숍 플로어 네트워크 보안 평가: 대비하고 계십니까?

최우선 순위는 아닐 수 있지만, 군수 및 방산 부품을 제작하는 잡숍과 중견 제조업체는 IT/OT 사이버 보안을 고려해야 합니다. 규정이 마련되었습니다. 준비되셨습니까?

최신 기계와 공구 기술(5축 머신 등) 도입, 견습생 및 신입 기계공 채용·교육, 부품 생산, 유지보수 일정 준수만으로 충분할까요? 이제 스마트 센서와 인터넷 기반 인프라가 숍 플로어의 직원들에 의해 사용되면서, 대부분의 숍에서 기계와 통제실 내외부에 수많은 기술이 도입되었습니다.

보안 관리는 이제 모든 시스템과 직원 행동을 관리하는 실질적인 이슈입니다. 방산 부품을 만드는 숍에는 보안이 비즈니스에 실제 영향을 미치는 최우선 준수 사항입니다.

미시간 제조 기술 센터의 비즈니스 운영 부사장 엘리엇 포사이스(Elliot Forsyth)는 Advanced Manufacturing 기고문에서 "오늘날 현실은 중소 제조업체가 풀가동 중이고 주문이 밀려들어오며, 가장 큰 문제는 인재 확보와 유지, 즉 제품을 출하하는 데 가장 큰 제약이다. 제조업체가 매일 내려야 하는 수많은 결정 중에서 사이버 보안은 우선순위가 높지 않다"고 말했습니다.

업계 내부자들과 오늘날 제조업 보안 현황과 향방에 대해 이야기해 보았습니다.

산업 사이버 공격: 데이터 유출, 사이버 스파이 활동 등

인터넷은 비즈니스에 훌륭한 도구이자 혜택입니다. 하지만 사기, 랜섬웨어, 절도, 시스템 조작이 빈번히 발생하는 범죄의 장이기도 합니다.

제조업도 보안 문제에서 자유롭지 못합니다. 석유·가스, 전기·원자력 발전소 등 중요 인프라 분야도 보안 강화에 나서고 있습니다. 2018년 사우디아라비아의 석유화학 기업들이 해킹당해 운영 방해와 폭발을 노린 사례가 있습니다.

이는 극단적 사례지만 충분히 일어날 수 있습니다. 대다수 보안 사고는 금융 정보와 지적 재산을 노립니다.

버브 인더스트리얼 프로텍션(Verve Industrial Protection)의 CEO 존 리빙스턴(John Livingston)은 "매우 불안전한 공간이다. 대부분의 제조업체는 문제를 인지하지 못하거나 사내에 대처 자원이 없다. 한편으론 클라우드 서비스에 의존하고, 다른 편에선 패치되지 않은 구형 운영체제를 사용한다"고 지적합니다.

버라이즌의 '2019 데이터 유출 조사 보고서'에 따르면 2018년 제조업에서 352건의 보안 사고가 발생했고, 그중 87건에서 데이터 유출이 확인되었습니다. 이는 연간 발간되는 가장 포괄적인 연구 중 하나입니다.

보고서 저자들은 "2년 연속으로 제조업에서 금전적 동기의 공격이 사이버 스파이 활동을 능가하며, 올해는 그 차이가 더 크다(40%p). 다른 업종이라면 당연한 얘기지만, 제조업은 최근 몇 년간 타 업종보다 스파이 관련 유출 비율이 높았다"고 결론지었습니다.

최고의 생산과 부품 제조가 목표라면, 기술이 목표 달성에 핵심 역할을 한다는 데 의심의 여지가 없습니다. 정밀 기계 정보를 수집·모니터링하는 것이 최고 성과 달성에 점점 더 중요해지고 있습니다.

잡숍은 종종 인터넷에 연결되어 있으며, 직원들이 사용하는 이메일, 웹사이트, 모바일 앱 등이 공격자가 직원·회사 정보나 지적 재산에 접근하는 통로가 될 수 있습니다. 이 정보에는 원청업체가 경쟁사 손에 넘어가길 원치 않는 부품 사양 라이브러리, 정부가 타국에 알려지길 원치 않는 정보 등이 포함될 수 있습니다.

전국 제조 사이버보안 센터의 전략 자문 쿠시크 수브라마니안(Koushik Subramanian)은 Advanced Manufacturing 기고문에서 "제조업체는 운영 위험 평가를 수행해야 한다. 위험은 기계, 제어장치, 소프트웨어 등 기술적 요인뿐 아니라 인력, 관행, 프로세스에서도 발견된다. 가장 흔한 형태는 사이버 공격으로, 악의적 개인이나 집단이 가장 약한 고리인 사람을 이용해 시스템에 침투하려 한다. 그래서 피싱과 랜섬웨어가 인기 있고 공격이 증가하는 추세다"라고 설명합니다.

소규모 숍의 경우 컴퓨터 관리는 외부 IT 업체 고용을 의미하는 경우가 많습니다. 중견·대형 제조업체는 내부 IT 인력과 복잡한 기술 이슈를 위한 외부 업체의 하이브리드 형태일 수 있습니다.

리빙스턴은 "대부분 업계가 인식 단계를 거치고 있다. 문제가 있음을 인지하기 시작했지만, '이전에 인터넷 기반 인프라로 관리된 적 없는 세상을 어떻게 장악할 것인가'를 자문한다"고 말합니다.

기술적 질문이 있으신가요? MSC 금속가공 기술팀에 포럼에서 문의하세요.

변화의 주체: 표준, 주정부 지원, 서드파티 서비스

미국 국립표준기술연구소(NIST)는 중요 인프라를 규제하고 항공우주·방산 산업의 규칙을 만듭니다. 2016년 NIST는 SP 800-171을 발표했는데, 여기에는 '비연방 시스템 및 조직에서의 통제된 비기밀 정보 보호' 규칙이 담겨 있습니다.

이 표준에는 모든 규모의 OEM과 방산 하도급업체에 영향을 미치는 엄격한 보안 통제가 포함됩니다. 준수하지 않으면 입찰 자격을 잃을 수 있습니다.

페이퍼리스 파츠(Paperless Parts)의 CTO 스콧 소이어(Scott Sawyer)는 "중요 인프라가 아닌 대부분의 제조업체에 보안 문제로 하루 생산이 중단되는 건 국가 비상사태는 아니지만 수익에 타격을 준다. 진짜 이슈가 되는 건 지적 재산이다. 국방부가 이 분야를 매우 중시한다"고 말합니다.

이는 모든 규모의 제조업체에 영향을 미칩니다.

소이어는 "100~200명 규모 기업도 이에 어려움을 겪는다. 갑자기 규정 준수 방법을 찾아야 한다"고 덧붙입니다.

기업들은 어떻게 대처하고 있을까요? 방산 계약을 유지하거나 새로 따내려는 일부 기업은 컨설턴트를 영입하고 보안 프로그램을 구축합니다. 주·지방 경제가 이러한 규제로 악영향을 받을 수 있어 비용 부담이 큽니다. 그래서 제조 연장 파트너십(MEP)을 통해 기업들의 보안 표준 준수를 지원하는 자금 지원 프로그램이 운영되고 있습니다.

국방부 노력과 NIST에 대해 자세히 알아보려면 이 영상을 시청하세요.

보안 이슈를 선도적으로 관리하는 기업들에겐 희소식이지만, 대부분 제조업체는 여전히 어둠 속에 있습니다. 특히 소규모 숍이 그렇습니다. 소이어는 설명합니다.

"일부는 잘못된 안도감을 가집니다. 자신들은 작고 외진 곳에 있으며, 물리적 위치가 시골이고, 직원이 적고, 마케팅 프로필이 낮아 위험하지 않다고 생각하죠. 하지만 바로 그런 점이 표적이 되기 쉽게 만듭니다. 록히드 마틴, 레이시온, 노스롭 그루만보다 보안이 취약해 더 쉬운 표적이 됩니다."

대기업들도 표적이지만, 기밀 사양과 물리적 보안 처리에 훨씬 정교하다고 소이어는 설명합니다. 소이어는 제조업으로 오기 전 방산 업계에서 수년간 근무했습니다.

방산 기업들은 직원들에게 공장을 떠날 때 업무 이야기를 하지 말라고 교육합니다. 퇴근 시 출입증을 숨기라고도 합니다. 하지만 이런 노력도 의욕적인 공격자가 중요 지적 재산에 접근하는 것을 막진 못했습니다.

소이어는 "미국 제조를 믿고 애국심이 있다면, 그 일부로 정보 보안을 신경 써야 한다"고 강조합니다.

귀하의 숍은 오늘 보안을 어떻게 다루고 있습니까? 대비 중이신가요, 아니면 '모르는 게 약' 모드이신가요? 포럼에서 이야기해 보세요. [등록 필요]