스마트 제조, 예지보전(Predictive Maintenance), 그리고 클라우드 기반 데이터 분석의 급격한 확산은 전통적인 산업제어시스템(ICS)의 아키텍처를 근본적으로 흔들고 있습니다. 오랜 기간 OT 보안의 절대적 원칙으로 여겨졌던 ISA-95 기반의 퍼듀 모델(Purdue Enterprise Reference Architecture)은 물리적 공정과 기업 IT망을 엄격한 계층(Level 0~5)으로 분리하고, 그 사이에 산업용 DMZ(iDMZ)를 두어 위협의 확산을 차단하는 구조였습니다.
그러나 최신 OT 환경에서는 클라우드 플랫폼 및 에지(Edge) 컴퓨팅이 최말단 제어기 및 현장 엔드포인트 기기들과 직접 데이터를 주고받는 Cloud-to-PLC 직결 통신이 일반화되고 있습니다. 이러한 아키텍처의 변화는 기존 경계 중심 보안 방어선을 무력화하며, OT 최말단 제어 영역을 새로운 보안 사각지대로 몰아넣고 있습니다.
퍼듀 모델의 구조적 해체와 NIST SP 800-82 Rev 3 분석
전통적인 퍼듀 모델에서는 IT 네트워크(Level 4/5)에서 발생한 위협이 최말단 제어기(Level 1)나 현장 장치에 도달하려면 상위의 여러 계층과 iDMZ에 설치된 방화벽, Jump Host 등을 단계별로 거쳐야 했습니다.
그러나 클라우드 기반의 설비 최적화 솔루션이나 IIoT 게이트웨이가 현장에 도입되면서, 데이터 흐름과 제어 명령이 Intermediate Level(Level 2/3)을 우회(Bypass)하여 클라우드에서 레벨 1 영역으로 직접 연결되는 경로가 형성되었습니다.
미국 국립표준기술연구소의 NIST SP 800-82 Rev 3 및 IEC 62443 표준에서도 명시하고 있듯, 현대의 클라우드 연동형 OT 아키텍처는 고전적인 퍼듀 계층 구조에 더 이상 깔끔하게 매핑되지 않습니다. 경계 구분이 모호해지는 '경계 해체(Perimeter Disintegration)' 현상으로 인해, 과거 경계 방화벽에만 의존하던 다층 방어(Defense-in-Depth) 전략은 그 효용성을 크게 상실하고 있습니다.
Cloud-to-PLC 직결 경로가 HMI와 최말단 제어기에 미치는 파급력
클라우드 및 에지 단말이 OT 내부 망으로 직접 연결될 때 발생하는 가장 큰 구조적 위험은 엔드포인트 접속 주체에 대한 권한 검증 부재입니다.
- 경계 통제의 우회: IT/클라우드 단에서 IIoT 전용 프로토콜(MQTT, OPC UA 등)이나 API를 통해 제어 신호를 직접 전송할 경우, 기존 iDMZ의 통제 포인트가 작동하지 않거나 단순 패스스루(Pass-through) 상태가 됩니다.
- 클라우드 자격 증명 탈취의 파급력: 공격자가 클라우드 관리자 계정이나 에지 게이트웨이의 API 키를 탈취할 경우, 경계망의 저지선 없이 현장의 HMI(인간-기계 인터페이스)나 EWS(엔지니어링 워크스테이션)를 거치지 않고도 제어기로 직접 접근하는 직통 경로를 확보하게 됩니다.
통신 채널 암호화와 엔드포인트 접속 검증의 격차: 클라우드와 현장 엔드포인트 간 통신 구간이 TLS/VPN 등으로 암호화되어 있더라도, 이는 채널 구간의 보안을 의미할 뿐 수신된 접속 요청이 '실제 승인된 원 작업자의 정당한 엔드포인트 접근인가'에 대한 주체 식별을 보장하지는 않습니다.
현장 엔드포인트 기기의 자원 한계와 부인 방지 부재
가장 치명적인 문제는 통신 수신점인 PLC(프로그래머블 로직 컨트롤러), HMI, RTU(원격 단말 장치) 등 OT 엔드포인트 기기 자체의 기술적 한계에 있습니다. 현장의 엔드포인트 장비들은 실시간 제어(Deterministic Control)와 연속 가동성을 최우선으로 설계된 장치로, 복잡한 암호화 알고리즘이나 다중 요소 인증(MFA), 무거운 보안 에이전트(EDR)를 자체적으로 처리할 컴퓨팅 자원(CPU, 메모리)이 절대적으로 부족합니다.
결과적으로 산업용 제어 프로토콜을 통해 전달되는 패킷에 대해 PLC나 HMI는 접속 시도의 주체를 제대로 가리지 못하고 수신된 명령을 무조건 신뢰하여 실행합니다. 클라우드 경로를 통해 악의적인 제어 패킷이 주입되더라도 레벨 1 엔드포인트 단계에서는 접속 자체를 거부할 수 없으며, 설령 사고가 발생하더라도 기기 내부에는 '어떤 인간 엔지니어가 접속을 인가했는지'에 대한 불변의 감사 로그(Audit Trail)가 남지 않는 심각한 부인 방지 부재 현상이 발생합니다.
경계 통제에서 엔드포인트 접속 신뢰 체계로 전환돼야
디지털 전환(DX)과 글로벌 공장 통합 관제의 흐름 속에서 Cloud-to-PLC 연동을 무작정 차단하는 것은 현실적인 대안이 될 수 없습니다. CISO가 취해야 할 전략적 방향은 완벽한 물리적 경계 격리에 대한 미련을 버리고, 실행 전 최말단 엔드포인트 접속 시점에 절대적 주체 식별과 권한을 검증하는 체계를 구축하는 것입니다.
클라우드, 에지, HMI, EWS 등 명령이 출발하거나 거쳐오는 지점이 어디이든 상관없이, 최말단 제어기(PLC)에 도달하는 첫 접속 시점에 작업자의 신원과 제어 권한(Control Privilege)을 일회성/독자적 메커니즘으로 완벽히 입증할 수 있어야 합니다.
