글로벌 제조 및 기반시설 기업들이 디지털 전환(DX)과 스마트 팩토리 구축을 추진함에 따라, 수십 년간 운영되어 온 브라운필드(Brownfield, 노후 레거시) 환경에 최신 클라우드, 에지 컴퓨팅, IT 통합 관제 시스템을 연결하는 작업이 활발히 진행되고 있습니다.
그러나 15년에서 30년 이상의 긴 교체 주기를 가진 레거시 OT 자산에 현대적인 IT 네트워크 및 접근 제어 체계를 무리하게 덧씌우는 과정에서 심각한 '보안 격차(Security Gap)'가 발생하고 있습니다. 신형 관제 시스템과 구형 제어기(PLC)가 혼재하는 이종(Heterogeneous) 인프라 환경은 기존 보안 통제 방식을 무력화하며 CISO들에게 새로운 위협 과제를 던져주고 있습니다.
노후 설비 수명주기와 스마트 연동이 초래하는 보안 사각지대
전통적인 브라운필드 OT 환경의 핵심 설비인 레거시 PLC(프로그래머블 로직 컨트롤러), HMI(인간-기계 인터페이스), EWS(엔지니어링 워크스테이션)는 초기 설계 당시 외부 네트워크와의 연결을 전혀 고려하지 않고 개발되었습니다. 이들 장치는 암호화되지 않은 직렬(Serial) 통신이나 초기 형태의 산업용 프로토콜(Modbus RTU, Profibus 등)을 사용하며, 자체적인 사용자 인증 기능이 아예 존재하지 않는 경우가 대부분입니다.
스마트 제조 전환 과정에서 이러한 레거시 설비들은 IP 기반의 IIoT 게이트웨이나 프로토콜 변환기를 통해 상위 IT/클라우드망과 직접 연결됩니다. 문제는 상위 구간에 최신 VPN이나 PAM(특권 권한 관리) 솔루션을 적용하더라도, 게이트웨이를 거쳐 레거시 제어기로 전달되는 하위 구간에서는 사용자 신원 정보가 완전히 탈락(Strip)된다는 점입니다. \
결국 신형 상위 시스템과 구형 최말단 장치가 만나는 지점에서 보안의 연계성이 끊어지는 구조적 절벽 현상이 발생합니다.
프로토콜 변환 시 신원 유실과 사고가 보여준 레거시 위협
이러한 브라운필드 현대화의 구조적 빈틈은 2021년 미국 플로리다주 올즈마(Oldsmar) 정수장 사이버 공격 사건에서 명확히 입증되었습니다. 당시 공격자는 원격 제어 프로그램과 노후화된 관제 단말의 허점을 악용해 SCADA/HMI 시스템에 침투한 뒤, 최말단 제어계통으로 연결되는 수산화나트륨(Lye) 농도 설정을 기존 100ppm에서 11,100ppm으로 100배 이상 올리는 치명적인 제어 명령을 직접 주입했습니다.
당시 사고 조사를 맡은 CISA와 OT 전문가들이 지적한 핵심 문제는, 상위 관제망이나 게이트웨이 단계에서 원격 접속이 이뤄진 이후 최말단 제어기(PLC)에 직접 접근하는 과정에서 '실제 어떤 인적 주체가 이 접속을 수행했는가'를 식별하고 통제할 수 있는 엔드포인트 접근 인증 및 부인 방지 체계가 전무했다는 점입니다.
상위 세션 세팅 이후 게이트웨이를 거쳐 하부 레거시 장치로 전달되는 과정에서 행위 주체의 신원이 유실되어, 엔드포인트 접근의 정당성을 검증하지 못한 전형적인 브라운필드 통합의 위협 사례입니다.
레거시 자산의 전면 교체(Rip-and-Replace)가 불가능한 현장의 현실적 제약
이러한 보안 사각지대를 해결하기 위해 수십, 수백억 원의 예산을 들여 현장의 모든 레거시 PLC와 HMI를 최신 고성능 제어기로 전면 교체하는 것은 비현실적인 대안입니다. 설비 교체에 따른 장시간의 공정 중단(Downtime) 리스크와 기존 검증된 제어 로직의 무결성 훼손 가능성 때문에 현장 운용팀은 이러한 접근에 강력히 반대할 수밖에 없습니다.
또한 레거시 PLC나 RTU의 한정된 컴퓨팅 자원(CPU, 메모리)으로는 무거운 보안 에이전트(EDR)를 탑재하거나 복잡한 암호 알고리즘을 연산하는 것이 물리적으로 불가능합니다.
따라서 브라운필드 현대화의 핵심은 '기존 노후 설비에 물리적/소프트웨어적 부담을 주지 않으면서도, 실행 전 엔드포인트에 접속하는 시점에 작업자의 신원을 완벽히 입증하는 방안'을 마련하는 것입니다.
리플레이스 없이 완성하는 엔드포인트 접근 신뢰
성공적인 브라운필드 현대화를 위해서는 신·구 설비가 교차하는 접점에서 단순한 네트워크 통로 개방에 만족해서는 안 됩니다. 기존 레거시 인프라를 그대로 유지하면서도 최말단 제어 단계까지 신원 입증 메커니즘을 확장하는 전략적 접근이 필요합니다.
엔드포인트 접속이 이뤄지는 세션 생성 시점에 작업자의 신원과 '제어 권한(Control Privilege)'을 독립적이고 정교한 일회성 식별 방식으로 검증할 수 있다면, 레거시 PLC 자체를 교체하지 않고도 불변의 감사 로그(Audit Trail)를 확보할 수 있습니다.
결국 브라운필드 환경의 보안 고도화는 무리한 설비 교체가 아닌, 신·구 통합 관제 흐름 속에서 절대 부인할 수 없는 행위 주체 식별 체계를 이식하여 '접근 신뢰(Access Trust)'를 완성하는 것에 달려 있습니다.