산업용 IoT 보안: 과제 극복과 강력한 솔루션 구현

산업용 IoT의 기하급수적 성장은 최근 예측과 궤를 같이합니다. 2025년까지 750억 개 이상의 연결된 기기가 예상되는 가운데, 그중 거의 3분의 1이 제조업 내 산업용 애플리케이션에 활용될 것입니다. 클라우드 기반 서드파티 서비스 제공업체 등 이 시장의 기회가 계속 확대됨에 따라, 성장 장벽이라기보다는 무시할 수 없는 위험 신호로 부각되는 문제가 하나 있습니다. 바로 끊임없이 요구되는 보안 문제입니다.

매주 더 큰 데이터베이스에서, 그리고 안전하다고 여겨지던 기업에서 데이터 유출 사건이 발생했다는 새로운 소식이 들려옵니다. 또한 기업이 의도치 않은 방식으로 수집된 데이터를 저장하거나 사용하는 사례도 마찬가지로 우려스럽습니다. 기기 확산이 가속화됨에 따라 이 문제는 개선되기 전에 더 악화될 수 있습니다.

이 글에서는 산업용 IoT 네트워크의 일반적인 취약점과 네트워크 및 비즈니스 안전을 보장하기 위해 이러한 취약점을 해결하는 방법을 다룹니다.

현재 상황에 이르게 된 경위

산업용 IoT가 이 딜레마에 직면하게 된 데에는 두 가지 근본적인 이유가 있습니다. 하나는 단순한 수학입니다. 배포된 기기 수가 기하급수적으로 증가하고, 기기와 플랫폼을 신속히 배포하라는 서비스 제공업체에 대한 압력이 가해지면서, 보안 이니셔티브와 프로토콜이 흡수하고 대응할 수 있는 범위를 넘어설 위험이 있습니다.

두 번째 이유는 과거에도 다른 새롭고 엄청난 성공을 거둔 기술들을 괴롭혔던 문제입니다. 바로 머신 레벨에서 보안 문제를 해결해야 했던 적이 없었다는 점입니다. 따라서 표준이나 프로토콜이 개발되지 않았습니다. 여러 면에서 이는 제공업체가 문제를 임시방편으로 해결하거나, 고객이 선택한 서드파티 보안 업체에 의존하거나, 심지어 고객의 내부 보안 조치(종종 그 자체로도 불충분한)에만 의존하게 만들었습니다.

문제를 가중시키는 것은 많은 서비스 제공업체가 펌웨어 업그레이드 배포에 느리거나 간헐적이라는 점입니다. 새로운 핵심 기능 개발이 우선시되기 때문입니다. 문제가 어떻게 발생했든, 이는 오늘날 업계에서 가장 뜨거운 이슈 중 하나이며 많은 이들이 해결에 고군분투하고 있습니다.

보안 우려 지점

해커들이 IoT 시스템을 구축하는 사람들과 동일한 데이터 도구와 AI 기술을 더 정교하게 사용함에 따라 데이터 유출 위험이 커집니다. 공장과 연결된 시스템 내에서 유출이 발생할 수 있는 여러 지점은 다음과 같습니다:

• 취약한 웹 인터페이스: 사용자가 IoT 기기와 상호작용하는 지점으로, 부적절한 기본 비밀번호, 잠금 및 세션 관리 문제, 네트워크 내 자격 증명 노출 등의 문제가 있습니다.
• 취약한 네트워크 서비스: 해커가 열린 포트, 버퍼 오버플로, 서비스 거부(DoS) 공격을 통해 네트워크 자체에 접근할 수 있는 지점입니다.
• 약한 암호화: 약한 암호화 또는 암호화 부재는 기기 간 데이터 교환 중에 침입자가 데이터를 수집할 수 있게 합니다.
• 취약한 모바일 인터페이스: 많은 기업이 수리 및 유지보수를 위해 제조 업무의 연장선에서 현장 서비스를 제공하는데, 모바일 인터페이스도 암호화 및 인증 문제를 겪습니다.

IIoT 보안의 과제

많은 기업이 애초에 취약하거나 부적절한 보안을 갖추고 있어, 서비스와 기기를 공급하는 IoT 제공업체에 부담을 줍니다. 중요 인프라 운영의 50% 이상이 구형 마이크로소프트 소프트웨어를 사용하고, 전체 산업 현장의 40%가 공용 인터넷을 사용하고 있습니다.

이는 기기 확산에 따라 머신 침투가 핵심 위험이 되게 합니다. 정교한 해커가 공장 전체에 접근하여 생산 능력을 장기간 심각하게 방해하거나 손상시킬 수 있습니다. 또한 침입의 직접적 또는 간접적 결과로 물리적으로 위험한 상황을 초래할 수도 있습니다.

레거시 보안도 우려 사항입니다. 산업용 IoT 배포의 핵심 가치 제안 중 하나는 레거시 장비를 IoT 기기로 개조할 수 있다는 점입니다. 이는 고가의 설비 투자 없이도 장비 수명 주기를 연장하고 스마트 팩토리 구축을 위한 완전한 통합을 가능하게 합니다. 하지만 어떤 기기가 시스템 내에서 적절히 보안될 수 있는지 신중하게 고려하여 선택해야 하는데, 이는 기업이 갖지 못한 기술일 수 있으며, 필요하다는 사실조차 인지하지 못할 수도 있습니다.

아직 태동기이지만 폭발적으로 성장하는 산업에서 표준과 프로토콜의 부재도 일관된 보안 발전을 저해합니다. IoT 서비스 제공업체들이 비즈니스 커뮤니티로서 뭉쳐 모든 개발에 대한 표준과 프로토콜을 자율 규제하리라는 기대가 있습니다.

이는 경쟁적이거나 중복되는 '로컬' 프로토콜의 가능성을 없애고 고객에게 가장 비용 효율적인 방안이 될 것입니다. 그때까지 표준 부재로 임시 보안이 표준이 되어, 이미 자체 약점을 가질 수 있는 고객의 기존 보안 시스템에 부담을 줍니다.

산업용 IoT 보안 솔루션

모든 침해의 40% 이상이 멀웨어 또는 무차별 대입 공격으로 구성됩니다. 하지만 다른 수많은 침입 형태도 존재합니다. 회사의 기기와 시스템이 접근당할 수 있는 경로가 많기 때문에, 보안은 기기, 통신, 클라우드, 수명 주기 관리의 4단계로 구성된다고 봅니다. 산업이 빠르게 성장한 탓에 엔드투엔드, 즉시 사용 가능한 보안 솔루션은 없습니다.

하지만 엔드투엔드 솔루션이 개발되는 동안 제공업체와 기업이 취할 수 있는 조치들이 있습니다.

한 가지 조치는 IT 네트워크를 분할하여 장비를 제어하는 모든 것을 회사의 나머지 IT 인프라와 별도의 네트워크에 유지하는 것입니다.

서비스 제공업체가 취할 수 있는 두 번째 조치는 '기본'을 지키는 것입니다. 몇 번의 시도 후 자격 증명 잠금, 활성화 시 변경해야 하는 기본 자격 증명 같은 기본 구조가 웹 인터페이스 접근을 보호하는 데 도움이 됩니다. 마찬가지로 강력한 비밀번호 규칙과 2단계 인증을 의무화하면 무단 접근을 제한할 수 있습니다.

IT 레벨에서는 서비스가 버퍼 오버플로에 취약하지 않고, 사용하지 않을 때 포트가 닫히도록 하여 침입 경로를 차단할 수 있습니다. 동일한 예방 조치를 모바일 기기 인터페이스의 비밀번호, 잠금, 기본 비밀번호 규칙에 적용할 수 있습니다. 그리고 물론 펌웨어 업그레이드 제작 및 배포에 대한 더 나은 규율은 시스템 저하를 줄이는 데 도움이 됩니다.

보안 우려를 선제적으로 해결하기 위해 할 수 있는 가장 큰 조치는 업계가 협력하여 표준과 프로토콜 개발에 대한 자율 규제를 이루는 것입니다. 위에서 언급한 많은 이슈에 대한 기본 아키텍처를 정의하고 표준화하여 의무화함으로써, 서비스 제공업체와 프로그래밍 팀은 사소한 보안 걱정에서 벗어나 진화하는 더 크고 집중적인 보안 이슈에 집중할 수 있습니다.

기본 표준 설정은 모든 시스템 아래 최소한의 보안 '바닥'을 깔아, 서비스를 구매하는 기업과 부적절하거나 약한 보안 시스템을 가진 기업에 시스템을 배포하는 제공업체 모두를 보호합니다.

보안 과제는 IoT 성장과 함께 계속 커질 것

산업용 IoT 서비스 제공업체와 고객 기업이 직면한 보안 과제는 커지고 있습니다. 많은 이들이 방정식의 보안 측면을 충분히 강조하지 않지만, 그렇게 하지 않으면 기회를 놓칩니다. 많은 임원들은 보안 솔루션이 패키지에 포함된다면 IoT 기기와 서비스에 더 많은 비용을 지불할 의향이 있다고 밝혔습니다. 업계가 계속 성장함에 따라, 플랫폼의 일부로 보안을 포함하거나 서드파티 보안 제공업체와 강력한 파트너십을 맺은 새로운 서비스가 시장에서 더 확고한 입지를 다질 것입니다.