성장을 위한 보호: 제조업체가 증가하는 사이버보안 위협에 대응하는 방법
중요한 이유: 산업 시스템에 대한 사이버 공격이 더욱 정교해지고 빈번해짐에 따라 리더는 자산을 보호하고 가동 시간을 유지하며 전력 산업에서 안전한 디지털 전환을 실현하기 위한 체계적인 접근 방식이 필요합니다.
고조되는 사이버보안 위협 환경
제조업체, 유틸리티 및 중요 인프라 운영업체는 증가하고 더욱 정교해지는 사이버보안 위협에 직면하고 있습니다. 범용화된 멀웨어와 첨단 기술이 위협 행위자에게 새로운 공격 역량을 제공하면서 공격은 끊임없이 진화하고 있습니다.
사이버 공격의 주된 동기는 여전히 금전적 이익이지만, 국가 차원의 위협 행위자의 개입이 늘고 있으며 산업 제어 분야를 겨냥한 공격도 증가하고 있습니다.
효과적인 사이버보안의 핵심 요소
사이버보안 팀은 다음을 포함한 다계층 방어 전략을 구축해야 합니다.
- 최신 위협 동향 파악
- 실시간 자산 인벤토리 관리
- 위협 탐지 역량 강화
- 장비 및 장치에 최신 방어 조치 적용
- 시스템 패치 및 업데이트
- 사고 대응 역량 강화
정책 및 절차, 인력 역량 향상, 정기 교육 역시 위험 기반 접근 방식의 일환으로 중요 시스템을 보호하기 위해 마련해야 하는 사이버보안의 핵심 요소입니다.
산업용 사물 인터넷(IIoT)의 잠재력을 활용하고자 하는 제조업체에게 사이버보안은 주요 관심사입니다. 효과적인 사이버 보안의 필요성은 잘 알려져 있지만 업계 내에서 이 주제에 대한 이해도가 높지 않습니다. IIoT 기술을 설계 및 구현하려면 신기술과 사이버 보안 전문 지식이 필요합니다. 새로운 솔루션을 안전하게 구현하고 유지관리하지 않으면 새로운 위협 벡터가 생길 수 있습니다.
취약점 식별
제조업에서는 자본 지출 비용이 높은 엔지니어링 솔루션 때문에 시스템 업데이트를 꺼리게 되고 변화 속도도 느려집니다. 패치가 적용되지 않았거나 심층 방어 방식으로 충분히 보호되지 않은 구형 시스템이 가장 취약합니다.
사용자는 식별된 위협과 공격에 대응하기 위해 취할 조치의 우선순위를 정하고 해당 조치의 로드맵을 수립해야 합니다. 여기에는 조직 내 모든 인력, 프로세스 및 기술에 대해 각각의 수명 주기 동안 사고 대응 및 백업/복구 계획을 구현하고 정기적으로 테스트하는 것이 포함됩니다. 사용자 계정 관리와 같은 기본적인 업무에서도 각 사용자가 처음 권한을 부여받는 시점부터 조직을 떠나는 시점까지 전체 수명 주기를 관리해야 합니다.
IT-OT 격차 해소를 통한 위험 감소
조직의 디지털 전환을 지원하는 새로운 시스템과 서비스를 구현하려면 IT와 OT 이해관계자 간 협업의 필요성이 점점 커지고 있습니다. 사이버보안 전략을 개발할 때 IT와 OT 이해관계자는 높은 수준의 보안을 유지하면서 서로의 강점과 비즈니스 목표를 이해해야 합니다.
각 전문 분야는 서로 다른 가치를 제공합니다. IT는 고도로 표준화된 프로세스를 사용하는 반면, OT는 보다 엔지니어링 중심의 솔루션을 사용합니다. 두 이해 관계자의 목표를 검토하고 요구사항을 수립하여 운영에서 발생 가능한 격차 및 위험을 방지해야 합니다. 자동화 공급업체는 시스템 보안을 강화하고 최종 사용자가 사이버보안 평가의 우선순위를 정하도록 지원하는 보안 통제, 절차 및 서비스의 계층형 포트폴리오를 제공함으로써 안전한 시스템 구축의 성공 가능성을 높일 수 있습니다.
설계에 사이버보안 통합
조직은 제어 시스템 프로젝트의 프런트엔드 엔지니어링 및 설계 단계부터 사이버보안을 고려해야 합니다. 사이버보안 방어 체계는 나중에 추가되는 경우가 너무 많지만, 이렇게 하면 비용이 더 많이 들고 프로젝트에 처음부터 사이버보안을 통합하는 것만큼 효과적인 경우도 드뭅니다. 이를 '시프트 레프트' 개념이라고 합니다. 적절한 사이버 위험 분석과 결합된 보안 중심 설계에는 증가하는 사이버 위협 환경에 효과적으로 대응할 수 있도록 보안 기능과 통제를 검토하는 과정이 포함되어야 합니다.
평가 결과는 지금까지 시행된 사이버 이니셔티브의 진척 상황과 추가 사이버 보안 조치를 도입했을 때 기대할 수 있는 보호 수준을 나타내는 위험 감소 지표로 활용할 수 있습니다. 사이버보안 역량 투자의 타당성을 입증하는 좋은 방법 중 하나는 ‘시프트 레프트’ 개념을 적용하는 것입니다. 선제적 보안에 지출하는 1유로는 사후 대응 보안에 지출하는 60유로 이상에 해당한다는 개념입니다.
실제로 공격이 발생할 경우 이를 극복하는 올바른 방법은 체계적으로 문서화되고 충분히 연습된 사고 대응 계획을 마련하는 것입니다. 요컨대 사이버보안 기능과 통제, 면밀하게 수립된 계획 없이는 사이버 공격에 효과적으로 대응하기 어렵습니다.
사이버보안 문화 구축
사이버보안이 조직 문화의 일부가 아니면 직원의 의도하지 않은 행동으로 취약점이 발생해 상당한 사이버 위험을 초래할 수 있습니다. 침투성 사이버보안 문화는 외부 및 내부 위협으로부터의 위험을 줄입니다. 새로운 기술과 관련 사이버보안에 대한 직원 역량 향상은 사이버보안 문화를 조성하는 데 도움이 됩니다.
직원의 기술 및 사이버보안 역량을 높일 수 있는 교육 기회를 마련하는 것이 중요합니다. 역량 향상에는 시간이 걸릴 수 있지만, 직원들이 사이버보안에 대한 책임을 의식적으로 받아들이도록 교육하는 것은 좋은 첫걸음입니다. 사이버보안이 더 이상 ‘다른 사람의 책임’이 아니게 되면 직원들은 자연스럽게 더 많은 질문을 하고, 의도하지 않은 결과를 방지하기 위해 전문 지식을 갖춘 사람들과 협력하게 됩니다.
사이버보안에는 기술 이상의 것이 필요합니다. 의미 있는 행동 변화를 이끌어 내려면 조직 전체가 사이버보안의 ‘왜’와 ‘어떻게’를 깊이 이해하는 것이 중요합니다. 따라서 사람, 공정 및 기술을 포함한 사이버 보안 문화를 구축하는 것이 중요합니다. 사이버보안이 사람들의 업무 방식에 내재화되면 의사 결정이 개선되고 의도하지 않은 취약점이 줄어듭니다.
