산업용 IoT 보안: 사이버-물리 시스템을 위한 실용적 전략

조직이 산업용 사물인터넷(IIoT) 이니셔티브를 시작할 때, 이 용어는 보안 팀에게 추상적으로 느껴질 수 있습니다. "보안 실무자들은 개념을 넘어 사이버-물리 시스템의 구체적 현실에 집중해야 합니다."라고 가트너의 VP 애널리스트 카텔 티엘레만(Katell Thielemann)은 말합니다.

티엘레만은 속도가 종종 보안을 앞선다고 경고합니다. "초기 배포는 시스템 전체 수명주기를 다루는 전체적인 전략을 앞설 수 없습니다."라고 그녀는 지적합니다. 너무 많은 기업이 여전히 산업 환경에 IT 중심적 시각을 적용하여 중요 자산을 취약하게 만듭니다.

Tata Consultancy Services의 글로벌 사이버보안 서비스 책임자 산타 수브라모니(Santha Subramoni)는 운영 기술(OT) 보안에 대한 경영진과 규제 당국의 관심이 증가하고 있음을 강조합니다. 그녀는 OT를 완전한 사이버 가시성으로 가져오는 것이 복잡하다고 설명합니다: 위협 표면이 방대하며 센서, 엣지 디바이스, 연결성, 데이터, 애플리케이션, 호스팅 생태계를 아우릅니다. 레거시 기술과 격리된 네트워크는 엔드포인트 가시성을 더욱 제한하여 예방을 어렵게 만듭니다.

수브라모니는 여러 수준에서 지속적인 취약점 추적의 필요성을 강조합니다. "조직은 최신 취약점 카탈로그와 이를 해결할 기술을 유지해야 합니다."라고 그녀는 말합니다.

사례 연구: HIL Ltd.의 IIoT 배포 보안

건축자재 제조업체 HIL Ltd.는 최고정보책임자 무랄리 라즈(Murali Raj)에 따르면 4개 인도 공장에서 디지털 숍플로어 기술로 디지털 혁신을 시작했습니다. 이 시스템은 단일 네트워크에서 모든 기계를 연결하여 효율성과 품질을 향상시킵니다.

"이제 예지보전과 품질로 나아가고 있습니다."라고 라즈는 설명합니다. "보안도 이러한 새로운 기능과 함께 진화해야 합니다." 센서, PLC, SCADA 시스템의 실시간 데이터는 HIL의 IT 네트워크를 통해 클라우드로 전송되어 즉시 분석되고 운영자에게 알림이 생성됩니다.

이전에는 SCADA 시스템이 격리된 '섬'에서 작동했습니다. 인터넷 연결로의 전환은 IT 측 방화벽과 엄격한 디바이스 보안 표준을 요구했습니다. 정기적인 펌웨어와 소프트웨어 패치가 필수가 되었습니다.

기술을 넘어 사람과 프로세스도 다루었습니다. "유지보수 및 전기 엔지니어들은 이전에 IT나 보안 팀과 상호작용이 없었습니다."라고 라즈는 말합니다. "이제 협업하고 업데이트를 공유하며 역할 권한과 비밀번호 관리 같은 IT 보안 관행을 채택합니다." 외부 파트너 EY와 Deloitte가 IT와 OT 보안을 정렬하기 위한 객관적 프레임워크를 제공했습니다.

중요 디바이스와 자산 보호

IIoT 공격은 전통적인 IT 침해보다 드물지만, 그 영향은 치명적일 수 있습니다. 생산 손실, 장비 손상, 데이터 도난, 산업 스파이, 심지어 신체 상해까지 범위가 넓습니다. Vdoo의 CTO 아사프 카라스(Asaf Karas)는 조직이 중요 자산을 생산 진입 시점부터 보호할 것을 촉구합니다.

카라스는 다음을 권장합니다:

• 산업 환경에 맞춘 위험 및 위협 관리 구현.
• 설계 단계부터 보안 강화로 신규 디바이스 보호, 악용 가능한 퍼스트/서드파티 약점 제거.
• 자산 관리 도구로 배포 후 산업 자산 발견 및 식별.
• IIoT 디바이스 전용 엔드포인트 런타임 에이전트 배포로 지속적 모니터링 지원.

하이퍼 연결성 관리

많은 IIoT 디바이스는 보안을 염두에 두고 제작되지 않았다고 Booz Allen Hamilton의 수석/디렉터 카일 밀러(Kyle Miller)는 말합니다. 레거시 실시간 운영체제는 최신 IT 플랫폼의 보호 기능이 없어 조직의 공격 표면을 극적으로 확장합니다.

밀러는 어떤 디바이스가 통신할 수 있는지 제어하고 침해 시 폭발 반경을 제한하는 제로 트러스트 환경 구축을 조언합니다. "IIoT 배포 전 위험을 이해하세요."라고 그는 말합니다. "공급업체 보안 태세, 암호화, 액세스 제어를 평가하세요."

세분화는 필수입니다: "IIoT 디바이스는 다른 IT 및 OT 네트워크와 격리되어 단일 침해가 확산되는 것을 방지해야 합니다."라고 밀러는 덧붙입니다.

조직적 사이버 위생

Booz Allen Hamilton의 수석/디렉터 데이비드 포브스(David Forbes)는 많은 침해가 약한 조직적 위생에서 비롯된다고 강조합니다. "규율, 프로토콜, 거버넌스가 종종 부족합니다."라고 그는 지적합니다. 산업 환경은 2020년 취약점과 위협 급증 이후 공격자들에게 점점 더 매력적인 대상이 되고 있습니다.

티엘레만은 수명주기 접근법을 강조합니다: "보안 고려는 요구사항과 설계부터 구매, 배포, 유지보수, 폐기까지 내재화되어야 합니다." 산업 시스템은 물리적 위치, 운영 회복탄력성, 안전 같은 고유한 제약이 있으며 이를 전략에 통합해야 합니다. IT 중심 모델은 이러한 맥락에서 패칭, 모니터링, 인증을 수용하도록 진화해야 합니다.

수브라모니는 엔지니어링과 생산이 보통 IIoT를 소유하지만 "혁신 감독과 기술 현대화는 조직 전체에서 조정되어야 한다."고 덧붙입니다. 신뢰할 수 있는 파트너는 이 빠르게 진화하는 환경에서 비용을 관리하면서 보호를 확장하는 데 도움을 줄 수 있습니다.