스마트공장 보안 가이드라인 만들었는데…공장 내 책임자 '없다'

[아이뉴스24 최은정 기자] 국내 스마트공장 전환 추세가 빨라지면서 보안에 대한 중요성이 더 커진 가운데, 실제 공장에서는 이를 책임하고 담당할 전문인력이 미비한 것으로 나타났다.

18일 보안업계에 따르면 ▲전문지식을 가진 인력 부재 ▲인력비 부담 증가 등 요인으로 대다수의 공장들은 운영기술(OT)·산업제어시스템(ICS) 보안 책임자를 두지 않고 있는 상황인 것으로 확인됐다.

지난해 12월 과학기술정보통신부와 한국인터넷진흥원(KISA)은 '스마트공장 보안모델' 가이드라인을 첫 선보이고, 공장의 보안 담당자가 보안위협을 식별·대응하는 방법과 공장에 적용 가능한 보안 기술·솔루션을 제시한 바 있으나 무용지물인 셈이다.

지난달 마련된 스마트공장 모안보델은 정부의 '5세대 통신(5G)+ 핵심서비스 융합보안 강화 사업' 일환으로, 지난 2019년 10월 정부가 5G 서비스의 보안 내재화를 위해 관련 강화 방안을 수립한데 따른 후속조치로 시행됐다.

당시 자율주행차, 스마트시티, 디지털 헬스케어, 실감콘텐츠를 포함해 스마트공장이 5G+ 5대 핵심서비스로 꼽혔다. 해당 분야별로 보안성 시험, 보안위협 진단, 관련 대응방안 등을 담은 보안모델을 각각 개발하기로 했으며, 현재 모든 분야에 대한 보안모델이 마련된 상태다.

조원균 포티넷코리아 대표는 "대다수 고객사는 OT보안 사업에 대한 거버넌스 체계가 제대로 잡혀있지 않아 심도있는 기술 논의를 진행하는데 어려움이 있다"며 "가령 누가 책임자로서 일을 진행하고, 예산을 배정하고, 관련 업무를 배정할지 등이 정리가 되지 않고 있다"고 강조했다.

이어 "전문지식을 가진 총 책임자가 없다는 점이 가장 큰 문제"라고 말했다.

업계에 따르면 현재 공장의 OT·ICS 부문 보안은 통상 본사의 IT 사이버 보안 인력들이 담당하고 있다.

또 다른 국내 보안기업 관계자 역시 "최근 (고객사에서) OT·ICS에 대한 관심도는 높아지긴 했으나 실질적인 책임자가 없다는 점은 몇년째 이어지고 있어 어려운 점이 많다"고 토로했다.

실제 공장 실무 현장에서는 별도 보안 관련 인력이 필요없다는 주장이다. 스마트공장이 폐쇄망에서 운영되는 경우가 많다는 이유에서다.

익명을 요구한 대기업 제조 공장 관계자는 "스마트공장이라고 해도 폐쇄망에서 기계가 돌아가고, 기계가 단순히 데이터를 수집하는 수준으로 '스마트화'된 경우가 많아 인터넷 등 외부 접촉점이 적다"며 "이 경우 관리 인력이 필요가 없다고 본다"고 말했다. 관리자를 추가로 채용하는 경우에 본사의 인건비 부담도 있다고 했다.

이와 함께 현재 인력시장에서 OT·ICS 전문가가 부족하다는 점도 언급했다.

이 관계자는 "ICS 보안을 하려면 공장의 하드웨어뿐 아니라 소프트웨어 등 사이버 보안에 대한 이해도가 높아야 하는데 현재로선 이러한 전문인력 자체가 부족하다"고 말했다.

공장 표준화를 통해 보안을 일괄적으로 적용해야 한다는 의견이 있으나 이 역시 현실적으로 적용이 힘들다는 것이 업계 중론이다. 현장에서는 공장을 표준화하는 것 자체가 어렵다고 보고 있다. 이미 사용중인 기계를 스마트화하는 과정에서 모든 기계를 똑같은 수준으로 표준화하는 것 자체가 불가능하기 때문이다.

이 관계자는 "공장을 스마트화하는 정도 별로 구분해서 보안 체계 급을 나눠야 한다고 생각한다"며 "가령 단순히 정보를 수집만 하는데 각종 보안 제품을 추가로 붙일 이유가 없다"고 주장했다.

배병환 KISA 융합기반보호팀 선임연구원은 "정보보호 책임자가 생산영역 부문의 이해도와 전문성을 높여서 기존 IT 영역을 넘어 OT영역에 대한 보안까지 고려해야 한다"고 말했다.

업계 관계자는 "그나마 최고경영자(CEO), 최고정보관리책임자(CIO) 등 C레벨 급에서 인식이 높아져 보안 모델 등을 받아들일 여력은 생긴 것은 긍정적"이라고 말했다.

최은정 기자의 다른 기사 보기

• 안랩 "랜섬웨어 공격자, OT환경까지 타깃 확대"

• 국내 보안업계, 올해 OT·ICS 보안사업 '눈독'