산업용 사물인터넷 보안: 전략, 표준, 신뢰 체인

우리 모두 사물인터넷(IoT)과 산업용 사물인터넷(IIoT)에 대해 들어봤습니다. IoT가 주로 소비자 애플리케이션을 지원하는 반면, IIoT는 운영 기술(OT)을 엔터프라이즈 시스템, 비즈니스 프로세스, 고급 분석과 연결해 산업 운영을 주도합니다.

산업 인터넷 컨소시엄(IIC)에 따르면, IIoT 생태계는 산업 제어 시스템(ICS)을 엔터프라이즈 데이터 흐름과 융합합니다. 기존 OT와 달리 IIoT 기기는 서로 및 클라우드 서비스와 고도로 상호연결되어 있으며, 여전히 센서와 액추에이터를 통해 물리적 세계와 직접 상호작용합니다. 이 이중 특성은 기능을 확장하지만 공격 표면도 넓혀 중요 인프라에 대한 사이버 위협을 시급한 문제로 만듭니다.

이러한 위험을 완화하기 위해 미국 에너지부(DOE)는 Intel과 협력해 전력 시스템 엣지 보안을 강화하는 프로그램을 진행 중입니다. 이 이니셔티브는 레거시(브라운필드) 장비용 보안 게이트웨이와 신규(그린필드) 기기용 현장 프로그래머블 게이트 어레이(FPGA) 업그레이드 구축에 초점을 맞추며, 모두 중단 없는 에너지 공급을 유지하면서 수행됩니다.

Intel의 Sven Schrecker, IoT 보안 솔루션 수석 아키텍트이자 IIC 보안 워킹그룹 공동 의장은 보안이 전체 설계 과정에 짜여져야 한다고 강조합니다. 그는 IIoT 개발을 위한 다섯 가지 핵심 원칙을 제시합니다:

• 안전성
• 신뢰성
• 보안
• 프라이버시
• 회복탄력성

설계 엔지니어는 종종 보안 칩, 소프트웨어, 플랫폼 구현에 집중하지만 기업 보안 정책과의 정렬도 필요합니다. Schrecker는 "보안 정책은 IT와 OT 팀이 공동으로 작성해 어떤 기기가 통신 권한을 가지는지 모두 알 수 있어야 한다"고 말합니다.

신뢰 체인 구축

일반적인 권장사항은 처음부터 견고한 보안 정책과 신뢰 체인을 수립하는 것입니다. 이 체인은 설계, 개발, 생산, 기기 전체 수명 주기를 거쳐 지속되어야 하며, 하드웨어, 네트워크, 공급망에 신뢰를 내재화해야 합니다.

IoT Security Foundation 이사이자 Secure Thingz CEO인 Haydn Povey는 보안 책임이 네 가지 조직 계층에 걸쳐 있다고 주장합니다:

• CxO 레벨
• 보안 아키텍트
• 개발 엔지니어
• 운영 관리자

개발 엔지니어는 기업 정책을 제품 식별, 보안 업데이트 메커니즘, 칩 레벨 보호장치 같은 구체적 보안 제어로 변환해야 합니다. 반면 운영 관리자는 IIoT 구성요소를 제조하는 OEM을 감독하며, 각 전자 부품이 공급망 전반에서 고유하고 검증 가능한 신원을 가지도록 보장합니다.

MITRE의 선임 수석 엔지니어이자 IIC 운영위원회 위원인 Robert Martin은 연결된 산업 시스템의 파편화된 본질을 강조합니다. 그는 마이크로프로세서의 사소한 변경조차 의도치 않게 소프트웨어 동작을 변경할 수 있으며, 명확한 책임 소재가 없으면 실패가 방치될 수 있다고 경고합니다. "건축 업계에서는 안전에 영향을 주는 변경이 규제되고 인증됩니다."라고 그는 말합니다. "소프트웨어 기반 기술에는 비교 가능한 프레임워크가 없습니다."

>> 이 기사의 2페이지는 자매 사이트 EE Times "Designer's guide to IIoT security"에서 계속됩니다.