ICS 보안 체크리스트: 산업 제어 시스템 보호를 위한 8가지 검증된 단계

산업 제어 시스템(ICS)은 원자력 발전소부터 정유 공장까지 중요 인프라를 관장합니다. 사이버 공격은 운영을 중단시킬 수 있으며, 이는 주로 IT 데이터 저장소에 영향을 미치는 기존 데이터 유출과 다릅니다.

OT(운영 기술) 디바이스와 네트워크는 기존 IT와 다르기 때문에, 이를 보호하려면 전용 접근 방식이 필요합니다. 아래는 업계 전문가가 위험을 줄이고 복원력을 구축하기 위해 채택할 수 있는 8가지 증거 기반 원칙입니다.

1. 자산 목록 작성 및 이해

많은 시설이 어떤 장비를 보유하고 있는지 명확히 파악하지 못합니다. Trend Micro의 인프라 전략 부사장 빌 말릭(Bill Malik)은 "대부분 조직이 어떤 기술이 배포되어 있는지 모른다"고 지적합니다.

운영 기술 자산에는 PLC, SCADA, DCS 시스템이 포함되며, 종종 네트워크에 연결되지 않은 장비나 1960~70년대 레거시 장비 뒤에 숨어 있습니다. 서버나 IP 주소만 세는 것은 이 복잡성을 놓칩니다. 딜로이트(Deloitte)의 숀 피즐리(Sean Peasley)는 전문 벤더의 수동적 방식 OT 자산 조사가 프로세스 중단 없이 가능하다고 설명합니다.

2. 신뢰할 수 있는 프레임워크 채택

ISA/IEC 62443, ISO/IEC 27001, NIST 사이버 보안 프레임워크, NERC CIP, MITRE ATT&CK for Industrial Control Systems, UL 2900 같은 표준은 IT와 OT를 연결하는 공통 언어와 통제를 제공합니다.

자사 환경에 맞는 프레임워크 하나로 시작하세요. 이들 표준 간의 중복은 전체적인 사이버 보안 사고방식을 제공할 것입니다.

3. 사이버 재해 복구 계획 수립

프레임워크는 탐지, 대응, 복구를 위한 쉬운 언어로 된 지침으로 변환되어야 합니다. 하워드-그라우(Haward-Grau)는 실행 가능한 계획의 필요성을 강조합니다. "어떻게 식별하고 보호할 것인가? 어떻게 탐지, 대응, 복구할 것인가?"

4. 사이버 보험 투자

많은 레거시 자산은 패치할 수 없으므로, 보험사는 종종 보상 통제를 요구합니다. 개별 장치가 아닌 산업 공정을 보장하세요. 탄탄한 보안 태세에도 불구하고 면책 조항에 유의하세요.

5. 최소 권한 원칙 적용

OT 네트워크와 디바이스에 대한 접근을 제한하세요. 방화벽으로 불필요한 트래픽 차단, 허용 프로세스 화이트리스트화, 원격 유지보수용 고유 자격 증명 강제 적용. 말릭은 강화되지 않은 일반 PC 사용을 경고합니다.

6. 버그 바운티 프로그램 고려

버그 바운티는 IIoT와 5G 확장에 따라 취약점을 조기에 식별하는 데 도움이 됩니다. 그러나 패치되지 않은 레거시 시스템을 가진 조직을 압도할 수 있습니다. 전략적으로 활용하세요.

7. 서드파티 위험 관리

피즐리(Peasley)는 대기업이 수천 개의 공급업체와 하위 구성요소에 직면한다고 지적합니다. 공식적인 서드파티 위험 프로그램은 소프트웨어, 하드웨어, 임베디드 시스템을 공급망 전반에서 평가해야 합니다.

8. 안전 프로그램 관행 활용

프로세스 위험 분석 같은 전통적 안전 프로토콜을 사이버 보안으로 확장할 수 있습니다. 미국 화학 공학회(AIChE)는 이러한 분석에 사이버 위험을 통합할 것을 권장합니다. 안전 계장 시스템(SIS)은 취약할 수 있지만 필수 방어 계층으로 남아 있으며, 사이버 복원력을 위한 재설계 없이 개조하는 것은 권장되지 않습니다.

이 8단계를 따르면 산업 운영자는 방어를 강화하고, 모범 사례에 부합하며, 진화하는 사이버 위협으로부터 미션 크리티컬 운영을 보호할 수 있습니다.