본고에서는 스마트 공장 및 제조 분야의 안전성과 보안성을 기반으로,
산업제어시스템 보안과 관련한 최근 국제 표준화 동향을 살펴보고,
이를 토대로 한 사이버 보안 인증 흐름과 현장 적용 사례 및 실증 결과
그리고 시사점을 중점적으로 살펴본다.

과거에는 공장에서 사용하는 설비나 자동화 기기가 네트워크에 연결되어 운용되는 경우가 많지 않았다. 그러나 최근 도입되는 스마트 공장 및 제조 설비·기기들은 유선, 무선, 이동통신 등 다양한 통신 수단을 통해 대부분 네트워크에 접속하여 활용되는 추세이다.

이처럼 공장 설비를 제어하고 운영하는 기반 기술이 디지털화되면서, 정보통신기술(ICT, Information Communication Technology) 및 네트워크(인터넷)와 긴밀히 연동되기에 제조 공정과 산업 설비, 시설·자산 운영 전반이 사이버 공격이나 해킹에 노출될 가능성도 함께 증가하고 있다. 이러한 위협이 현실화될 경우 막대한 피해와 후유증을 초래할 수 있으므로, 스마트 공장 및 제조 분야에서의 안전과 보안은 선택이 아닌 필수적인 기반 조건이다.

인터넷을 기반으로 지능화되어 활용되는 기기들을 일반적으로 사물인터넷(IoT: Internet of Things) 기기라고 한다. 이러한 IoT 기기의 수는 산업 전반의 디지털 전환과 인공지능(AI) 활용 증가에 힘입어 지속적으로 폭발적인 성장세를 보이고 있다. 실제로 IoT Analytics의 2024년 여름 IoT 현황 보고서에 따르면, 2023년 말 기준 약 166억 개의 IoT 기기가 연결되어 있으며, 2030년에는 약 400억 개에 이를 것으로 전망된다.

한편, 스마트 공장 및 제조 환경에서 사용되는 산업용 사물인터넷(IIoT: Industrial Internet of Things) 기기들은 스마트 기능 구현을 위해 내부에 임베디드 소프트웨어를 탑재하고, 유무선 LAN, Wi-Fi, 이동통신 네트워크 등을 통해 인터넷에 연동되는 구조를 갖추고 있다. 이로 인해 기기의 편의성과 효율성은 크게 향상되었으나, 동시에 사이버 공격이나 해킹에 노출될 가능성도 점차 증가하고 있다.
또한 각종 제조 설비와 기기들이 산업용 사물인터넷(IIoT)과 결합하여 고도화됨에 따라, 공장의 사무 환경을 담당하는 IT(Information Technology) 영역과 산업 제어 설비를 포함하는 OT(Operational Tech-nology) 영역 전반에서의 안전성과 보안성 확보가 중요한 이슈로 부각되고 있다.

스마트 공장 또는 스마트 제조를 구현하려는 제조 기업의 프로세스에서는 원·부자재 발주, 에너지 수급, 생산 관리, 운영 관리, 물류 등 제조 전 과정에 걸쳐 보안 기술을 효과적으로 도입·적용하는 것이 중요하다. 이러한 보안 체계를 구축하는 데 있어 가장 바람직한 방안은 국제 표준 기술을 근간으로 하는 것이다.

국제 표준은 해당 분야에서 요구되는 핵심 요소 기술과 검증된 모범 사례를 바탕으로 체계적으로 개발되기 때문에, 이를 적용해 운용할 경우 보안성과 신뢰성을 국제적으로 인정받을 수 있다. 따라서 글로벌 환경에서의 상호 운용성과 안정성을 확보하기 위해서도 국제 표준 기반의 보안 적용이 필수적이다.

1. 제어 시스템 사이버 보안 위협 등장 배경

1) 인터넷 이전, 독립적으로 운영되던 제조 설비의 시대
제조업은 오랜 기간에 걸쳐 발전해 왔으나, 인터넷이 활성화되기 이전에는 대부분의 제조 설비가 공장 내부에 독립적으로 구축되어 외부 네트워크와 연결되지 않은 상태로 운영되었다.

① 제조 설비는 한 번 구축되면 장기간 사용되는 특성이 있어
•외부와 단절된 상태로 운영되는 경우가 많아 보안의 주요 대상로 인식되지 않았다.
•외부와 단절된 설비가 ICT 기술과 접목되면서 네트워크, 특히 인터넷에 연결되기 시작하였고, 그 결과 사이버 보안 위협에 노출되는 문제가 점차 증가하고 있다.

② 스마트 제조 환경은 그림 1과 같이 다양한 사이버 해킹 및 공격의 위협에 노출
•그림 1에서와 같이 Level 0의 센서와 액추에이터는 Level 1의 PLC와 연결되며, PLC의 메모리에 저장된 데이터는 Level 2와 Level 3의 HMI, 서버, IIoT 플랫폼으로 전송된다.
•Level 4에서는 인공지능과 빅데이터 분석 기술을 활용하여, 수집된 데이터를 외부 인터넷망을 통해 협력업체로부터 전달받은 데이터와 결합함으로써 생산성과 품질 향상에 활용한다.
•Level 1부터 Level 5에 이르는 산업제어시스템과 ICT 그리고 통신 경로 전반은 사이버 해킹 및 공격의 주요 공격 표면으로 작용하고 있다.

2) 스마트 제조 환경에서 보안 강화의 어려움과 도전
스마트 제조 환경으로 전환되면서 모바일·무선통신, 인공지능, 로봇 등 다양한 정보통신기술이 융합 및 활용되고 있다. 이에 따라 기업의 산업 기밀을 보호하고 산업 설비와 ICT 시스템 전반에 보안을 적용해야 할 필요성이 더욱 커지고 있으나, 책임자와 실무자 입장에서는 여러 가지 현실적인 어려움이 존재한다.
•보안 기술 및 관련 표준의 내용이 복잡하여 이해하기 어렵다.
•관리적·기술적·물리적 보안을 모두 적용해야 하는데, 통제 항목이 많고 설명이 전문적이어서 무엇을 어떻게 수행해야 할지 판단하기 쉽지 않다.
•관리적·기술적·물리적 보안 요구 사항이 실제 작업 현장이나 제조 환경과 다른 경우가 있다.
•국제 표준을 준용해야 한다고는 하나, 문서 내용이 포괄적으로 제시되어 있어 구체적인 적용 방법을 파악하기 어렵다.
•제조 보안을 현장에 적용하는 데 필요한 비용이 상당하여, 특히 중소기업의 경우 도입과 추진에 부담이 크다.

3) 빠르게 변화하는 비즈니스 환경에서 ICT와 산업제어시스템 보안의 중요성
오늘날과 같이 빠르게 변화하는 비즈니스 환경에서는 ICT와 산업제어시스템의 역할이 매우 중요하다. 그러나 공장이나 산업제어시스템이 셧다운되거나 랜섬웨어 공격 등으로 데이터가 손상되고 신속한 복구가 이루어지지 않을 경우, 막대한 경제적 피해가 발생할 뿐만 아니라 기업의 신뢰도와 명성에도 심각한 타격을 줄 수 있다.

4) 최고경영진(C-level) 및 임원의 사이버 보안에 대한 입장
•보안 전문 인력 확보가 어렵고, 고용 비용이 매우 높으며, 설사 채용해도 단기간 내 퇴직하는 경우가 많다.
•내부 인력을 대상으로 보안 전문성을 양성하려면, 교육 기간과 비용이 많이 소요된다.
•보안 시스템·솔루션을 구축하더라도 관리, 운영, 유지보수를 담당할 인력이 지속적으로 필요하며, 이에 따른 비용 부담도 계속된다.
•보안에 상당한 투자를 했음에도 불구하고 가시적인 효과가 명확하지 않은 경우가 많다.
•보안 향상을 위해 구체적인 계획서 없이 단순히 투자가 필요하다고만 주장하는 경향이 있다.
•투자 대비 운용 결과 보고가 제대로 이루어지지 않거나, 발생한 문제를 외부 요인 탓으로 돌리는 경우가 있다.
•많은 투자를 했음에도 불구하고 보안 사고가 발생하는 사례가 여전히 존재한다.
 5) 제어시스템 분야 보안 사고 (2000년대부터 최근까지)
•2000년, 호주 오폐수처리시스템 무선 해킹 공격으로 3개월 동안 46차례 오폐수가 방출되었다.
•2003년, 미국 Davis-Besse 원자력발전소 Slammer Worm에 감염되었다.
•2003년, 미국 동부 한 철도회사의 신호 제어기가 컴퓨터 바이러스에 감염되어 운전이 정지되었다.
•2005년, 브라질 여러 도시에서 해킹으로 대규모 정전이 발생하였다.
•2009년, 미국 전력 핵심 기반 시설 중·러 해킹으로 악성코드가 감염되었다.
•2010년, 이란 부셰르 원자력발전소의 원심분리기가 Stuxnet 악성코드에 감염되어 운전이 정지되었다.
•2011년, 원전 제어시스템 제조사 Areva 해킹 공격을 받았다.
•2011년, 미국 일리노이의 수처리 제어시스템이 유지보수용으로 공개된 서비스를 통해 해킹되어 Water Pump 제어에 영향을 받았다.
•2012년, 사우디아라비아 에너지 기업 아람코의 전산망이 악성코드에  감염되어 운영이 중단되었다.
•2012년, 미국의 한 전력회사에서 전력시설 터빈 제어시스템이 악성코드에  감염되어 약 3주간 운전이 중단되었다.
•2014년, 일본 후쿠이현 몬주 원자력발전소에서 내부 관리자 컴퓨터가 악성코드에 감염되어 개인정보를 포함한 4만 2천여 건의 문서가 유출되었다.
•2014년, 독일의 한 철강회사에서 용광로 제어시스템 장애가 발생하였다.
•2015년 12월, 우크라이나 전력망이 ‘Black Energy 3’ 악성코드에 감염되어 네트워크가 마비되었다.
•2016년, 우크라이나 발전소 내부 컴퓨터가 사이버 공격을 받아 시스템이 정지되고, 대규모 정전이 발생하였다.
•2016년, 독일 원자력발전소가 바이러스 및 악성 소프트웨어 공격을 받았다.
•2017년, 사우디아라비아 석유화학 시설이 워너크라이(WannaCry), 페티야(Petya) 등 랜섬웨어 공격을 받았다.
•2020년 12월, SolarWinds 해킹 건은 러시아와 연계된 해킹 그룹에 의해 발생한 것으로 알려졌다.
•2021년 5월 7일, 미국 동부 지역 연료 공급의 약 45%를 담당하는 송유관 업체 콜로니얼 파이프라인이 랜섬웨어 공격으로 마비되었으며, 복구를 위해 500만 달러(한화 약 57억 원)를 지불했으나 완전 복구에는 상당한 시간이 소요되었다.
•2022년 7월, 남아프리카공화국 항만 회사 Transnet의 내부 시스템이 Death Kitty 랜섬웨어에 감염되어 항구 터미널이 약 6일간 마비되었으며, 중단 기간 동안 직원들은 종이와 펜을 사용해 수작업으로 업무를 처리하였다.
•2023년 11월, 호주 주요 항만 운영 업체 DP World가 3rd Party 솔루션 취약점을 이용한 공격을 받아 Sydney, Melbourne, Brisbane, Fremantle 항만 시설이 마비되었다.
•2025년, 칠레 전역에서 전자·소프트웨어 보호 계통의 오류로 500 kV 송전선이 차단되어 전국의 약 90%가 정전되었으며, 지하철, 공항, 병원 등 주요 시설 운영이 중단되었다.
•2025년 4월, 노르웨이 스벨겐 인근 라이세바트넷(Risevatnet) 댐이 러시아 해커의 공격을 받아 4시간 동안 장악되고, 수문이 열려 초당 500L의 물이 방류되는 사고가 발생하였다.

6) 스마트 공장 및 제조 현장에서 발생 가능한 공격 유형
① 제어시스템 데이터 유출 : 공격자는 제어시스템에 접근하여 취약점 스캐너를 설치하고, 시스템 정보와 네트워크 패킷을 수집한 뒤 휴대용 저장매체나 유지보수용 노트북을 통해 외부로 유출할 수 있다.
② 제어시스템 구성·설정 위·변조 : 제어를 위해 작성된 구성 정보를 전달할 때, FTP나 RCP 등 취약 서비스가 사용될 경우 공격자가 인증 우회 등의 방법으로 구성 정보를 변경할 수 있다.
또한 제어시스템과 현장 계기 간 구성 불일치로 오작동이 발생할 수 있다.
③ 제어기기-현장 계기 통신 취약점 공격 : 공격자는 네트워크에 침투해 중간에서 패킷을 수집하고 분석하여 프로토콜 구조를 파악한 후, 제어 명령을 변조하여 PLC로 전송함으로써 설비 이상을 유발할 수 있다.
④ 현장 계기 상태정보 위·변조 : 현장 계기의 상태정보는 분산제어 설비에서 주기적으로 스캔하여 HMI에 표시된다. 공격자는 전송되는 패킷을 분석·변조하여 HMI에 잘못된 정보를 표시하게 함으로써, 열·발전 설비 등 정상 운영에 차질을 초래할 수 있다.
⑤ 제어기기 서비스 거부(DoS) 공격 : 연속 운전되는 설비 특성상 펌웨어를 즉시 업그레이드하기 어렵다. 공격자는 제어 기기의 서비스 포트 취약점을 이용해 서비스 중단 또는 재시작을 유발할 수 있다.
⑥ 운영체제 취약점 공격 : 연속 가동 중인 설비는 운영체제나 서비스 보안 패치를 적용하기 어렵다. 공격자는 취약점 스캐너를 통해 보완되지 않은 취약점을 찾아 제어시스템을 공격하고, 시스템 피해를 유발할 수 있다.
⑦ 스피어 피싱 공격 : 공격자는 내부 직원을 대상으로 지인 행세를 하며, 이메일을 통해 악성코드를 전파할 수 있다.
⑧ 악성 코드에 감염된 휴대용 저장매체 사용 : 휴대용 저장매체나 유지보수용 노트북을 통해 악성 코드가 설비에 유입될 가능성이 높다.

<참고문헌>

1. IEC 62443 산업 네트워크 및 시스템 보안 series  https://webstore.iec.ch/en/publication/67461 참조
2. NIST FIPS, SP, IR 등 표준 문서 https://csrc.nist.gov/publications
3. NIST SP 800-82 OT 보안 가이드 EU CRA Requirements Standards Mapping, ENISA, 2024.4.4.      https://www.enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping
4. ICS-CERT https://ics-cert.us-cert.gov/
5. IACS UR E26 Rev.1 Cyber resilience of ships, 2023.Nov.
6. IACS UR E27 Rev.1 Cyber resilience of on-board systems and  equipment, 2023.Nov.
7. AI 자율제조 기술동향 - KEIT 이슈리뷰 2024-6월호  Critical AI Security Guidelines v1.2 (SANS_Draft), 2025.July.1

khhan@coresec.co.kr