미국과 유럽 등 국가는 물론 국제해사기구 등 관련 기관까지 선박 사이버 보안 강화 요구
ICT부터 OT까지 다양한 환경 갖춘 선박... 전용 보안 솔루션 필요해

[보안뉴스 원병철 기자] 자율주행차와 함께 선박분야에서도 자율운행선박이 이슈로 떠올랐지만, 자율주행차와 달리 머스크(MAERSK, 세계 최대 해운사)의 랜섬웨어 공격으로 인한 3억 달러 손실이나 이란 해운의 사이버 해킹에 의한 시스템 붕괴, 미국 해안경비대의 GPS 간섭에 의한 비공개 항만의 운영 중단 등 다양한 사이버 공격이 발생하면서 사이버 리스크에 대한 이슈도 함께 부상하고 있다.


[이미지=utoimage]

특히 국제해사기구(IMO)는 2020년 1월 1일 ‘사이버 리스크 관리(MSC.428(98))’를 통해 국제 항행 선박들에게 사이버 리스크 관리체계를 구축할 것을 강제하고 있으며, 한국선급을 비롯한 대표 선급들을 중심으로 사이버 보안 인증이 진행되고 있다.

미국을 비롯한 EU 등 선박분야 대표 국가들도 이미 관련법을 정비하고 선박의 보안강화에 나섰다. 미국은 2020년 12월 ‘국가 해양사이버보안 전략(National Maritime Cyber Security Plan)’을 발표하고 해양 사이버 위협 인텔리전스 R&D 및 협력 강화와 선박 사이버보안 위협시 조사, 민관군 협력을 통한 선박 사이버보안 조사 등을 강조했다. 특히 중요한 선박(국제선박)과 항만 시스템의 사이버 보안 조사를 명시하고 동맹국가도 포함했다. 아울러 해양 사고 조사과정에 디지털 포렌식도 수행하도록 했다. EU도 13개 산학연 연합 프로젝트인 ‘European Union’s Horizon 2020 / CYBER MAR Project(2020~)’를 통해 해양 사이버 보안 연구 프로젝트를 수행 중이다.

우리나라는 해양수산부가 2020년 ‘해사(선박안전) 사이버 보안 정책 연구’를 통해 선박 사이버 보안에 대한 연구를 시작했고, 최근 선박 내외부의 사이버 보안 위협을 수집·분석·관리해 자율운항선박, 스마트십, 스마트함정의 ‘선박 통합 사이버 보안 체계’안 ‘Cyber Turtle Ship’ 개발에 나섰다. 또한 ‘정보통신망법 이용촉진 및 정보보호 등에 관한 법률’ 일부 개정을 통해 선박도 정보보호 규율대상이 됐다. 과기정통부는 정보통신망연결기기의 정의를 가전, 교통, 금융, 스마트도시, 의료, 제조·생산, 주택, 통신 등으로 확대하고, 침해사고의 발생 가능성 및 사고 발생 시 일어날 수 있는 위험 수준에 따라 정보보호지침 권고 대상, 침해사고 시 대응, 기기 인증범위 등을 명확하게 규정했다. 선박은 교통 분야에 포함되어 기관을 사용하는 기기는 자율운항에 대비해 보안을 강화하도록 했다.

위성 인터넷 등 선박에 네트워크 연결됐지만 최소한의 보안도 못 갖춘 선박 많아
업계에 따르면 현재 선박보안은 이제 시작하는 단계로 아직은 어려움이 많다. 그 이유는 선박이 이동체이면서 시설물이고, 제조시설이기 때문이다. 선박은 그 기능과 활용에 따라 천차만별이기 때문에 타 분야와의 직접 비교는 어렵다. 예를 들면, 여객선은 사람을 태우지만 LNG선은 가스를 운반하며, 시추선은 생산시설(제조공정)이기 때문에 각기 다르다는 설명이다.

게다가 OT/ICS처럼 네트워크를 이용하면서도 선박에서만 사용하는 프로토콜 때문에 기존 보안제품을 그대로 사용하기도 어렵다. 예를 들면, ICT에서는 TCP/IP를 사용하지만 선박에서는 선박용 프로토콜인 NMEA를 사용해 호환이 어렵다.

최근 선박의 사이버 보안 이슈로 대형 선박을 중심으로 보안이 강화되고 있지만, 아직 방화벽조차 없는 선박이 많다는 것이 보안업계의 설명이다. 게다가 OT/ICS처럼 IT와 플랫폼이 다르기 때문에 그에 맞는 보안솔루션을 구축하는 것도 쉽지 않고, 전용 솔루션도 많이 없다.

선박 사이버 보안 전문기업 디에스랩컴퍼니의 조용현 대표는 “최근에는 선원들이 배를 탈 때 요구사항 중 하나가 바로 인터넷이라고 한다”라면서, “이미 선박은 기업이나 기관 못지않게 네트워크가 연결됐는데, 방화벽 하나 없는 것이 현실”이라고 지적했다. “일론 머스크의 스페이스X가 서비스하는 위성 인터넷 스타링크로 이제 선박은 물론 전 세계 어디에서나 위성 인터넷이 가능한 세상이 됐는데, 이에 대한 대책 마련은 아직 미비한 수준입니다.”

다행이 해양수산부의 ‘해양 사이버위협 인텔리전스 시스템 개발’ 연구 등 국내에서도 선박의 사이버보안 강화 움직임이 보이고 있다. 특히 이번 연구는 해양수산부의 해양산업 수요기술 연구개발로 디에스랩컴퍼니의 ‘사이버 거북선’ 플랫폼을 기반으로 선박 보안설계용 소프트웨어부터 안전운항을 지원하는 보안기술을 개발하는 과제로 시큐아이와 파이오링크 등 보안기업과 고려대, 대우조선해양 등 학계와 수요기업도 협력하고 있다.

조용현 대표는 “우리나라는 세계적인 조선산업 국가인 만큼 지금부터라도 선박 사이버보안 강화를 위해 노력한다면 세계를 리딩할 수 있을 것”이라면서, “아울러 선주 역시 단순히 보안 장비나 보안 인증만 믿지 말고 보안강화를 위해 힘써야 한다”고 강조했다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>