2025년 실제 OT·인프라 사고들은 공격자들이 어디를 노리고 어떤 방식으로 침투하는지를 매우 선명하게 보여주었습니다. 그러나 같은 해 발표된 글로벌 OT 보안 보고서들은 사고보다 더 깊고 구조적인 문제를 드러냅니다. 규제와 기술이 발전해도 OT 보안의 기본 구조가 바뀌지 않는 한 위험은 반복될 수밖에 없다는 것입니다. 서로 다른 산업과 지역에서 작성된 보고서들을 종합해 보면, OT 보안의 약점은 기술이 아니라 사용자, 단말, 계정, 공급망, 운영 구조에 자리 잡고 있다는 사실이 더욱 분명해집니다.
보고서들은 공격 방식이 더 정교해진 것이 아니라, 단순하고 익숙한 경로가 반복적으로 악용되고 있다고 지적합니다. 그리고 그 경로들은 대부분 OT의 ‘심장부’가 아니라 운영 주변부(Operational Perimeter)에 집중되어 있습니다.
1. 사용자 계정 및 엔드포인트에서 시작되는 취약점
2025년 주요 보고서들은 공격의 첫 진입점이 네트워크가 아니라 사용자 계정과 엔드포인트(endpoint)라고 공통적으로 지적합니다. 특히 다음과 같은 지점에서 위험이 반복적으로 드러났습니다.
- 운영자공급망·유지보수 인력의 계정 탈취
- 원격 접속 경로의 과도한 권한
- 인증 강도가 낮은 엔지니어링 컴퓨터와 HMI 단말
- IT–OT 사이를 오가는 휴대 단말의 검증 부재
- 여러 시스템에서 반복되는 동일 계정 구조
보고서들은 공격이 복잡해진 것이 아니라, 관리되지 않은 사용자, 단말, 계정 요소가 공격 표면을 확장하고 있다고 지적합니다. 즉, OT 보안의 첫 번째 균열은 네트워크가 아니라 사용자 계정과 엔드포인트에서 시작됩니다.
2025년에는 EU NIS2 지침, 국제 표준 IEC 62443 업데이트를 비롯해 여러 국가의 보안 규제가 전반적으로 강화되었습니다. 그러나 보고서들은 이러한 규제들로 인해 각 기관 및 기업들이 서류나 체크리스트 등을 준비하는 작업은 크게 개선되었지만, 실제 운영 현장의 복원력(resilience)은 여전히 제자리걸음에 머물러 있는 것으로 평가합니다.
보고서들이 지적한 내용은 다음과 같습니다.
- 정책 및 절차는 정교해졌지만 운영팀의 실제 대응 능력은 크게 달라지지 않음
- 역할 기반 접근통제(RBAC)가 정의되어도 현장에서 일관되게 적용되지 않음
- 사고 대응 매뉴얼은 존재하지만 부서 간 협업 체계가 부족
- 공급망 계정접속 관리가 규제에서도 여전히 취약 지점으로 남아 있음
- 감사(Audit)를 통과해도 실제 사고 대응에서는 어려움을 겪는 사례가 지속
결국 다수의 보고서는 규제 준수는 개선되었지만, 운영 조직의 실제 복원력은 크게 향상되지 않았다는 공통된 결론을 내리고 있습니다.
3. 엔드포인트 신뢰 검증 체계의 부재
보고서들은 OT 환경에 공통적으로 존재하는 구조적 문제로 엔드포인트 신뢰 검증 체계 부재를 지적합니다.
- 인증 강화를 적용할 수 없는 레거시 장비
- 공유 및 순환 계정의 지속적 사용
- 네트워크가 끊겨도 운영해야 하는 OT 특성
- 분리된 망 구조로 인해 인증로그 기록 단절
- 엔지니어링 워크스테이션이 단일 실패 지점(SPoF)으로 남는 현실
보고서들은 이를 단순한 기술 부족이 아니라 OT 운영의 구조적 한계로 규정합니다. 엔드포인트 신뢰 확보가 어렵다면 어떠한 방어선도 안정적으로 작동할 수 없습니다.
4. 가장 해결이 시급한 공급망 계정·접속 관리
공급망은 2025년 보고서들이 가장 강하게 지적한 취약 지점입니다. 초기 침투 시도의 상당수가 공급망 계정과 단말에서 비롯되었습니다.
- 작업자, 벤더, 하청 인력의 VPN 인증정보 탈취
- 검증 절차 없이 운영망에 연결되는 외부 단말
- 유지보수 권한이 과도하게 넓거나 상시로 열려 있는 구조
- 여러 조직이 연결되며 계정접속 관리가 단절되는 문제
- 여러 서비스 공급업체 간 복잡한 의존성 구조
보고서들은 공급망 계정·접속 관리 체계를 “가장 오래된 미해결 과제이자, 2025년에 가장 크게 드러난 구조적 위험”으로 평가합니다.
5. 사용자·계정·단말 중심의 보안 구조가 자리 잡지 못하는 현실
여러 보고서들은 산업 전반에서 사용자·계정·단말을 중심으로 보안을 설계하는 구조가 여전히 정착되지 않고 있다고 지적합니다. 정책과 가이드라인에서는 그 중요성이 강조되지만, 실제 운영에서는 여전히 보조적 기능으로 취급되는 경우가 많습니다.
보고서들이 공통적으로 제시하는 문제는 다음과 같습니다.
- 실 사용자 기반의 계정접근 원칙이 문서에는 포함되어 있지만 현장 적용은 미흡
- 네트워크 연결을 전제로 한 인증 방식이 OT 운영 현실과 맞지 않음
- MFA 적용에 예외가 많아 전체 운영 환경에서 일관성 부족
- 단말 ID나 디바이스 ID 관리가 조직 단위로 통합되지 않음
- 인증접속 로그가 여러 시스템에 흩어져 단일 가시성 확보가 어려움
결국 사용자·계정·단말이라는 핵심 요소가 아키텍처에서 중심 역할을 하지 못하면, OT 환경의 구조적 취약점은 반복될 수밖에 없다는 점을 보고서들은 경고하고 있습니다.
보고서들이 남긴 결론
2025년의 OT 사고들은 위협이 어디까지 들어왔는지를 보여주었다면, 글로벌 보고서들은 그 위협이 왜 그렇게 쉽게 들어올 수 있었는지를 설명합니다.
보고서들이 공통적으로 드러낸 메시지는 단순합니다. OT 보안의 핵심 문제는 기술의 부족이 아니라 운영 구조와 계정·단말 관리의 허점입니다. 그리고 최종 결론은 이렇게 정리됩니다.
OT 내부는 정교하게 보호되고 있습니다. 문제는 OT로 들어오는 문이 지나치게 허술하다는 점입니다.
