[글로벌 인터뷰] 제이 압달라 슈나이더 일렉트릭 사이버 시큐리티 글로벌 디렉터
“기업의 사이버 보안 첫 단계는 보안 전략 설정과 이행 체계 마련하는 것”

[보안뉴스 엄호식 기자] 스마트팩토리는 설계와 개발, 제조 및 유통·물류 등 생산과정에서 디지털 자동화 솔루션이 결합한 정보통신기술(ICT)을 적용해 생산성, 품질, 고객만족도를 향상시키는 지능형 생산공장을 뜻한다. 공장 내 설비와 기계에 사물인터넷(IoT)을 설치해 공정 데이터를 실시간으로 수집하고, 이를 분석해 목적된 바에 따라 공장을 스스로 제어할 수 있다. 이러한 건설이나 공장, 물류 등 산업현장의 자동화는 미래 산업현장에 큰 혁신과 변화를 가져올 수 있지만 이 과정에서 ‘보안’이라는 두 글자를 빼놓을 수 없다. ICT와 IoT가 적용·설치된 만큼 사이버 공격이라는 키워드에서 절대로 자유로울 수 없기 때문이다.

서울 광화문의 포시즌스호텔에서 열린 ‘슈나이더 일렉트릭 이노베이션데이’에서도 ‘수명주기에 따른 디지털 서비스 : 사이버 보안 및 자산 성능 최적화’라는 주제를 추가하며 사이버 보안의 중요성이 강조됐다. 이날 행사에서 사이버 보안의 중요성을 알리는 발표자로 나선 제이 압달라(Jay Abdallah) 슈나이더 일렉트릭 사이버 시큐리티 글로벌 디렉터를 <보안뉴스>가 만났다.


▲제이 압달라 슈나이더 일렉트릭 사이버 시큐리티 글로벌 디렉터[사진=보안뉴스]

본인 소개를 부탁한다 슈나이더 일렉트릭에서 사이버 보안 글로벌 디렉터를 맡고 있다. 슈나이더 일렉트릭 사이버 보안팀에는 세 명의 리더가 있다. 한 명은 프로젝트를 구현하고 실행한다. 또 다른 한 명은 솔루션 로드맵을 제공한다. 그리고 나는 영업지원과 기술지원, 아키텍처 개발 및 사이버 보안 이행과 관련한 제반 전략 구상을 담당하고 있다.

에너지 관리와 자동화 전문 글로벌 기업으로 알려진 슈나이더 일렉트릭의 사이버 보안 서비스는 조금 생소하다 슈나이더 일렉트릭의 사이버 보안은 프로세스 자동화 부서에서 태동했다. 처음에는 단순히 사업 네트워크를 확보하는 것이 목표였으나 단순히 산업 내 고객군을 커버할 수 있는 범위를 넘어서며 프로세스 자동화뿐만 아니라 산업관리와 에너지 관리 고객까지 확장되면서 사이버 보안 솔루션까지 아우를 수밖에 없는 상황에 직면했다. 고객사의 조력자로서의 책임과 함께 IoT 도입, 그리고 IT(정보기술)와 OT(운영기술)가 융합되는 새로운 기회의 장이 열리면서 사이버 보안을 단단하게 해야 할 필요성이 생겼다. 슈나이더 일렉트릭에는 사이버 보안 담당 부서 외에 제품의 보안을 담당하는 부서가 따로 있다.

발표 주제가 ‘수명주기에 따른 디지털 서비스-사이버 보안 및 자산 성능 최적화’였다. 어떤 의미인가 수명 주기에 따른 보안 서비스를 제대로 이해하기 위해서는 보안의 수명주기가 끝없이 지속적인 여정과 같다는 것을 이해하는 것이 중요하다. 그리고 고객사가 보안 파트너를 제대로 이해하고 인식해야 한다. 보통의 사이버 보안 업무는 권장사항이나 솔루션을 제시하는 정도지만 우리는 전체적인 솔루션 제시와 함께 매년 정기적인 유지보수 작업을 진행하고 있다. 또한, 사이버 보안에서 각 사가 설정한 사이버 보안에 대한 목표 달성에 조력자가 될 수 있도록 노력한다는 의미다.

사이버 보안 제품이나 서비스에는 어떠한 것이 있나 사이버 보안 서비스의 목적은 고객이 사이버 보안 정도를 정확하게 인식하게 하는 데 있다. 고객사가 네트워크 인프라를 사용 중이라고 가정할 때 우리는 다양한 인풋을 확보하고 격차 분석을 통해 리스크를 경감할 수 있는 정밀한 데이터를 제공한다. 네트워크 인프라 액세스를 확보할 때는 정확한 보호 체제를 제공해야 한다. 그 일례가 중앙 인증, 원격 접속, 다중 인증, 네트워크 분할 등이 있다. 이를 물리적 보안에도 적용해 인증을 받은 관리자에게만 승인을 허가하도록 한다. 지속적인 운영 보안 서비스에는 패치 관리, 엔드포인트 보안, 중앙기기 제어가 포함된다.

탐지 서비스는 시스템 침입, 비정형 탐지 솔루션, 네트워크 성능, 보안 정보 솔루션, 에너지 관리 솔루션 등이 포함된다.

대응 서비스는 재해복구, 백업, 발생 대응 등이 포함되며 원격으로 고객의 사업장을 상시 모니터링해 보안 링크를 중앙설비에 확보한다. 이를 통해 어떤 변화나 위협, 비정형 행동을 위기가 발생하기 이전에 사전 감지한다. 이 작업은 유지보수 활동에 포함되며 고객사와 최초 계약을 맺을 때 사이버 보안 엔지니어가 가령 분기에 한 번씩 고객사를 정기 방문해 네트워크 인프라를 점검한다는 등의 내용이 명시된다.

트레이닝 포트폴리오는 보안 인식 제고를 위한 1일 코스와 직접 체험하고 실험해 보는 8일 코스가 있다. 이를 통해 보안 인프라 운영에 필요한 필수 기술을 명확하게 이해하도록 돕는다.

수명주기에 따른 디지털 서비스에서 가장 중요한 단계는 무엇인가 첫 단추를 잘 끼워야 한다. 즉, 수명주기를 구축하는 첫 단계가 가장 중요하다. SLA(Service Level Agreement)를 제대로 설정해 수명주기 프로세스를 제대로 이해하고 상호 협의하는 첫 단계가 가장 중요하다고 생각한다. 이를테면 SLA를 기반으로 슈나이더 일렉트릭은 사이버 보안 체계와 선제적 위협 관리 서비스를 제공하고 고객사는 지속해서 관련 데이터를 제공하는 것이다. 초기에 상호 계약 의무와 사항을 제대로 이해하고 정확하게 설정하는 것이 라이프사이클 관리의 선결 조건이다.


▲제이 압달라 디렉터가 슈나이더 일렉트릭 이노베이션데이에서 발표하고 있다[사진=슈나이더 일렉트릭 코리아]

대한민국 기업의 보안 수준은 어느 정도라 생각하나 중간 정도라고 본다. 이는 한국 기업의 사이버 보안 기술에 대한 이해도의 문제가 아니라 사이버 보안은 새로운 개념이고 이에 대해 전면적으로 기준이 정립되지 않았다고 생각하기 때문이다.

최근 수년간 사이버 보안의 중요성이 급격히 대두된 중동을 예로 들자면 중동은 특정 산업군에 대한 사이버 공격이 지속해서 발생했다. 이에 피해를 본 산업 및 기업은 구체적인 보안 솔루션을 수립해 준수 요건과 국제 기준에 부합하는 산업 기준을 마련했다.

개인적으로 유럽이나 북미, 중남미, 중동, 아시아 등 전 세계 어느 지역에서든 사이버 보안 지형은 빠르게 변하고 있고 이에 대한 기준은 끊임없이 개발된다는 것을 강조한다. 한국도 이에 대한 중요성을 인식하고 자체적인 기준과 준수 요건, 의무사항을 정립해야 한다.

기업이 주의해야 할 사이버 이슈에는 어떠한 것이 있나 랜섬웨어가 가장 보편적인 이슈가 아닐까 싶다. 사실 지난 2개월여간 미국 3개 주 주요 도시에서 랜섬웨어 공격이 발생했다. 전산 시스템과 데이터에 접근할 수 없는 피해를 기업은 결국 요구하는 금액을 지불해야 했다. 랜섬웨어가 큰 금액을 손쉽게 벌 수 있는 공격으로 알려지면서 미국을 비롯해 영국과 중동, EU 등 전 세계에서 빈번하게 발생하고 있다.

랜섬웨어에 대응하기 위해서는 기본을 튼튼히 하라고 강조하고 싶다. 첫째는 패치관리다. 패치를 관리하고 실행하며 집행하는 기본 틀을 마련해야 한다. 둘째, 앤드포인트 프로텍션이다. 단순히 랜섬웨어나 멀웨어와 관련된 솔루션을 구축하는 것이 아니라 인공지능(AI)을 활용해 비정형 행동을 탐지하는 툴을 활용하는 것이 중요하다. 셋째, 실행이다. 패치관리와 앤드포인트 프로텍션이 있다 해도 이를 제대로 실행하지 않으면 아무런 의미가 없다. 백업도 마찬가지다. 백업은 반드시 현장과 중앙, 원격 백업이 함께 이루어져야 한다.

한 가지 예로, 몇 달 전 런던 출장 중에 뉴욕주에서 100여 명의 직원을 둔 중소기업을 운영하는 친구로부터 전화를 받았다. 친구는 매년 1만 달러를 주고 소형 IT업체로부터 보안 관리를 받던 중 랜섬웨어 공격을 받았다. 이로 인해 HR과 급여, 재무 등 필수 데이터에 대한 접근권을 통째로 잃었다. 친구에게 패치 관리와 앤드포인트 프로텍션을 어떻게 하고 있냐고 묻자, 전적으로 파트너사나 보안 벤더에게 의존한다고 답했다.

이 사례를 통해 재차 강조하고 싶은 것은 라이프사이클 서비스에 따라 기준을 마련해 적시에 필요한 액션을 취할 수 있어야 한다는 것이다. 그런 의미에서 백업도 중요하다. 또 하나, 생사가 달린 문제가 아니라면 돈을 주고 데이터를 되찾는 것은 정말 최후의 수단이 되어야 한다.

많은 기업이 사이버 보안을 어떻게 시작해야 하는지 어려워한다 사이버보안 전문가로서 조언한다면 우선 회사 내 사이버 보안팀을 만들어 보안 전략을 설정하고 이를 이행할 수 있는 체계를 마련하라는 것이다. 이 조건이 충족된 후 기술을 논해도 절대 늦지 않다. 또, 사원부터 임원까지 전사적으로 보안 인식을 제고하고 보안이 기업문화로 뿌리내릴 수 있도록 프로그램을 수립해야 한다.

스마트 팩토리에서 사이버 보안 도입의 어려움은 신기술 수용이다. 스마트 팩토리에는 비즈니스급의 보안 솔루션이 필요한데 이는 경험해 보지 못했던 시스템이기 때문에 기업에서 이질감을 느낀다. 하지만 첫 관문을 잘 통과해 사이버 보안에 대한 이해가 축적된다면 사이버 보안에 있어 슈나이더 일렉트릭과 같은 기업이 최적의 파트너로 선택될 수 있다고 믿는다.
[엄호식 기자(eomhs@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>