IoT 미래 보안하기: 디지털 트랜스포메이션 가속화하며 리스크 최소화

불과 몇 년 만에 사물인터넷(IoT)은 우리 삶과 일하는 방식을 근본적으로 재편했습니다. 손목과 가정에 있는 가젯부터 우리가 일하는 커넥티드 빌딩과 스마트 팩토리까지, IoT는 우리를 더 안전하고 행복하며 생산적으로 만드는 동시에 조직에 새로운 성장 기회를 제공합니다. 이 기술은 이미 대다수 기업에 스며든 디지털 트랜스포메이션 혁명의 선봉에 서서, 기업을 더 효율적이고 민첩하며 고객 중심으로 만듭니다.

그러나 디지털 확장은 더 큰 디지털 리스크를 뜻합니다. 최신 수치는 IoT 공격이 전년 대비 100% 증가했음을 보여줍니다. 따라서 IT 팀의 핵심 과제는 신규 연결 시대에 맞춘 모범 보안 관행을 통해 비즈니스 성장을 지원하면서 사이버 리스크를 최소화하는 것입니다.

디지털화로의 전환

IoT는 비교적 짧은 시간에 먼 길을 왔습니다. 가트너는 2019년 142억 개, 2021년 250억 개의 커넥티드 기기가 사용될 것으로 예측합니다. 기기 폭증과 함께 데이터도 폭발적으로 늘었습니다. 시스코 추산에 따르면 전체 기기가 생성하는 데이터 총량이 2020년 연간 600제타바이트(ZB)에 달할 전망입니다. 2015년 연간 145ZB에서 급증한 수치입니다. 1제타바이트는 10억 테라바이트와 맞먹는 엄청난 양입니다.

왜 IoT가 지난 몇 년간 비즈니스 환경을 이토록 완전히 파고들었을까요? 2018년 700명 임원 대상 포브스 인사이트 설문이 이를 설명합니다. 60% 기업이 신규 사업 라인 확장·트랜스포메이션 중이고, 비슷한 비율(63%)이 신규·업데이트 서비스를 고객에게 제공 중이며, 3분의 1 이상(36%)이 신규 사업 벤처를 고려 중입니다. 향후 12개월 동안 응답자 거의 모두(94%)가 IoT 덕분에 수익이 5~15% 성장할 것으로 예상했습니다.

IoT 센서, 수집된 데이터, 클라우드 분석은 고객 경험 향상, 복잡한 비즈니스 프로세스 간소화, 통찰 기반 신규 서비스 창출이라는 주요 새 기회를 제공합니다. 예를 들어 수도·전력 누수 조기 경보 모니터링, 제조 현장 운영 효율 개선, 예지보전 기반 애프터서비스 신규 제공 등이 가능합니다.

리스크는 도처에

IoT와 산업용 IoT(IIoT) 시스템 활용을 늘리는 기업이 직면한 과제는, 그 과정에서 기업 공격 표면이 확장된다는 점입니다. OWASP IoT Attack Surface Areas 문서를 보면 얼마나 많은 새로운 취약 지점이 생기는지 알 수 있습니다. 기기 자체(펌웨어, 메모리, 물리/웹 인터페이스)부터 백엔드 API, 연결된 클라우드 시스템, 네트워크 트래픽, 업데이트 메커니즘, 모바일 앱까지 범위가 광대합니다.

가장 큰 리스크 중 하나는 기기 제조사가 IT 보안 모범 관행을 충분히 이해하지 못한 채 제품을 만든다는 점입니다. 이로 인해 소프트웨어 결함, 공장 기본 로그인 그대로 출하 등 공격자가 악용할 수 있는 체계적 약점과 취약점이 생깁니다. 업데이트가 어렵거나 보안 패치 제공 프로그램이 없는 경우도 마찬가지입니다.

이런 결함은 다양한 공격 시나리오에 악용될 수 있습니다. 데이터 탈취 목적의 기업 네트워크 침투, 핵심 운영 프로세스 파괴(몸값 갈취나 최대 혼란 야기), 더 흔하게는 공장 기본·추측 쉬운 비밀번호로 보호된 공인 기기를 스캔해 봇넷에 편입시키는 시나리오입니다. 이는 악명 높은 미라이 공격자들이 쓴 모델로, 이후 수많은 모방 공격에 변용됐습니다. 이런 봇넷은 디도스(DDoS), 광고 사기, 뱅킹 트로이목마 유포 등 다양한 작업에 쓰입니다.

시야 밖의 위협

IT 보안 팀의 어려움은 조직 내 모든 IoT 엔드포인트에 대한 가시성 확보에 있습니다. 탐지된 일부 IoT 기기조차 IT 부서 모르게 작동하는 경우가 많습니다. 이 섀도 IT 요소는 기업 BYOD 과제의 후계자 격입니다. 다만 스마트폰 대신 스마트 웨어러블과 기타 가전제품이 사내 네트워크에 연결돼 사이버 리스크를 높입니다. 스마트 TV가 해킹돼 이사회 회의 도청에 쓰이거나, 직원 식당 스마트 주전자가 기업 네트워크 대상 데이터 탈취 공격의 교두보가 되는 상황을 상상해 보세요.

IT 보안 책임자에게 더 나쁜 소식은, 숙련된 전문 인력이 더 적은 상황에서 이 증가하는 사이버 리스크를 관리해야 한다는 점입니다. 실제로 한 채용 그룹에 따르면 2018년 4분기 IoT 역할 수요가 직전 3개월 대비 49% 급증했습니다.

규제 당국의 추격

중대 IoT 관련 사이버 위협의 영향은 심각할 수 있습니다. 데이터 손실, IT 시스템 중단, 운영 차질 등은 재정·평판 손실로 이어집니다. 보안 침해 조사·수습 비용만 해도 감당하기 벅찰 수 있습니다. 심각한 장애는 IT 인력 초과 근무에 막대한 자금 투입을 요구합니다. 규제 벌금도 점점 중요한 비용 요소입니다. 고객·직원 개인정보 영향 시 GDPR뿐만 아니라, EU NIS 지침도 특정 핵심 산업 기업에 모범 보안 관행을 의무화합니다. 둘 다 동일한 최대 벌금을 부과합니다.

이런 규제 감독은 대서양 양쪽으로 확산되고 있습니다. 미국에서 제안된 새 법안은 국립표준기술연구소(NIST)에 IoT 제조사 최소 보안 가이드라인 마련을 요구하고, 연방 기관이 이 기준을 충족하는 공급업체로부터만 구매하도록 강제합니다.

가시성과 통제

통과된다면 이 미국 법안은 유럽 ETSI TS 103 645 표준을 기반으로 할 수 있습니다. 이 표준 자체는 영국 정부가 제안한 업계 관행 강령에 기반합니다. 확실히 좋은 시작이며, 업계가 더 보안 의식을 갖게 하고 소비자·기업이 더 안전한 제품을 찾도록 독려할 것입니다. 하지만 현실적으로 이런 조치가 시장에 스며들려면 시간이 걸리고, 그때쯤이면 조직이 이미 수천 개의 불안전한 레거시 IoT 엔드포인트를 운용 중일 수 있습니다.

IT 보안 팀은 지금 행동해야 합니다. IoT 환경에 대한 통찰을 개선함으로써 시작하세요. IT 자산 관리 도구가 중요한 첫걸음인 가시성 확보를 도울 수 있습니다. 다음으로, 자동화된 패치 관리 도구로 기기 펌웨어를 최신 상태로 유지하고, 이 과정이 올바르게 작동하는지 모니터링하세요. 일부 보안 업데이트는 벤더 웹사이트 깊숙한 곳에 숨어 있어 수동 개입이 필요합니다. 또한 모든 사용자명/비밀번호를 즉시 강력하고 고유한 자격증명으로 변경하세요. 더 나아가 다단계 인증(MFA)으로 대체하는 게 바람직합니다. 기타 모범 관행으로는 전송 중 데이터 암호화, 지속적 네트워크 모니터링, 신원 관리, 네트워크 세그멘테이션 등이 있습니다. 마지막으로 사이버보안의 '사람' 측면을 잊지 마세요. 직원들이 IoT 관련 보안 위험을 이해하고 시스템·기기를 안전하게 사용하도록 교육해야 합니다.

이것이 기업에 불필요한 추가 리스크를 노출하지 않으면서 IoT 이니셔티브에서 최대 가치를 얻는 길입니다. 단 한 번의 심각한 보안 침해만으로도 현대 디지털 비즈니스 성공에 필수적인 혁신 주도 성장이 무너질 수 있습니다.