중요 인프라 사이버 위협 대응 시급: 새 보고서, 산업 IoT 위험 강조

로이드 레지스터 재단(Lloyd's Register Foundation)이 새로운 보고서 "산업 사물인터넷을 위한 운영 사이버 보안: 과제와 기회"를 발표했습니다. 이 연구는 블루보이언트(BlueVoyant)의 국제 담당 의장 로버트 해니건(Robert Hannigan)과 옥스퍼드 대학교 사이버 보안 교수 새디 크리즈(Sadie Creese)가 저술했으며, 사물인터넷의 급속한 확장이 중요 인프라를 증가하는 사이버 공격 위협에 노출시키고 있다고 경고합니다.

산업 IoT(IIoT)는 에너지, 운송, 건축 환경, 물리적 인프라, 제조 부문의 중추에 점점 더 내장되고 있습니다. 이들 환경에서 안전은 최우선이므로, 안전하고 탄력적인 시스템을 구축하는 방법을 이해하는 것이 필수적입니다.

보고서는 현재 운영 사이버 보안 역량을 앞지르는 주요 신흥 위험을 식별합니다. IIoT 커뮤니티에 사이버 공격에 대한 탄력성을 강화하는 지침 원칙 채택을 촉구하며, 특히 실패 비용이 시스템적이 될 수 있음에 주목합니다.

운영 관리자, 이사회 구성원, 규제기관, 조달 팀, 사이버 보안 전문가 등 다양한 이해관계자가 서로 다른 위험 관리 관점을 가집니다. 이 보고서는 모든 그룹의 사이버 인식을 제고하기 위해 설계된 간결한 개요를 제공합니다.

핵심 발견은 명확합니다: 기술 변화 속도가 적절한 보안 조치 개발을 앞지르고 있습니다. 현재 솔루션은 종종 확장성이 부족하거나, 엄격하게 테스트되지 않았거나, 단순히 존재하지 않습니다. 보고서는 사이버 사고 복구 능력의 임박한 티핑 포인트를 강조하며, 보안 마인드셋, 견고한 규제 및 예방적 관행을 촉진하는 보험 프레임워크의 필요성을 강조합니다.

규제, 사이버 보험 요건, 조직 사이버 보안 문화가 운영 격차를 메울 수 있지만, 새로운 과제들을 해결해야 합니다. 전통적 시스템은 이미 복잡한 인간-기술 상호작용 매핑과 상이한 위험 프레임워크 간 소통에 어려움을 겪습니다. 이 문제는 IIoT 채택이 증가함에 따라 더욱 심화되어, 중요한 역량 격차를 창출할 것입니다.

이해관계자들이 이 환경을 탐색하도록 돕기 위해 보고서는 다음 행동을 권고합니다:

1. 위험 관리 전략 계획 시 잠재적 피해를 항상 평가하세요.
2. IoT 기기 사용 증가에 따라 보안 통제가 어떻게 저하될 수 있는지 평가하세요.
3. 주기적 검토 대신 지속적, 준실시간 평가 기법을 구현하세요.
4. 공급망의 IoT 사용을 고려해, 공급업체 실수를 직접적 보안 위험으로 간주하세요.
5. 포렌식 준비 프로세스를 개발하세요.
6. 위험 평가에 미래 시나리오 분석을 포함하세요.
7. IoT 표준 및 모범 사례에 대한 직원 교육에 투자하세요.
8. 보안 모니터링 데이터 공유를 위한 디바이스 인터페이스 프로토콜 협력하세요.

보고서 저자들은 로버트 해니건, 블루보이언트 국제 담당 의장, 전 GCHQ 국장, 그리고 새디 크리즈, 옥스퍼드 대학교 컴퓨터 과학부 사이버 보안 교수입니다.

저자 소개

전 GCHQ 국장인 로버트 해니건 블루보이언트 국제 담당 의장은 "지난 몇 년간 전 세계 중요 인프라에 대한 의도적 공격이 증가해 왔습니다. 산업 IoT 채택이 계속 증가함에 따라, 명확한 행동과 지침이 필수적입니다."라고 강조합니다. 보고서는 과제를 규명하고 사이버 사고로부터 보호하기 위한 솔루션을 제안합니다.

옥스퍼드 대학교 사이버 보안 교수 새디 크리즈는 "확장되는 연결 기기 네트워크 전반에 보안을 보장하는 탄력적 인프라 구축이 시급합니다. 위험 통제 성과, 책임 모델, IoT 시장에 대한 실질적 함의에 대한 추가 연구를 수행해야 하며, IIoT 공급망에 대한 신뢰 구축을 위한 국제 협력을 촉진해야 합니다."라고 덧붙입니다.