러시아, 이란, 중국 등 국가 배후 해킹 그룹의 지정학적 OT 공격이 전 세계 핵심 인프라를 직접 타격하면서 글로벌 규제 당국의 대응 수위가 급격히 강화되었습니다. 과거 권고사항에 그치던 보안 가이드라인은 미 백악관 행정명령(EO 14028)과 NIST SP 800-82r4의 제로 트러스트 가이드라인으로 구체화되었으며, EU NIS2 지침의 전면 시행에 따라 위반 시 최고 1,000만 유로(또는 글로벌 매출의 2%)에 달하는 과징금과 경영진 개인에 대한 법적 책임이 현실화되었습니다. 콜로라도 수처리 시설에서 이란 연계 CyberAv3ngers 세력이 PLC 제어기 설정과 펌핑 사이클을 변조하고 알람을 비활성화한 실제 사건에서 보듯, 규제 당국이 요구하는 핵심은 '경계선 방어'라는 눈가리고 아웅 식의 접근을 완전히 끝내는 것입니다.
국가 배후 공격의 증가와 기존 경계 기반 방어 체계의 법적 무력화
규제 기관들이 제로 트러스트 명무화를 강력히 밀어붙이는 이유는 가상사설망과 방화벽에만 의존하는 기존 방어 체계가 국가급 해커들의 표적 공격 앞에서 완벽히 무너졌기 때문입니다. 최근 중국 연계 Volt Typhoon이나 이란 연계 공격 조직들은 정교한 악성코드를 제작하는 대신, 외부에 노출된 라우터나 VPN의 취약점 및 스틸러 로그로 탈취한 정당한 자격 증명을 악용해 내부 OT 망으로 유유히 침투합니다. 방화벽을 통과한 공격자가 단 하나의 저항도 받지 않고 최말단 제어기(PLC)까지 도달해 물리적 파괴 명령을 하달하는 구조는, 규제 당국의 법적 감사관들에게 '명백한 컴플라이언스 위반 및 방임'으로 진단받게 됩니다.
네트워크 입구에서 한번 인증을 거쳤다는 이유만으로 내부 제어기 접근까지 암묵적 신뢰를 허용하는 방식은 이제 법률상 합법적인 보안 조치로 인정받지 못합니다. 무단 제어 명령 한 줄로 인프라가 마비되었을 때, "방화벽이 설치되어 있었다"는 변명은 더 이상 법적 처벌과 천문학적인 벌금을 막아주는 방패가 되지 못합니다.
글로벌 규제 표준이 공통적으로 요구하는 자격증명 분리와 제어 권한 격리
백악관 행정명령의 제로 트러스트 지침, NIST SP 800-82r4 표준, 그리고 EU NIS2 제21조는 구체적인 기술 적용 방식에서는 차이가 있으나, 공통적으로 '네트워크 접속 권한'이 '최말단 제어 명령 실행 권한'으로 암묵적 승인되는 것을 금지합니다. 특히 NIST SP 800-82r4는 엔터프라이즈 자격증명이 OT 제어 영역을 그대로 우회하지 못하도록 하는 '자격증명 분리(Credential Separation)'를 핵심 요건으로 명시하고 있습니다.
이러한 명령 실행 직전의 신원 재검증 구조는 외부 벤더 계정 탈취나 국가 배후 해커의 횡적 이동 공격을 현장에서 실시간 차단할 수 있는 유일한 기술적 이행안입니다. 네트워크 통로와 분리된 엔드포인트 신원 레이어를 배치함으로써, 기업은 유출된 정당한 계정으로 인한 인프라 장악 사고를 원천 차단함과 동시에 글로벌 규제 당국이 요구하는 엄격한 제로 트러스트 자격 증명 통제 항목을 완벽히 증명할 수 있습니다.
레거시 인프라의 전면 교체 없는 비침투적 제로 트러스트 구축 전략
컴플라이언스 준수를 위해 수백억 원을 들여 현장의 레거시 제어기를 전면 교체하거나 소스 코드를 수정하는 방식은 심각한 재무적·운영적 걸림돌이 됩니다. 산업 조사에 따르면 비계획적 공정 중단(Unplanned Downtime) 발생 시 제조업체는 시간당 평균 260,000달러(약 3억 5천만 원)에서 최대 수백만 달러의 막대한 손실을 입게 되므로, 공정 중단 위험을 초래하는 리플레이스 방식은 현장에서 수용될 수 없습니다.
따라서 최말단 제어기 앞단에 가볍게 결합하여 오프라인 환경에서도 단방향 동적 식별 코드를 생성하는 신원 검증 레이어를 도입하는 것은 현장 운용성과 규제 충족을 동시에 달성하는 최적의 해법입니다. 네트워크 통신에 의존하지 않는 동적 인증 구조를 통해 고정 비밀번호 폐지 및 자격 증명 분리라는 글로벌 법적 요구사항을 완벽히 이행함으로써, CISO는 공정 중단 없는 제로 트러스트 구축을 달성하고 경영진의 개인적 법적 책임을 완벽하게 해소할 수 있습니다.