스마트 디바이스 보안: IoT 안전을 위한 모범 사례

이 글에서는 "사물인터넷" 또는 "IoT"를 상호연결된 스마트 디바이스, 머신투머신(M2M) 통신, 관련 소프트웨어/하드웨어 기술을 설명하는 포괄적 용어로 사용합니다.

IoT 기술이 제공하는 데이터 통찰과 자동화 잠재력은 기업 운영 방식에 프로세스 개선과 기타 혁명을 위한 훌륭한 기회를 창출했습니다. 이들 디바이스의 인기는 크게 상승 중입니다. 글로벌 IoT 시장은 2025년까지 전 세계 다양한 IoT 산업에서 220억 개의 활성 연결 디바이스에 달할 것으로 추정됩니다.

어떤 신기술과 마찬가지로 IoT도 사이버보안 단점이 없습니다. IoT 디바이스 구현을 원하는 기업은 디바이스, 시스템, 데이터를 안전하게 지키고 싶다면 사이버보안을 주요 관심사로 삼고 구현해야 합니다.

IoT가 비즈니스를 어떻게 돕는가?

IoT 우산 아래 기술들은 다양한 부문 기업에 놀라운 일을 할 수 있지만, 산업 기업에서의 사용으로 상당한 영향이 입증되었습니다.

IoT 디바이스는 3D 프린팅, 인공지능, 양자 컴퓨팅, 에너지 저장 발전 같은 다른 급속 개발 기술들과 함께 산업 기업의 역량에 전례 없는 혁명을 촉발해 이른바 제4차 산업혁명으로 알려진 것을 이끌고 있습니다.

IoT 디바이스는 산업 기업이 다음을 할 수 있게 합니다:

• 공급망을 원격 제어 및 모니터링
• 기존 기술과 IoT 센서 결합으로 마모 징후 모니터링 및 필요한 해결책 실행을 통한 예방 정비 예측 및 구현 지원
• 실시간 에너지 데이터로 프로세스를 더 에너지 효율적으로 운영

다른 부문 기업의 경우 IoT 디바이스는 향상된 데이터 통찰 형태의 상당한 변화를 가져올 수 있습니다. 이러한 개선은 재고/인벤토리 통제 개선, 스케줄링 효율성 향상, 폐기물 감소 등 기타 개선을 포함해 기업에 혜택을 제공할 수 있습니다.

IoT의 위험성

데이터 수집과 자동화로 얻을 수 있는 명확한 이점이 있지만, 리스크도 없습니다. 많은 IoT와 스마트 디바이스 사용자는 자신의 디바이스가 얼마나 접근 가능한지 깨닫지 못합니다. 검색 엔진 쇼단(Shodan)은 허술한 비밀번호 보호를 가진 디바이스를 웹에서 샅샅이 뒤져 접근한 내용의 스크린샷을 표시합니다. 가장 주목할 만한 예는 비즈니스 공간과 개인 주거 모두에서 사용되는 IoT 보안 카메라 스트림입니다.

이 목록은 전혀 포괄적이지 않지만, 안전하지 않은 IoT 디바이스가 악용될 수 있으며 신중한 구현이 필요함을 상기시킵니다.

IoT 및 스마트 디바이스의 내장 보안 부재

IoT의 힘을 활용하려는 기업은 사용하는 IoT 디바이스 제조사가 사이버보안을 진지하게 받아들이는지 확인해야 합니다.

디바이스를 대량 판매하고 비용을 낮추려는 노력으로 많은 스마트 디바이스 제조사가 사이버보안 투자를 포기하고 대신 이 진화하는 시장에서 구매자 유치를 위해 디바이스 비용 효율성을 우선시했습니다.

영국과 미국 같은 정부가 IoT 사이버보안 입법을 진지하게 받아들이기 시작했지만, 대부분 스마트 디바이스 제조사가 개발 프로세스 첫날부터 보안을 우선시하도록 하는 외부 압력은 충분하지 않았습니다.

많은 스마트 디바이스는 2단계 인증(2FA) 기능이 통합되어 있지 않으며, 수집하고 전송하는 데이터를 암호화하지도 않습니다. 스마트 디바이스 제조사가 개발 첫날부터 보안을 우선순위로 구현할 책임이 있기 전까지 스마트 디바이스는 사이버보안 위협의 실행 가능한 벡터로 남을 것입니다.

IoT 보안 침해 사례

역사적으로 IoT 디바이스는 멀웨어 공격의 진입점으로 사용되었습니다. 추가 맥락을 위해 몇 가지 주목할 만한 사례를 소개합니다.

분산 서비스 거부(DDoS) 공격

2016년 "미라이(Mirai)"로 알려진 봇넷이 다양한 IoT 디바이스의 기본 비밀번호를 악용해 DDoS 공격을 실행했습니다. 이 공격으로 미국 동부 해안 대규모 구간의 인터넷 연결이 끊겼습니다.

이 공격이 구현된 상대적 용이성은 IoT 기술이 어떻게 사악한 목적으로 악용될 수 있는지 통찰을 주며, 이는 손상된 IoT 디바이스로 구동된 유일한 봇넷 공격이 아니었습니다.

스턱스넷(Stuxnet)의 핵 기계 파괴 시도

스턱스넷 제작자는 확인되지 않았지만, 이 극도로 회피적인 컴퓨터 웜에 대한 광범위한 연구는 그 목적을 확인했습니다. 원자력 발전소에서 사용되는 원심분리기를 표적으로 삼아 물리적 구성요소에 손상을 주는 사이클을 수행하도록 재프로그래밍합니다. 스턱스넷은 연결된 기계의 취약점이 데이터 손실과 소프트웨어 비활성화보다 더 큰 문제, 즉 디바이스에 심각한 물리적 손상을 주거나 생명을 위태롭게 할 수 있음을 경고하는 이야기입니다.

온도조절기가 데이터 유출로 이어진 사례

라스베이거스의 이름 없는 한 카지노가 고객 데이터베이스를 가장 예상치 못한 방식, 즉 수족관 온도조절기를 통해 도난당했습니다. 카지노는 와이파이 연결 IoT 온도조절기로 수족관 온도 모니터링과 조절을 했습니다. 온도계가 고객 데이터와 같은 네트워크에 있어 사이버 범죄자들이 온도조절기 취약점을 악용해 진입점으로 사용했습니다.

클라우드 컴퓨팅에서 포그 컴퓨팅으로 전환

일반적 믿음과 달리 IoT는 외부 클라우드 컴퓨팅 제공자 없이도 작동할 수 있지만, 클라우드리스 솔루션으로 전환하기 전 클라우드 컴퓨팅의 이점을 강하게 고려해야 합니다.

데이터를 완전히 통제하려는 기업은 자체 로컬 제어 "포그 컴퓨팅" 인프라를 활용해 외부 클라우드 컴퓨팅 제공자와 공유하지 않고 IoT 데이터를 처리하고 전송할 수 있습니다.

포그 컴퓨팅은 IoT 디바이스의 데이터를 로컬 영역 네트워크(LAN)의 게이트웨이로 전송해 적절한 처리 하드웨어로 데이터 전송을 처리하는 분산 컴퓨팅 인프라입니다. 이 데이터 처리에 로컬 하드웨어를 사용하는 것을 종종 "에지 컴퓨팅"이라 부릅니다. 포그 컴퓨팅과 에지 컴퓨팅은 지연 시간 감소와 데이터 공유 및 전송 방식에 대한 더 큰 통제 같은 이점 스위트를 제공하지만, 취약점도 없습니다.

포그 컴퓨팅과 에지 컴퓨팅으로 데이터를 저장하고 전송하는 기업은 수집한 데이터를 보호하는 데 필요한 물리적, 절차적, 기술적 사이버보안 조치의 유일한 제공자이며, 이는 작은 일이 아닙니다.

주요 클라우드 컴퓨팅 제공자는 저장, 전송, 처리하는 데이터 보호를 위해 최고 수준의 사이버보안 조치 구현과 유지에 막대한 투자를 합니다. 그들의 비즈니스 모델 전체가 신뢰성과 보안에 의존하기 때문입니다. 단순히 IoT 디바이스를 일반 운영 업그레이드로 사용하려는 기업은 클라우드 컴퓨팅 제공자와 유사한 보안 수준을 합리적으로 유지하지 못할 수 있어, 포그 컴퓨팅 사용이 동등하게 견고한 사이버보안 조치로 수행되지 않으면 더 큰 사이버보안 리스크로 이어집니다.

IoT 디바이스를 안전하게 사용하는 방법

리스크가 없지만은 않지만, IoT 디바이스는 데이터 수집과 전송의 전례 없는 기회로 역량과 효율성의 놀라운 이득을 이끌 수 있습니다. IoT 디바이스를 안전하게 사용하기 위해 구현할 수 있는 핵심 보안 조치가 있습니다.

민감 데이터 암호화

클라우드 컴퓨팅 제공자에게 처리 위해 전송 전 데이터 암호화 과정은 데이터 전송 지연을 유발할 수 있지만, 민감 데이터에 중요한 단계입니다. 의료 데이터 같은 민감 데이터를 IoT 디바이스에서 클라우드로 전송하는 기업은 그 데이터의 민감성을 진지하게 받아들여야 하지만, 더 무해한 데이터는 암호화하지 않은 채로 둘 수 있습니다.

고유 비밀번호 사용

미라이 봇넷 DDoS 공격에서 보듯 IoT 디바이스 악용 방법 중 하나는 제조사가 사용하는 알려진 공장 기본 비밀번호를 사용해 진입을 시도하는 소프트웨어입니다.

공장 기본 비밀번호를 고유 비밀번호로 변경하는 것 외에도, 사용되는 IoT 디바이스는 공장 기본 비밀번호로 재설정될 수 없도록 제조돼야 합니다. 기본 비밀번호로 재설정하는 능력은 사이버 범죄자에게 공격 벡터를 추가로 제공할 수 있습니다.

IoT 디바이스용 별도 네트워크 사용

민감 데이터 컨트롤러인 기업의 경우, 그 데이터는 IoT 디바이스와 별도 네트워크에 보관해야 합니다. IoT 디바이스 보안의 상대적 미성숙함으로 인해 별도 네트워크에 두면 메인 네트워크 진입점으로 사용될 가능성을 줄입니다.

IoT 클라우드 및 디바이스 제공자 신중히 선택

IoT 디바이스에 클라우드 컴퓨팅의 힘을 활용하려는 기업은 저장하고 시스템에서 처리하는 데이터를 안전하게 지킬 수 있는 신뢰할 수 있는 IoT 클라우드 플랫폼 제공자를 신중히 선택해야 합니다. 또한 사이버보안을 중요한 관심사로 제조된 IoT 제품을 선택해야 합니다.

귀사 니즈에 맞는 IoT 디바이스 제공자 결정 시 다음을 고려하세요:

• 디바이스 제조사가 사이버보안 취약점 신고를 위한 공개 연락 창구를 제공합니까? 이 신고들을 진지하게 다룬 이력이 있습니까?
• 디바이스 제조사가 자사 제품에 대해 얼마나 오래 보안 업데이트를 제공합니까?
• 디바이스 제조사가 생산 명령의 일부로 사이버보안을 우선시합니까?

IoT 클라우드 서비스 제공자(CSP) 사이버보안 고려사항:

• CSP가 사이버보안을 진지하게 다룬 이력이 있습니까?
• CSP가 데이터를 보호하기 위해 어떤 사이버보안 조치를 취했습니까?
• IoT 인프라 성장 시 CSP가 암호화와 기타 보안 조치를 규모에 맞게 제공할 수 있습니까?

위 목록은 전혀 포괄적이지 않으며 각 비즈니스 유스케이스는 고유한 사이버보안 고려사항을 가집니다. IoT 기술이 급속한 성장에 계속 기여함에 따라, 진화하는 통찰과 기능 활용을 원하는 기업은 사이버보안을 최우선으로 하고 니즈에 맞는 최상의 솔루션을 지속적으로 연구하고 구현해야 합니다.