[테크월드=김혜진 기자] "미토스발 보안 위협이 가시적으로 나타날 때는 이미 늦었다. 제조업 보안 거버넌스 수준을 지금보다 높은 수준으로 끌어올려야 한다"
정희철 시스코코리아 CISO 어드바이저리 전무. [사진=시스코코리아]
정희철 시스코코리아 CISO 어드바이저리 전무가 인터뷰를 통해 국내 제조업의 보안 수준이 생산 역량에 비해 여전히 낮은 수준에 머물러 있다고 지적했다.
업계는 그간 국내 제조업의 보안 체계가 글로벌 제조 현장 대비 미흡하다는 점을 지속 제기해왔다. 사이버위협의 고도화에 따라 국내 제조 현장의 보안 수준을 끌어올려야 한다고 강조해왔지만 생산 중심 구조와 예산 및 인력 문제 등으로 여전히 보안은 후순위로 밀려난 상황이다.
이러한 상황에 대해 정희철 전무는 기술, 예산 등 다양한 원인이 있겠지만 가장 큰 원인은 ‘거버넌스’와 ‘운영 문화’ 때문이라고 평가했다. 국내 제조업의 자동화, 로보틱스 수준이 글로벌과 큰 차이가 없는 만큼 단순한 예산 부족만으로 보안의 취약성을 설명하기 어렵다는 것이다.
정 전무는 “국내 제조 보안 환경의 성숙도를 끌어내리고 있는 건 4가지 구조적 결함”이라며 “ 자산 관리 부재, EoS·LDoS 장비 방치, IT-OT 업무 경계 부재, 거버넌스 미흡 문제”라고 지적했다.
그는 우선 제조 현장의 자산 관리 체계가 제대로 이뤄지지 않고 있다고 언급했다. 30년 된 PLC가 어디에 몇 대가 설치됐고 펌웨어가 무엇인지 답할 수 있는 회사가 거의 없다는 설명이다.
이어 지원이 종료되거나 보안 패치가 존재하지 않는 장비를 지속 운영하는 국내 관행도 문제 삼았다. 그는 “보증이 끝나 패치가 존재하지 않거나, 패치를 적용하면 생산 중단될 위험이 있다는 이유로 구형 장비를 장기간 유지하는 사례가 제조 현장에서 반복적으로 이뤄지고 있다”고 전했다.
IT와 OT 간 업무 경계가 불명확하다는 점도 문제 중 하나다. 그는 작년 국내의 대형 보안 사고 이후 국내에서도 업무 경계의 필요성에 대한 인식 수준은 많이 올라와 있지만 여전히 현장에서는 IT와 OT 간 책임 범위를 명확히 하지 않고 있어 문제가 되고 있다“고 말했다.
마지막으로 언급된 문제는 OT 보안 정책이다. 그는 ”KISA에서도 언급했듯 OT 보안을 위한 전반적 정책이 미흡한 상황“이라고 진단했다. 제조업 OT 보안을 위한 전반적인 정책 체계가 현 위협에 대응하기에 충분히 마련되지 않았다는 설명이다.
그는 시스코 2026 산업 AI 현황보고서(2026 State of Industrial AI Report)를 언급하며 국내 제조업의 OT 보안 거버넌스 수준이 글로벌 흐름에 아직 미치지 못하고 있음을 지적했다.
해당 보고서에 따르면 IT/OT 협업 데이터와 관련해 전 세계적으로도 완전한 협업이 이뤄지는 곳은 단 20%에 불과하다. 다만 2025년 기준 52%의 조직이 OT 보안 책임을 CISO로 이관한 것으로 나타났다. 이미 글로벌은 OT 보안을 최고 경영 위험으로 다루기 시작했다는 의미다.
그는 ”글로벌은 이미 OT 보안을 최고 경영 리스크 차원에서 다루고 있다. 한국은 아직 그 수준에 다다르지 못한 것으로 보인다“며 ”해당 문제를 해결하기 위해 3가지를 동시에 진행할 필요가 있다“고 강조했다.
그가 문제 해결을 위한 핵심 과제로 제시한 것은 CISO 산하에 OT 보안 전담 신설, 국가 차원의 EoS 자산 등록제·교체 의무화 및 인센티브, 그리고 ‘미토스-레디(Mythos-Ready)’ 로드맵 수립이다.
그는 ”미국 CISA, EU CRA, 영국 NCSC가 이미 시행 중인 모델을 벤치마크해야 한다“며 ”지금 시작하지 않으면 늦는다. 미토스발 보안 위협이 가시적으로 나타날 것으로 예상되는 100여일 뒤 또는 1년 뒤는 너무 늦은 시점일 것“이라고 경고했다.
회원가입 후 이용바랍니다.
댓글
0