유럽연합(EU)의 사이버 보안 지침인 NIS2가 본격적인 집행 단계에 접어들면서, 글로벌 공급망에 포함된 주요 제조 및 기반시설 기업들은 규제 준수를 위한 보안 체계 재정비에 나서고 있습니다. 대부분의 기업은 IT와 OT 경계 구간에 VPN, 다중 요소 인증(MFA), 특권 권한 관리(PAM) 솔루션을 도입하며 NIS2가 요구하는 접근 통제 요건을 충족했다고 판단합니다.
그러나 실제 NIS2 현장 감사나 상세 보안 점검 과정에서는 기존 접근 통제 방식의 구조적 빈틈이 지적되고 있습니다. 네트워크 접속을 승인받은 세션 내부에서 실제 최말단 엔드포인트에 접속할 때, 해당 접속을 수행한 주체를 명확히 식별하고 부인 방지(Non-repudiation)를 달성할 수 있는가에 대한 질문에 명확히 답하지 못하기 때문입니다.
ENISA 지침과 NIS2 조항이 요구하는 접근 통제 및 감사성 규정
유럽사이버보안전담기구(ENISA)의 NIS2 이행 가이드라인 및 지침 제21조(Article 21)에 따르면, 기업은 단순한 외곽망 경계 통제에 그치지 않고 자산 관리, 접근 통제, 그리고 사고 발생 시 조사를 위한 기록 관리 체계를 명확히 갖추어야 합니다. 특히 규제 당국이 실시하는 기술 점검에서는 제로 트러스트(Zero Trust) 원칙에 기반하여 시스템에 접속한 사용자가 실제 제어 권한을 올바르게 부여받았는지 다각도로 검증합니다.
이 과정에서 핵심 감사 포인트로 부각되는 것은 '네트워크 세션 생성의 승인'이 '최말단 엔드포인트 접근 권한의 정당성'까지 보장하는지 여부입니다. 외주 유지보수 업체나 내부 엔지니어가 PAM 솔루션을 거쳐 OT 네트워크에 접속했더라도, 접속 이후 엔지니어링 워크스테이션(EWS)이나 제어기(PLC) 접속 단계에서 사용자의 독자적 신원이 매핑되지 않는다면 감사 관점에서는 미완성의 접근 통제로 평가받게 됩니다.
SANS 보고서와 CISA 사고 경보로 입증된 현장 세션 관리의 사각지대
글로벌 OT 보안 분야의 거장인 조 바이스(Joe Weiss)는 "기존 IT 접근 제어 체계는 제어망 최말단 영역에서 '누가 접속했는지' 신원을 식별하지 못하며, 제어 장치는 전달받은 패킷을 거부 없이 신뢰하여 실행한다"고 지적한 바 있습니다. 실제로 SANS Institute의 ICS 현장 조사 보고서에 따르면, 글로벌 OT 운영 환경의 과반수가 여전히 계정 공유나 정적인 장기 세션에 의존하고 있는 것으로 나타납니다.
이러한 구조적 한계는 실제 보안 사고로 이어졌습니다. 최근 미국 사이버안보·인프라보안국(CISA)이 발령한 기반시설 공격 경보에 따르면, 공격자들은 탈취한 원격 유지보수 계정을 통해 정상 세션으로 침투한 뒤 제어 파라미터를 무단 변경했습니다. 시스템은 이를 '승인된 작업자의 제어 행위'로 인식했기 때문에 실시간 차단에 실패했을 뿐만 아니라, 사고 이후 로그에서도 특정 작업자의 신원을 식별해 내지 못해 포렌식 조사에 큰 차질을 빚었습니다. 이는 NIS2 제21조가 요구하는 책임 추적성과 부인 방지 요건을 입증하지 못해 규제 준수(Compliance) 실패로 이어지는 대표적인 사례입니다.
최말단 제어 단계까지 책임 추적성을 확보하는 OT 접근 통제의 고도화
NIS2 대응을 포함한 현대 OT 보안의 핵심은 네트워크 외곽 세션 접속 통제에 머물러 있는 접근 관리를 최말단 제어 영역까지 확장하는 것입니다.
진정한 의미의 접근 통제는 실행 전 엔드포인트 접속 시점에 사용자의 신원과 권한을 명확히 입증하고, 이를 접속 이벤트 단위로 검증할 수 있어야 합니다. 엔드포인트 접속이 일어나는 시점마다 절대 부인할 수 없는 명확한 감사 로그(Audit Trail)가 생성될 때, 기업은 제어 권한(Control Privilege)에 대한 정당성을 확보하고 실질적인 책임 추적성(Accountability)을 증명할 수 있습니다.
CISO들에게 필요한 접근법은 단순한 솔루션 도입을 통한 체크리스트식 규제 대응이 아닙니다. ENISA 및 글로벌 표준이 요구하는 수준에 맞춰, 실행 전 개별 주체의 신원을 확실하게 입증하고 기록하는 전용 인증 체계를 구축함으로써 규제 감사에 완벽히 대비하고 실제 운영 환경의 무결성을 동시에 달성해야 합니다.