인공지능과 같은 첨단 기술과 시스템 운영 프로세스와의 통합이 필수가 되어 버린 시대에서 강력한 사용자 접근 제어와 신원 및 접근 관리(IAM)는 절대 소홀히 다뤄져서는 안 됩니다. 특히, OT 환경의 급속한 발전으로 사이버 위협에 더 취약해짐에 따라 주요 인프라에 대한 철저한 인증 과정(authentication process)은 필수라고 해도 과언이 아닙니다.
우리가 흔히 말하는 인가(authorisation)는 사이버 위협으로부터 시스템을 지키는 문과 같습니다. 승인된 사용자만 민감한 시스템과 데이터에 접근할 수 있게 함으로써 무단 침입과 잠재적인 중단 위험을 줄이는 것이죠. 따라서 적절한 사용자 관리, 즉 접근 자격 증명의 정기적인 업데이트와 모니터링은 OT 환경의 무결성을 유지하는 데 중요한 역할을 합니다. 역할 기반 접근 제어, 다중 요소 인증(MFA), 그리고 정기적인 감사와 같은 최선의 실천을 따름으로써, 각 기관과 기업들은 사이버 보안 상태를 강화할 뿐만 아니라 IEC 62443 및 NIS2와 같은 산업 표준과 규제를 준수할 수 있습니다.
결국, 사용자 접근 권한을 세심하게 관리하는 것은 단순한 기술적 필요가 아니라, 중요한 인프라 시스템의 운영 회복력과 보안을 강화하는 전략적 임무인 셈입니다.
OT 환경에서의 인가와 관련된 주요 규제
IEC 62443
IEC 62443 표준은 특히 FR2(기초 요구 사항 2)에서 사용자 접근 제어에 중점을 둡니다. 주요 내용은 다음과 같습니다:
- 역할 기반 접근 제어(RBAC): 사용자가 자신의 역할에 필요한 정보와 자원에만 접근하도록 보장합니다. 이를 통해 무단 접근과 잠재적인 악용의 위험을 최소화합니다.
- 정책 기반 접근 제어: 접근 권한 부여 및 관리 방법을 정의하고 이를 강제하는 정책을 수립합니다. 이를 통해 접근 결정이 일관되게 이루어지고 조직의 정책에 맞게 관리됩니다.
- 인증(Authentication): 사용자가 접근 권한을 부여 받기 전에 강력한 인증 메커니즘을 사용하여 사용자의 신원을 확인합니다. 여기에는 비밀번호, 생체 인식, 또는 다중 요소 인증(MFA)이 포함될 수 있습니다.
- 인가(Authorisation): 인증이 완료되면 시스템은 사용자가 접근하고 수행할 수 있는 자원과 작업을 결정합니다. 이는 미리 정의된 역할과 정책에 기반합니다.
- 감사 및 책임 추적: 이 표준은 접근 시도 및 작업에 대한 로그와 모니터링의 중요성을 강조합니다. 이는 무단 활동이나 의심스러운 활동을 탐지하고 대응하는 데 도움이 됩니다.
이러한 제어를 구현함으로써 기관 및 기업들은 OT 환경의 보안을 크게 강화하고 내부자 위협과 외부 공격으로부터 보호할 수 있습니다.
NIS2EU 전역의 사이버 보안에 관한 지침인 NIS2는 다양한 분야에서 사이버 보안을 강화하기 위해 신원 및 접근 관리(IAM)의 중요성을 강조합니다. 주요 내용은 다음과 같습니다:
- 역할 기반 접근 제어(RBAC): 사용자가 자신의 역할에 필요한 정보와 자원에만 접근하도록 보장합니다.
- 최소 권한 원칙: 사용자는 자신의 업무를 수행하는 데 필요한 최소한의 권한만 부여 받습니다.
- 정기적인 접근 권한 검토: 조직은 정기적으로 접근 권한을 검토하고 업데이트하여 적합성을 유지해야 합니다.
- 상황별 접근 제한: 접근 요청의 상황, 예를 들어 위치, 시간 및 사용된 장치 등을 고려해야 합니다.
- 다중 요소 인증(MFA): 사용자의 신원을 확인하기 위해 강력한 인증 메커니즘, 특히 MFA를 요구합니다.
이러한 조치들은 조직이 사용자 접근을 통제하고, 민감한 데이터를 보호하며, NIS2 요구 사항을 준수하는 데 도움이 됩니다.
부적절한 인가 관리가 미치는 영향
OT 환경에서 적절한 인가 관리가 이루어지지 않으면 그 영향은 매우 심각하고 광범위할 수 있습니다.
- 보안 침해: 무단 접근은 데이터 유출을 초래할 수 있으며, 민감한 정보가 노출되고 운영 시스템의 무결성이 손상될 수 있습니다.
- 운영 중단: 중요한 시스템에 대한 무단 변경이나 접근은 운영 중단을 일으킬 수 있으며, 이는 생산 손실 및 재정적 피해로 이어질 수 있습니다.
- 안전 위협: 산업 환경에서 무단 접근은 안전 사고를 일으킬 수 있으며, 이는 직원과 대중에게 위험을 초래할 수 있습니다.
- 규제 미준수: 적절한 인증 제어를 구현하지 않으면 산업 규제와 표준을 준수하지 않게 되어 법적 처벌과 벌금이 부과될 수 있습니다.
- 평판 손상: 보안 사고와 침해는 조직의 평판을 해치며, 고객, 파트너 및 이해관계자 간의 신뢰를 약화시킬 수 있습니다.
부적절한 인가와 관련된 최근 CVE 사례
- CVE-2024-41969: WAGO 장치에서 사용되는 CODESYS V3 서비스의 취약점으로, 인증 메커니즘이 없어 권한이 제한된 원격 공격자가 CODESYS V3 서비스의 구성을 수정할 수 있습니다. 이로 인해 전체 시스템 접근 또는 서비스 거부(DoS) 공격이 발생할 수 있습니다. 이 취약점의 CVSS(Common Vulnerability Scoring System)는8점으로 위험(high) 수준입니다.
- CVE-2024-41967: 특정 장치에서 권한이 제한된 원격 공격자가 부팅 모드 구성을 수정할 수 있는 취약점으로, 이로 인해 펌웨어 업그레이드 과정에 변화가 생기거나 서비스 거부(DoS) 공격이 발생할 수 있습니다. 이 취약점의 CVSS(Common Vulnerability Scoring System)는1점으로 위험(high) 수준입니다.
- CVE-2024-41968: 권한이 제한된 원격 공격자가 장치의 도커(docker) 설정을 수정할 수 있는 취약점으로, 인해 제한적인 서비스 거부(DoS) 공격이 발생할 수 있습니다. 이 취약점의 CVSS(Common Vulnerability Scoring System)는4점으로 주의(medium) 수준입니다.
- CVE-2024-41974: 권한이 제한된 원격 공격자가 BACNet 서비스의 속성을 수정할 수 있는 취약점으로, BACNet 통신에 대한 서비스 거부(DoS) 공격이 발생할 수 있습니다. 이 취약점의 CVSS(Common Vulnerability Scoring System)는1점으로 위험(high) 수준입니다.
- CVE-2024-41970: 권한이 제한된 원격 공격자가 제한된 진단 데이터를 접근할 수 있는 취약점입니다. 이 취약점의 CVSS(Common Vulnerability Scoring System)는7점으로 주의(medium) 수준입니다.
OT 보안에서 인가 관리의 전략적 중요성
디지털 시대에서 OT 환경의 보안은 매우 중요합니다. 적절한 인가와 엄격한 사용자 접근 제어는 사이버 위협과 운영 중단으로부터 보호하는 첫 번째 방어선입니다. 강력한 신원 및 접근 관리 실천을 구현함으로써, 각 기관 및 기업은 사이버 보안 태세를 크게 강화하고, 승인된 직원만이 중요한 시스템과 데이터에 접근할 수 있도록 보장할 수 있습니다.
이러한 경계는 민감한 정보와 인프라를 보호할 뿐만 아니라 IEC 62443 및 NIS2 지침과 같은 산업 표준과 규제를 준수하는 데 도움이 됩니다. 또한, 접근 자격 증명의 정기적인 업데이트 및 감사 등 적절한 사용자 위생 문화를 조성하는 것은 OT 환경의 무결성과 안전성을 유지하는 데 필수적입니다.
결국, 사용자 접근 권한 관리가 단순한 기술적 필요가 아닌 전략적 임무로 자리 잡은 이유는, 점점 더 상호 연결된 세상에서 발전하는 위협으로부터 중요한 인프라 시스템을 보호하고 강화하는 역할을 하기 때문입니다.
