2016년 4월 독일 바이에른주 원자력 발전소가 악성코드에 감염돼 가동이 중지됐다. 원전 근무자가 USB를 사용하던 과정에서 일어난 것으로 확인됐다. 같은 해 1월 일본 후쿠이현 몬주 원자력 발전소가 악성코드에 감염돼 닷새 동안 이메일과 작업 기록, 직원 개인 정보 등 4만여개의 문서가 유출됐다.
우리나라에서도 지난해 3월 경찰청 주도로 김포공항이 해킹 공격으로 마비됐을 때를 대비한 `사이버테러 초동 대응 모의 훈련`을 실시한 바 있다.
`XX 사이트가 뚫려 몇 만명의 개인정보가 유출됐다`는 뉴스를 보고 놀라는 사람은 많지 않다. 양치기 소년의 외침처럼 이제 일상화된 해킹 뉴스는 일반인에게 공허하게 들릴 지 모른다. 이미 털린 정보여서 더 털려 봤자 의미가 없다는 얘기다. 그러나 사례로 든 세 가지 뉴스는 이전 해킹 뉴스와 성격이 다르다. 바로 정보기술(IT)이 아닌 운용기술(OT) 영역의 해킹이기 때문이다.
IT 해킹은 아이디나 패스워드 같은 개인정보 또는 계좌번호 등 금융 정보, 회사의 기밀 정보 등을 빼내기 위한 것이 전부였다. OT 해킹은 차원이 다르다. 주요 산업 시설 제어나 통제 시스템을 무력화시켜서 사회 혼란을 노린다. 탈취한 정보를 바탕으로 금전 이익을 꾀하는 `소프트`한 해킹보다 사회 혼란이 야기하는 `하드`한 OT 해킹 비율이 지속해서 늘고 있다는 점이다.
OT 해킹에 대한 오해가 있다. 첫째로 국가기간망과 같은 산업 관련 시설 네트워크는 외부와 단절된 폐쇄망이어서 대체로 해킹에 안전하다는 인식이다. 그렇지 않다. 폐쇄망은 인터넷에 연결되지는 않지만 USB 메모리 같은 저장 장치에 의해 쉽게 감염되고 파괴된다. 보안 시스템이 허술하기 때문이다.
보통 산업 시설에서는 USB 메모리 같은 디바이스 보안에도 크게 신경 쓰지 않는다.둘째는 OT 해킹이 산업 시설에 국한돼 피부로 느끼는 피해가 크지 않다는 시각이다. 그러나 이란의 부셰르 원자력 발전소와 나탄즈 우라늄 농축 시설 핵 개발용 원심분리기는 스턱스넷이란 악성코드에 의해 완전 파괴됐다. 이로 인해 1년 동안 원전 가동이 중단됐으며, 6만대 이상의 PC가 감염돼 폐기 처분됐다.
우크라이나에서는 블랙에너지(BlackEnergy)라는 악성코드를 통해 범국가 차원의 대규모 정전사태가 발생, 이 기간에 가스비가 3배로 치솟고 군수물자 65%가 손실을 보기도 했다.
우리나라는 발전소, 공항, 제철소와 같은 국가기간망 대비 상태를 점검해야 한다. 특히 산업 시설의 작업 공정을 감시하고 제어하는 컴퓨터 시스템인 감시제어데이터수집(SCADA) 보안에 신경 써야 한다.
세계 표준기구는 SCADA 시설 서버 공격에 대비한 보안 가이드라인과 각종 규제를 제정하고 이를 준수하도록 각국 정부에 촉구한다. 국제표준화기구인 ISO도 상황의 심각성을 인정, SCADA 표준을 만들고 있다. 보안 업체들도 SCADA 보안을 위한 솔루션을 강화하는 추세다. 특히 캐나다와 일본 SCADA 시스템 컨설팅을 통해 두 나라의 보안 수준을 끌어올렸다. IBM은 우리나라 주요 국가기간망인 SCADA 시스템의 보안 솔루션과 컨설팅을 제공한다.
우리나라도 SCADA 보안에 관심을 기울여야 한다. 관련된 명확한 가이드라인을 만들고 범국가 차원에서 SCADA 보안 위협에 대처할 때다. 이 영역은 국가 경쟁력에 영향을 미치는 기본 기간에 해당하기 때문이다.
신호철 한국IBM 상무 hocshin@kr.ibm.com
