적으로 기인한 첫 사망 사건일 가능성이 있다.

또한 2년 전 미국을 떠들썩하게 했던 랜섬웨어로 인해 콜로니얼 파이프라인(Colonial Pipeline)은 며칠 간 모든 연료 처리를 중단한 바 있다. 미국에서 가장 큰 육류 포장업체의 공장이 랜섬웨어 공격으로 가동이 중단되었고 남아프리카공화국에서도 주요 식품 수출 시즌에 운영이 중단되기도 했다.

랜섬웨어는 더 이상 IT에 국한된 보안 문제가 아니다. 조직의 물리적 운영이 중단되면 수익에 타격을 줄 뿐만 아니라 안전 또한 위협할 수 있기에 랜섬 비용을 지불할 가능성이 커진다. 모든 조직은 CPS 환경이 더 많은 공격의 대상이 될 수 있다고 생각해야 한다.

버티컬 산업 요구사항에 따른 비즈니스 이니셔티브와 CPS의 긴밀한 결합

CPS는 안전, 가용성, 보안, 신뢰성, 복원력 및 적응성을 우선시하는 미션 크리티컬 환경에서 운영되는 경향이 있다. 산업별 사이버 물리 시스템 용례는 다음과 같다.

● 제조업: 스마트 제조 시스템, 산업용 IoT 또는 인더스트리 4.0 이니셔티브 추진 등의 형태로 실현될 수 있다. CPS 솔루션은 조달, 생산, 물류, 서비스 및 제품 배송 프로세스를 실시간으로 연결해 인건비 및 에너지 비용 상승, 환경 오염, 급변하는 시장 상황에 대응하도록 지원한다.
● 의료: 커넥티드 의료 기기 및 개인 맞춤형 의료를 제공할 수 있다. CPS는 모니터링 또는 전달 장치로 작동해 개인화된 치료를 제공함으로써 치료 효과 개선 및 안전과 프라이버시 보장 결과를 가져올 수 있다.
● 자동차: 커넥티드 및 자율주행 차량. 약 600만 건의 연간 추돌 사고 중 93%가 사람의 실수로 인해 발생하며, 전투 지역 사상자의 52%는 식량, 연료 등의 물류를 배달하는 군인과 관련된다. CPS는 글로벌 운송 네트워크의 효율성과 안전성을 개선할 것이다.
● 인프라: 스마트 빌딩, 스마트 기지, 스마트 캠퍼스, 스마트 시티 등. CPS 솔루션은 보안, 화재 방지, 에너지 소비 추적을 통합하거나 가로등에 Wi-Fi를 활성화하는 등 사람들의 일상생활을 변화시킬 수 있다.

벤더 마케팅 관점에서 이러한 용례들은 일반적인 ‘OT 보안’ 또는 ‘IoT 보안’ 범주로 분류될 수 있다. 그러나 SRM 리더는 보안 및 리스크 전문가의 관점에서 스마트 빌딩, 커넥티드 의료 기기 등을 완전히 다르게 취급해야 하며, 각각의 특정한 환경과 자산에 대한 보안 접근 방식을 취해야 한다.

이것이 특히 중요한 이유는 위험, 취약성, 제어, 업계 프로토콜 및 거버넌스 접근 방식은 시나리오에 따라 매우 다양하기 때문이다. 또한 CPS의 발전은 비즈니스 요구에 의해, 비즈니스 부서의 주도로 이뤄졌다. 생산 시스템에 대한 가시성 제고, 비용 절감, 유지보수 주기 연장, 재고 관리 또는 루틴 및 위험 작업 자동화 등 그 목적과 관계없이 조직에서 CPS의 성장을 주도하는 것은 보안보다는 비즈니스다.

보안 접근 방식을 서비스 대상 산업의 비즈니스 전략, 모델 및 성과에 맞추면 문제를 줄이고 성과를 달성하는 데 도움이 될 것이며 내부 보안 논의를 ‘전문가들만의 이야기’에서 비즈니스에 미치는 영향에 대한 논의로 전환하는 데도 용이할 것이다.

전통적인 IT 역할과 거버넌스에 새로운 도전과제를 제시하는 CPS 보안

CPS 환경이 계속 진화함에 따라 최고 정보 책임자(CIO), 최고 정보 보안 책임자(CISO), 최고 위험 책임자(CRO)의 역할에 대한 이사회와 주주의 감시가 강화될 것이며 주요 역할에 대해 다음과 같은 질문을 계속해서 받게 될 것이다.

● CISO가 CPS와 관련해 ‘정보’에만 집중하는 것은 지나치게 제한적인가? 가트너는 오랜 기간 기밀성, 무결성, 가용성이라는 보안 3요소에 안전, 신뢰성, 프라이버시를 추가할 것을 권장해 왔다. CPS의 물리적 측면은 앞으로 안전, 신뢰성 및 프라이버시를 더욱 중요하게 만들 것이다. 또한 CPS 보안은 네트워크나 데이터 중심적인 노력 외에도 자산 및 에코시스템 중심적인 보안을 고려해야 한다.
● CISO가 주로 보고하는 CIO 조직은 공장의 비즈니스 운영 프로세스 또는 미션 크리티컬 가동 시간에 집중할 준비가 돼 있는가?
● CRO는 점점 더 불확실한 세상에서 거시적 경쟁, 사회적 또는 공급망 위험에 집중하는 동시에 미시적 수준의 CPS에 적절히 집중할 수 있는가?
● 엔지니어링이 산업 제어 시스템(Industrial Control System)과 감독 제어 및 데이터 수집(Supervisory Control and Data Acquisition)을 소유하고, 시설 관리자가 물리적 보안을 책임지고, 규정 준수는 법률 고문에게 보고되고, 이사회가 기업 수준의 위험 관리를 소유하기 위해 점점 더 많은 감시를 받는 상황에서 위험, 안전 및 보안에 대한 실질적인 권한은 누가 갖는가? 최고 운영 책임자(COO) 또는 이사회에 직접 보고하는 전체 최고 보안 책임자(CSO)가 있어야 하는가?

SRM 리더는 다음과 같은 거버넌스 문제 또한 처리해야 한다.

● CPS 보안이 고비용 센터가 아니라 비즈니스의 부가가치로 인식되도록 하는 문화적 과제
● 중요 인프라 관련 부문에서 빠르게 증가하는 프레임워크, 규정, 법률에 대한 진화하는 패치워크
● 계획, 커뮤니케이션과 이해관계자, 변화, 거버넌스, 기술 및 인재 관리 등 복잡한 비즈니스 환경에서 전략을 실행으로 옮기는 데 따르는 어려움
● 빠르게 변화하는 기술 및 공급업체 환경

CPS 고유의 기술적 복잡성

CPS는 아키텍처에 내재된 복잡성과 운영 환경의 안전 또는 미션 크리티컬로 인해 다음과 같은 고유한 기술적 과제를 안고 있다.

● 물리적 세계에서의 결과를 위해 매우 복잡한 시스템 및 상호 작용을 조율해야 한다
● 물리적 영역과 사이버 영역이 확장될 때 그 규모를 고려해야 한다.
● ‘하나를 바꾸면 모든 것이 바뀐다’는 원칙에 따라 문제가 생기지 않도록 복잡하게 얽힌 것을 처리하고 상호 의존성을 관리해야 한다.
● 프로토콜, 프로세스, 독점 시스템 및 새로운 개방형 표준이 많은 환경에서 상호운용성 문제를 처리해야 한다.
● 최적의 안전한 운영을 제공하기 위해 인간 중심 설계를 통합해야 한다.
● 대역폭을 최적화하는 동시에 지연 시간을 최소화해 중단 없는 통신 흐름을 보장해야 한다.
● 이동성 및 에너지 소비 요인으로 인한 컴퓨팅‧스토리지 제한을 관리하고 클라우드-에지 컴퓨팅의 역할 증가를 평가해야 한다.
● 소프트웨어 비용과 복잡성에 소요되는 리소스 비중이 증가하는 것에 대응해야 한다. 이는 알고리즘, 머신러닝 및 모델 기반 분석에 대한 많은 노력을 요한다.

CPS 보안은 안전성, 신뢰성, 복원력, 적응성, 개인 정보 보호에 초점을 맞춰야 하므로 SRM 리더는 다음 사항에도 신경을 써야 한다.

● 제어, 액츄에이터(Actuator) 또는 센서의 보안
● 네트워크 세분화, 격리 또는 마스킹 복잡성
● 배포된 디바이스에서 보안을 실행하기 위한 크기 및 제한된 컴퓨팅 성능
● 리소스 제약이 있는 디바이스에서의 ID 관리 및 인증
● 수십년 전 설치된 시스템의 보호와 통합보다는 새롭게 등장하는 시스템에 맞춘 설계 보안
● 통신 및 원격 분석 데이터 보안
● 규제가 엄격한 산업의 규제 및 규정 준수
● 변조 방지 기능과 같은 공급망 보안, 차단하거나 쉽게 업데이트할 수 없는 하드와이어 백도어 (Hard-Wired Back Doors)가 있는 구성 요소의 확산 관리 노력
● 드론에 장착된 신호 방해기, GPS 재밍(Jamming) 및 스푸핑(Spoofing), 자율 주행 차량용 객체 스푸핑과 같은 새로운 공격 벡터의 지속적인 발전

3단계 로드맵

1단계: 모든 CPS를 살핀다

사이버 세계와 물리적 세계의 기술 주도적 융합은 아직 비즈니스 의식에 포함되지 않은 새로운 현상이다. 그 결과, 많은 기업들이 이미 존재하는 CPS의 융합, 통합, 상호 의존성이 어느 정도인지 제대로 파악하지 못하고 있다.

이것이 바로 첫 번째 단계에서 비즈니스에서 ‘소유한’ 모든 CPS를 포함해 환경 내에 연결된 모든 자산을 발견하는 것이 필수적인 이유다. ‘측정할 수 없다면 관리할 수도 없다’는 말이 유효한 것이다.
가트너는 여러 조사를 통해 시중에 비(非) IT 시스템용으로 나와 있는 자산 검색 및 인벤토리 솔루션을 배포하는 것이 얼마나 가치 있는지 확인할 수 있었다. 이를 통해 제조업체, 모델, OS, IP 주소, MAC(Media Access Control) 주소, 프로토콜, 패치 수준 정보, 펌웨어 버전, 물리적 및 논리적 자산 위치 등 중요한 정보를 캡처하고 매핑할 수 있다. 이러한 정보로 무장한 후에는 CPS의 현재 보안 상태를 평가할 수 있고, 어떠한 기존 IT 보안 사례가 CPS로 확장될 수 있는지 확인할 수 있으며, 갭 분석을 통해 어떤 하이브리드 IT-CPS 보안 접근 방식이 필요한지 알아볼 수 있는 것은 물론, CPS 관련 위험과 그에 따라 새로 필요한 보안 접근 방식을 문서화할 수 있다.

2단계: 비즈니스 가치와 산업별 요구사항에 맞춰 CPS 리스크 전략 수립

모든 CPS 위험 관리 및 보안 전략은 비즈니스 가치와 산업의 요구라는 두 가지 축에 기반을 두어야 한다. CPS는 단순히 데이터 생산 시스템이 아니라 자산이다. 따라서 CPS의 보안 및 위험은 기업의 운영 혹은 미션 크리티컬한 성과와 분리될 수 없다.

첫 번째 축인 비즈니스 가치는 다음 항목들에 도움이 된다.

● CPS를 비활성화하려는 공격의 영향을 정량화한다.
● 보안 노력의 우선순위를 정하기 위해 CPS 유형과 위치를 기반으로 위험을 모델링하고 정량화한다.
● 난해한 보안 기술 용어 대신 이사회 및 경영진이 이해할 수 있는 언어로 소통한다. CPS 보안과 관련해 비즈니스 용어를 사용하면 그 논의가 가치 보호로 전환될 것이다.

두 번째 축인 버티컬 산업은 다음 항목에 도움을 준다.

● 섹터별로 적용되는 규제 환경을 이해한다.
● 역시나 일반적으로 섹터 기반인 프레임워크 또는 표준에 맞춰 조정한다. 미국 국립 표준 기술 연구소(the National Institute of Standards and Technology, NIST)의 사이버 보안 프레임워크를 위해 개발된 제조업, 해상 대량 액체 운송업, 의료업 등 다양한 산업 프로필을 포함한다.
● 인텔리전스 및 모범 사례 공유를 위해 섹터별로 정보 공유 및 분석 센터와 협력한다
● 고유한 프로토콜과 규칙으로 산업 지식을 입증한 CPS 보안 공급업체를 선택한다. 일부 기업들은 특정 산업 분야에 서비스를 제공하기 위해 파트너십을 맺기도 한다.

3단계: CPS 위험 과제를 신중히 선택한 후 반복

운영 및 미션 크리티컬 환경의 보안 변화에는 주의가 필요하며 기술적, 문화적 변화를 모두 신중하게 고려해야 한다. SRM 리더는 대규모 변화를 즉시 시행하는 대신, 한 번에 하나씩 집중할 가시적인 거버넌스 과제와 실용적인 기술 과제를 선정한 후 반복해야 한다.

거버넌스 과제에는 다음이 포함될 수 있다.

● 비즈니스 및 기술 이해관계자와의 협력을 통해 CPS 보안 비전 및 전략 개발
● CPS의 교유한 패치 문제를 고려해 취약성 관리 정책 업데이트
● 위협 인텔리전스에 대한 IT-CPS 하이브리드 접근 방식 개발
● CPS OEM을 위한 원격 액세스 정책 개발
● SRM팀에 CPS 보안 기술 포함
● 경영진 및 규정 준수 지표‧보고서 개발
● 조달 팀과 협력해 공급망 위험 관리 강화
● CPS 보안에 대한 인력 교육

기술 과제에는 다음이 포함될 수 있다.

● 운영 환경의 모든 방화벽 상태를 재검토해 방화벽 구성 확인
● IT 보안 도구에 반영할 수 있는 운영 환경을 위한 이상 징후 탐지 및 알림 솔루션 배포
● 권한 있는 액세스 관리 작업 업데이트
● 인시던트 관리 플레이북 개발 및 테스트
● 다단계 인증을 지원할 수 있는 CPS 검색 및 지원하지 않는 CPS 격리
● 높은 가치의 CPS에 대해 물리적, 논리적 액세스 검토

3단계 초기 로드맵을 따르며 SRM 리더는 단순히 데이터 보안을 넘어 CPS 보안 노력을 수용하게 될 것이다. 이는 모든 것이 연결되는 세상에서 새로운 위험에 압도되지 않도록 하는데 도움이 될 것이며, 디지털 비즈니스 혁신 과제에도 한발 앞서 대응할 수 있도록 할 것이다.