서정택 위원장 “CPS 보안 중요성 충분히 인식, 현장에서 필요한 보안전문가 양성 시급”
기술 발전에 따라 SCADA와 ICS, OT를 넘어 CPS 시대에 접어들어, 이제는 CPS보안 집중연구해야

[보안뉴스 원병철 기자] 2021년 5월 미국의 송유관 업체인 콜로니얼 파이프라인(Colonial Pipeline)이 사이버공격으로 시설 운영이 중단되면서 미국 휘발유 값이 7년 만에 최고치를 기록했다. 임기 초부터 솔라윈즈 사건, MS 익스체인지 사건, 콜로니얼 사건 등 굵직한 사이버보안 사건을 겪은 바이든 대통령이 보안강화를 위한 행정명령을 발표했으며, 전 세계적으로 국가기반시설에 대한 사이버보안 강화가 이뤄졌다.


▲서정택 한국정보보호학회 CPS보안연구회 위원장[사진=보안뉴스]

우리가 잘 아는 IT(Information Technology, 정보기술)와 달리 제조 및 생산시설에서는 OT(Operation Technology, 운영기술)를 사용한다. 콜로니얼 파이프라인과 같은 국가기반시설은 물론 스마트공장으로 주가가 올라간 공장, 에너지와 원자력 등 발전시설 등이 사이버공격의 새로운 먹잇감이 되면서 OT 보안에 대한 관심도 높아졌다.

OT 보안이 관심사가 되면서 여러 용어들이 혼용되고 있다. 주로 사용되는 것이 OT와 ICS(Industrial Control System, 산업제어 시스템), 그리고 CPS(Cyber Physical System, 사이버 물리 시스템)가 있으며, 각각 의미와 범위가 다르지만 함께 사용되고 있다. 쉽게 예를 들면, OT는 제조 및 생산시설에서 주로 사용하는 운영 ‘기술’을 말하며, ICS는 이러한 시설에서 사용하는 ‘시스템’을 통칭한다. 이를 벤다이어그램으로 표현하면, ICS는 원격 감시 제어라 불리는 SCADA(Supervisory Control And Data Acquisition) 등과 함께 OT에 포함된다고 할 수 있다.

CPS는 ICS를 포함해 범위가 더 넓다. CPS는 Cyber Physical System의 줄임말로 사이버 물리 시스템이라고 부른다. 2011년 미국 국립과학재단(NSF)이 물리적 시스템과 사이버 소프트웨어를 통합하는 시스템이라고 정의한 후, 국가기반시설과 스마트공장은 물론 자율주행차와 자율주행선박, 나아가 항공우주까지 포함하는 개념으로 발전했다. 이 때문에 보안전문가들은 이제 OT를 넘어 CPS 보안을 연구해야 한다고 강조한다.

CPS보안연구회, 한국정보보호학회 최초로 조직된 연구회에서 발전
우리나라에는 이러한 CPS 보안 연구를 진행하는 연구회가 하나 있다. 바로 한국정보보호학회 CPS보안연구회(위원장: 가천대학교 컴퓨터공학부 서정택 교수, 간사/총무: 세종대학교 정보보호학과 이종혁 교수, 워크숍 프로그램위원장: 세종대학교 정보보호학과 박기웅 교수)다. CPS보안연구회는 학회 내 최초의 연구회인 전자상거래보안연구회가 그린IT융합보안연구회를 거쳐 2017년 1월 1일 이름을 바꾼 전통 있는 연구회다. 주로 전력, 원자력, 교통, 수자원 등 국가기반시설 제어시스템과 스마트팩토리, 스마트시티, 자율주행차, 스마트선박, 무인이동체 등의 영역에 대한 보안 이슈와 기술을 공유한다.

위원장을 맡고 있는 서정택 가천대 컴퓨터공학부 교수는 CPS보안연구회의 이름이 사용될 때부터 위원장을 맡고 있으며, 더 나아가서는 2008년 5월 국내에서 처음 만들어진 ‘제어시스템보안팀’의 팀장을 맡으며 국가기반시설 제어시스템 보안 분야에 대한 연구를 시작했다.

“2008년에 제가 이 분야 연구개발을 시작할 때는 제어시스템(SCADA)이라는 용어가 일반적이었습니다. 주로 국가기반시설 제어시스템이 주요 대상이었죠. 이후 스마트공장 등 민간분야 공장자동화 시스템 등의 보안 이슈가 커지면서 OT라는 용어가 일반화되고, 확장된 느낌입니다. 우리 CPS보안연구회가 말하는 CPS 영역 내에는 국가기반시설 제어시스템 뿐만 아니라 스마트시티, 스마트팩토리, 자율주행자동차, 스마트선박, 무인이동체, 항공우주 영역까지 모두 포함된다고 볼 수 있습니다.”

실제로 CPS보안연구회는 340여명의 국가공공기관, 연구기관, 학계 및 기업 전문가가 활동 중이며, 2010년 시작한 스마트그리드 사이버보안 워크숍과 2013년 시작한 원자력 사이버보안 워크숍, 2018년에 시작한 차세대인프라 보안워크숍, 2022년에 시작한 해양선박 사이버보안 워크숍(해양사이버보안연구회와 공동 주관) 등을 개최하면서 CPS보안에 대한 다양한 연구를 지속해왔다. 가장 최근인 지난 5월 18~19일 이틀 동안에는 ‘제12회 CPS보안워크숍’을 성황리에 개최했다.

SCADA부터 CPS까지, 보안의 영역 넓어져
하지만 아직도 CPS보안은 쉽지 않다고 서정택 위원장은 설명한다. “2008년 처음 제어시스템의 보안이슈와 중요성을 설명할 때만 해도 정부부처 담당자들은 이 분야 시스템의 특성 및 보안의 중요성을 이해하지 못했다”는 서정택 위원장은 2010년 발생한 스턱스넷(Stuxnet, 이란의 핵시설을 공격해 원심분리기 1,000여대를 파괴한 악성코드) 이후 우리나라는 물론 전 세계 국가기반시설의 제어시스템 보안이 주목받았다고 소개했다.

“2015년 우크라이나 전력망 해킹이나 2021년 콜로니얼 파이프라인 사건 등 이 분야에 대한 보안의 중요성은 이미 여러 차례 입증됐지만, 아직도 그 중요성에 비해 투자와 연구개발은 많이 부족한 게 사실입니다. 게다가 제조, 드론/선박 등 무인이동체, 10년 이상 된 레거시 시스템 등 보안이슈는 계속 늘어가고 있고요. CPS보안이 중요한 이유입니다.”

CPS보안연구회는 이러한 상황에서 CPS보안에 대한 중심을 잡아왔다. 한국정보보호학회 산하 연구회이면서도 무려 340여명의 전문가들이 함께하고 있으며, 단순히 연구에만 머무르지 않고 학계와 연구계, 그리고 산업계와 국가기반시설 전문가들이 함께 한다는 것도 CPS보안연구회의 특징이다. 서정택 위원장도 단순히 규모를 키우기보다는 관련 분야의 전문가들이 만나 CPS보안에 대한 전문지식을 공유하는 것은 물론 서로 네트워킹 할 수 있는 연구회를 만들려고 했는데, 오히려 그런 점이 장점이 되면서 함께 성장하게 된 것 같다고 설명했다.

다만 아직도 CPS 보안에 대한 관심과 지원은 부족한 상황이다. 서정택 위원장은 “현재 전력, 원자력, 교통 및 수자원 분야의 국가기반시설 제어시스템과 OT환경, 해양선박 분야 등의 융합보안 분야 전문인력에 대한 수요가 증가하고 있지만, 현업에서 활동하는 전문인력은 부족한 상황”이라면서, “CPS보안연구회는 이러한 보안전문가를 양성하는 데 힘쓸 계획이지만, 산업통상자원부나 과학기술정보통신부와 같은 정부기관의 도움도 절실하다”고 강조했다.

한편, CPS보안연구회는 하반기에도 CPS보안을 연구하기 위한 자리를 꾸준하게 마련할 방침이다. 오는 10월 12~13일에는 ‘제13회 CPS보안워크숍’을 개최하며, 11월 1~2일에는 ‘해양선박 사이버보안 워크숍’을 개최할 예정이다. 특히, 해양선박 사이버보안 워크숍은 같은 학회 내 연구회인 ‘해양사이버보안연구회’와 협력해 해양선박 분야 사이버보안의 이슈와 중요성을 널리 전파한다는 계획이다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>