원전 사이버보안, 자산 식별부터 복구 훈련까지 실패를 줄이는 순서

• 목록
• 답변
• 글쓰기
• 옵션
  • 수정
  • 삭제

발전소 제어망에 방화벽을 추가하고 백신을 설치했는데도 감사에서 취약점이 연달아 발견되는 경우가 있습니다. 장비가 부족해서라기보다 무엇을 보호해야 하는지 확인하기 전에 보안 제품부터 도입한 순서가 문제인 때가 많습니다.

원전 사이버보안은 일반 사무실의 정보보안과 출발점이 다릅니다. 기밀성도 중요하지만 운전 설비에서는 안전 기능의 가용성과 신뢰성이 우선이며, 검증되지 않은 패치나 무리한 점검 자체가 설비에 부담을 줄 수 있습니다. 다음은 현장에서 반복되는 실패를 자산 식별, 통신 경로 확인, 변경 관리, 공급망 검증, 복구 훈련의 순서로 살펴본 내용입니다.

1. 보안 장비보다 먼저 보호 자산의 경계를 그립니다

엑셀 목록만 믿다가 빠지는 자산 누락

가장 흔한 첫 번째 실수는 자산대장에 서버와 운영자 단말만 기록하는 것입니다. 실제 공격 경로는 엔지니어링 워크스테이션, 휴대용 진단 장비, 시각 동기화 장치, 네트워크 프린터, 원격 유지보수 노트북처럼 눈에 덜 띄는 곳에서 열릴 수 있습니다. 특히 설비 개선 공사 뒤 임시로 연결한 장치가 철거되지 않았거나, 단종 장비를 대체하면서 새로운 통신 포트가 생겼는데 문서에는 반영되지 않는 사례를 경계해야 합니다.

자산 식별은 단순한 재고조사가 아닙니다. 해당 장치가 어떤 안전·운전 기능에 관여하는지, 고장이나 조작이 발생했을 때 어느 계통까지 영향이 이어지는지를 함께 기록해야 합니다. 원자력이 에너지원으로서 어떤 특성을 갖는지 먼저 확인하고 싶다면 원자력의 기본 개념을 참고할 수 있습니다. 다만 개념적 중요도와 실제 사이버보안 등급은 같지 않으므로, 현장 분류는 적용 법령과 사업자 절차에 따라 수행해야 합니다.

실패를 줄이려면 도면, 구매 목록, 네트워크 설정, 현장 실물을 서로 대조해야 합니다. 자동 검색 도구만 무턱대고 돌리는 행동도 피해야 합니다. 오래된 제어 장치는 과도한 탐색 패킷에 예기치 않게 반응할 수 있으므로 제작사 자료와 시험 환경의 결과를 확인한 뒤 승인된 방식으로 조사해야 합니다.

• 하지 말아야 할 일: 자산대장의 장비명과 IP 주소만 보고 조사를 끝내기
• 확인할 항목: 기능, 위치, 소유 부서, 펌웨어, 통신 상대, 이동식 매체 사용 여부
• 교차 검증: 논리 네트워크 도면과 케이블·포트의 물리적 연결 상태 비교
• 변경 추적: 신규 설치뿐 아니라 철거, 임시 연결, 예비품 교체까지 이력에 포함
• 안전 원칙: 능동형 스캔은 영향 평가와 작업 승인을 거쳐 제한적으로 수행

현장 팁: 자산 수량이 정확한지만 묻지 말고 “이 장치가 멈추거나 잘못된 값을 보내면 어느 운전 판단이 달라지는가?”를 물어야 보호 우선순위가 보입니다.

2. 망분리 표시에 안심하지 말고 실제 통신을 따라갑니다

도면에는 없던 우회 경로가 사고를 키웁니다

두 번째 실패는 제어망과 업무망 사이에 선을 하나 그어 놓고 망분리가 끝났다고 판단하는 것입니다. 데이터 연계 서버, 유지보수용 임시 회선, 무선 기능이 켜진 노트북, 양방향으로 설정된 전송 장치가 있으면 종이 위의 분리와 실제 경계가 달라집니다. 외부 인터넷이 직접 연결되지 않았더라도 이동식 저장매체와 협력업체 장비가 경계를 건널 수 있다는 점도 놓치기 쉽습니다.

통신 흐름은 출발지와 목적지만 기록해서는 부족합니다. 어떤 프로토콜과 포트를 사용하는지, 누가 연결을 시작하는지, 평상시 빈도와 데이터 방향은 어떤지까지 기준선을 만들어야 합니다. 예를 들어 상태 정보는 상위망으로만 전달되어야 하는데 하위 제어영역으로 세션이 생성된다면 단순 설정 오류인지, 유지보수 예외인지, 승인되지 않은 경로인지 확인해야 합니다. 여러분의 설비에서는 야간이나 정비 기간에만 나타나는 통신도 설명할 수 있습니까?

모든 연결을 즉시 차단하는 방식 역시 정답은 아닙니다. 운전 기록 전송이나 시간 동기화처럼 필요한 기능을 이해하지 않고 규칙을 바꾸면 감시 기능이 끊기거나 경보가 누락될 수 있습니다. 먼저 관찰하고, 소유 부서와 용도를 확인하고, 시험 환경에서 영향을 검증한 다음 제한하는 순서가 안전합니다. 허용 목록은 한 번 만들어 두는 문서가 아니라 실제 흐름과 계속 대조해야 하는 운전 기준입니다.

1. 최신 논리·물리 구성도에서 보안 구역과 경계 장치를 표시합니다.
2. 승인된 수동 수집 또는 안전성이 검증된 감시 방식으로 정상 통신을 관찰합니다.
3. 각 흐름에 업무 목적, 책임자, 사용 기간과 승인 근거를 연결합니다.
4. 목적이 불분명한 연결은 즉시 삭제하기보다 격리 조건과 설비 영향을 먼저 평가합니다.
5. 시험 설비에서 규칙을 검증한 뒤 변경 승인과 복구 계획을 갖추고 적용합니다.
6. 정비 종료 후 임시 계정·회선·방화벽 규칙이 제거됐는지 다시 확인합니다.

일방향 장치도 설정과 운영이 틀리면 허점이 됩니다

일방향 전송 장치를 설치했다는 사실만으로 데이터 경로가 완벽하게 통제되는 것은 아닙니다. 장치 양쪽의 서버 관리 포트, 장애 대응용 우회 절차, 관리자의 공용 계정이 별도 위험을 만들 수 있습니다. 장애 때 편의를 위해 임시 양방향 연결을 허용했다가 해제하지 않는 관행은 특히 피해야 합니다.

• 관리 인터페이스가 어느 보안 구역에 연결되는지 확인합니다.
• 장애 시 우회 연결의 승인권자와 최대 유지 시간을 정합니다.
• 전송 실패가 발생했을 때 안전 기능에 미치는 영향을 별도로 분석합니다.
• 설정 백업 파일에도 운영망과 같은 접근통제와 무결성 검증을 적용합니다.

3. 패치와 이동식 저장매체를 서두르다 운전 신뢰성을 해치지 않습니다

최신 패치가 언제나 가장 안전하다는 오해

세 번째 실패는 공개 취약점 소식을 본 직후 운영 설비에 패치를 적용하는 것입니다. 일반 PC에서는 빠른 업데이트가 합리적일 수 있지만 원전 계측제어 환경에서는 호환성, 재기동 필요 여부, 통신 지연, 드라이버 충돌과 제작사 보증 조건까지 검토해야 합니다. 취약한 상태를 방치해서도 안 되지만 검증하지 않은 패치로 설비 가용성을 떨어뜨리는 것도 보안 실패입니다.

패치를 곧바로 적용하기 어렵다면 아무 조치도 하지 않는 선택으로 이어져서는 안 됩니다. 취약 서비스 비활성화, 접근 가능한 관리 단말 제한, 방화벽 규칙 강화, 로그 감시 확대, 물리적 접근 통제 같은 보완책을 함께 설계해야 합니다. 이때 “인터넷이 없으니 공격받지 않는다”는 문구는 근거가 될 수 없습니다. 반입 노트북이나 저장매체, 공급업체 유지보수 과정처럼 현실적인 유입 경로를 기준으로 위험을 평가해야 합니다.

비용을 산정할 때도 라이선스 가격만 비교하면 실패합니다. 시험용 동일 장비 확보, 제작사 기술지원, 계획정비 시간, 변경 검증 인력, 적용 실패 시 복구 비용이 전체 비용을 좌우합니다. 오래된 제어기의 경우 호환 부품을 확보하거나 대체 제어계를 설계하는 비용이 더 커질 수도 있으므로 단일 가격대를 제시하기보다 도입비·검증비·운영비·복구비로 구분해 예산을 잡는 편이 현실적입니다.

• 즉시 적용: 안전성과 호환성이 검증됐고 공격 가능성과 영향이 큰 취약점
• 계획 적용: 재기동이나 정비 창구가 필요하며 임시 보완통제가 가능한 항목
• 적용 보류: 제작사 미지원 또는 기능 충돌이 확인돼 대체 통제가 필요한 항목
• 기록 필수: 판단 근거, 승인자, 보완조치, 재평가 날짜와 철회 조건

USB 검사만 통과하면 안전하다는 착각

이동식 저장매체를 별도 검사 PC에 꽂았다는 사실만으로 안전이 확보되지는 않습니다. 검사 장비의 탐지 엔진이 오래됐거나, 파일 형식을 제대로 분석하지 못하거나, 검사 뒤 다른 환경에서 다시 사용하면 통제의 의미가 사라집니다. 자동 실행을 차단하지 않은 채 장치를 먼저 연결하는 절차도 흔한 역전입니다.

허용된 전용 매체를 사용하고 반입 목적, 파일 출처, 해시값, 사용 장비, 작업자와 시간을 기록해야 합니다. 가능하면 필요한 파일만 새 매체로 옮기고 읽기 전용 전달 방식을 활용합니다. 사용 후에는 매체 회수와 데이터 폐기까지 확인해야 흐름이 닫힙니다. 에너지 설비의 기술적 맥락을 폭넓게 이해하려면 에너지 용어와 특성도 함께 살펴볼 만합니다.

1. 작업 승인 전에 파일 출처와 필요한 장비를 특정합니다.
2. 최신 검사 환경에서 악성코드 탐지와 파일 무결성 확인을 수행합니다.
3. 대상 설비와 분리된 검증 환경에서 실행·설치 영향을 시험합니다.
4. 현장에서는 최소 권한 계정으로 승인된 파일만 사용합니다.
5. 작업 후 생성 파일, 로그, 매체 회수 여부와 변경 결과를 기록합니다.

패치가 늦는 이유를 숨기지 마세요. 왜 보류했는지와 그동안 무엇으로 위험을 낮췄는지가 명확해야 기술적 판단이 단순 방치로 바뀌지 않습니다.

4. 공급업체 계정과 원격 정비를 편의 기능으로 두지 않습니다

공용 관리자 계정이 책임 추적을 무너뜨립니다

네 번째 실패는 정비 시간을 줄이기 위해 협력업체 직원 여러 명에게 하나의 관리자 계정을 공유하게 하는 것입니다. 작업이 끝난 뒤 누가 설정을 바꿨는지 확인하기 어렵고, 인력이 교체돼도 비밀번호가 그대로 남을 가능성이 큽니다. 계정은 개인별로 발급하고 작업 기간과 대상 장비를 제한하며, 필요할 때만 활성화하는 방식이 기본입니다.

원격 정비도 상시 연결보다는 요청, 승인, 접속, 감시, 종료의 흐름이 보여야 합니다. 다중 인증을 적용했다는 사실만으로 충분하지 않습니다. 접속을 중계하는 장비가 안전하게 관리되는지, 파일 전송이 통제되는지, 세션 기록을 누가 검토하는지까지 확인해야 합니다. 원격 세션 종료 뒤 계정 비활성화와 임시 방화벽 규칙 삭제가 누락되면 다음 공격에 쓰일 통로가 남습니다.

계약 단계에서 보안 요구사항을 넣지 않고 납품 직전에 자료를 요구하는 것도 반복되는 실수입니다. 소프트웨어 구성요소, 알려진 취약점 처리 방식, 보안 업데이트 제공 기간, 사고 통보 기한, 원격지원 절차와 단종 계획을 구매 조건에 포함해야 합니다. 최저가만 기준으로 공급자를 선택하면 장기간 유지되는 원전 설비의 생애주기 비용과 위험을 제대로 반영하기 어렵습니다.

• 공용 계정 사용 금지와 개인별 작업 기록 보존을 계약서에 명시합니다.
• 원격 접근은 기본 차단 상태로 두고 승인된 시간에만 개방합니다.
• 접속 중에는 발전소 측 담당자가 작업 화면과 명령을 감독합니다.
• 반입 프로그램과 설정 파일은 서명 또는 해시값으로 무결성을 확인합니다.
• 납품사가 사고나 취약점을 발견했을 때 통보할 연락망과 기한을 정합니다.
• 지원 종료 전에 대체품 시험과 데이터 이전 계획을 시작합니다.

납품 검수에서 기능만 확인하면 놓치는 것

설비가 정상 동작한다는 기능 시험만 통과시키고 기본 비밀번호, 불필요 서비스, 디버그 포트와 로그 설정을 확인하지 않으면 취약한 초기 구성이 그대로 운영에 들어갑니다. 개발용 계정이나 제조 단계의 원격지원 기능이 남아 있는지도 살펴야 합니다. 검수 문서에는 보안 설정 기준과 예외 항목, 예외 해소 기한을 구체적으로 기록하는 것이 좋습니다.

소프트웨어 구성명세가 제공되더라도 목록을 보관하는 데 그치면 효과가 없습니다. 새 취약점이 공개됐을 때 해당 구성요소가 어느 설비에 들어 있는지 빠르게 찾아 영향도를 판단할 수 있어야 합니다. 공급업체가 모든 답을 줄 것이라고 기대하지 말고 사업자 내부의 자산대장, 변경 기록, 취약점 관리 절차와 연결해야 합니다.

1. 공장 인수시험 전에 보안 설정 기준과 제출 자료를 합의합니다.
2. 출고 이미지와 설치 후 이미지의 무결성을 비교합니다.
3. 기본 계정, 서비스, 포트, 암호 정책과 감사 로그를 확인합니다.
4. 발견된 예외는 위험 소유자와 해소 기한을 지정한 뒤 인수 여부를 판단합니다.
5. 운영 인계 때 백업본, 복구 절차, 기술지원 연락망도 함께 검증합니다.

5. 복구 시간을 직접 재고 바뀌는 위협 기준을 다시 확인합니다

백업 파일의 존재와 복구 가능성을 혼동하지 않습니다

다섯 번째 실패는 백업 성공 메시지를 보고 복구 준비가 끝났다고 판단하는 것입니다. 백업 파일이 손상됐거나 암호화 키를 잃어버렸거나, 새 하드웨어에서 구형 소프트웨어가 실행되지 않으면 실제 사고 때 사용할 수 없습니다. 설정 파일만 있고 운영체제 이미지, 라이선스, 드라이버와 절차서가 빠진 경우에도 복구 시간이 예상보다 크게 늘어납니다.

복구 훈련에서는 가장 낙관적인 시나리오를 피해야 합니다. 담당자가 부재하고, 주 복구 서버가 사용할 수 없으며, 일부 네트워크도 격리된 조건을 넣어 보십시오. 깨끗한 장비를 확보하고 백업의 무결성을 확인한 뒤 시스템을 재구축해 정상 운전 상태를 확인하기까지 실제 시간을 재야 합니다. 목표 복구시간은 문서에 적은 희망치가 아니라 시험 결과와 인력 조건으로 입증해야 합니다.

사이버 사고 대응 훈련을 정보보안팀만의 행사로 만드는 것도 좋지 않습니다. 운전, 계측제어, 안전, 방사선방호, 정비, 구매, 홍보와 경영 의사결정자가 각자의 판단을 연습해야 합니다. 공격 징후가 설비 고장처럼 보일 때 누가 운전 조치를 결정하고, 어떤 증거를 보존하며, 외부 기관에는 어느 기준으로 보고할지 사전에 맞춰야 혼선을 줄일 수 있습니다.

• 복구 자원: 오프라인 백업, 설치 이미지, 라이선스, 예비 장비, 케이블과 절차서
• 검증 항목: 백업 해시값, 악성코드 검사, 복원 후 기능시험과 통신 기준선 비교
• 시간 기록: 탐지, 격리, 의사결정, 재구축, 기능 확인에 걸린 시간을 각각 측정
• 인력 조건: 야간·휴일 연락망과 대체 담당자가 실제로 작동하는지 시험
• 증거 보존: 로그와 저장장치를 훼손하지 않도록 수집 책임과 보관 절차 지정

법령·지침·지원 종료일은 고정값이 아닙니다

원전 사이버보안의 세부 요구사항은 국가 규제, 사업자 절차, 설비 등급과 운영 조건에 따라 달라질 수 있습니다. 또한 운영체제와 보안 제품의 지원 종료일, 공개 취약점, 공급업체 연락처도 시간이 지나면 바뀝니다. 따라서 이 글의 순서는 실무 판단의 틀로 활용하되, 실제 적용 전에는 현재 유효한 법령·규제기관 지침·사업자 승인 절차·제작사 공지를 다시 확인해야 합니다.

분기나 반기처럼 일정만 정해 재검토하면 긴급한 변화를 놓칠 수 있습니다. 중대한 취약점 공개, 설비 변경, 협력업체 교체, 사고나 이상 통신 발견, 지원 종료 통보를 별도 재평가 조건으로 두는 편이 좋습니다. 원자력 기술의 용어와 범위를 다른 관점에서 확인하려면 원자력 관련 설명을 참고하되, 보안 통제의 구체적 적용 여부는 최신 공식 기준을 우선해야 합니다.

마지막으로 개선 항목을 “보안 강화”처럼 모호하게 남기지 마십시오. 예를 들어 “다음 계획정비 전까지 엔지니어링 단말 12대의 개인 계정 전환을 완료하고 접속 로그를 시험한다”처럼 대상, 책임자, 기한과 검증 방법을 적어야 실행 여부를 판단할 수 있습니다. 위협 환경과 공급망은 계속 변하므로 복구 훈련에서 확인된 시간과 실패 원인 역시 다음 훈련의 조건에 반영해야 합니다.

1. 적용 중인 법령과 규제 지침의 개정 여부를 공식 출처에서 확인합니다.
2. 핵심 소프트웨어와 장비의 지원 종료일을 자산대장에 연결합니다.
3. 신규 취약점이 공개되면 자산, 통신 경로, 안전 기능 영향을 함께 재평가합니다.
4. 훈련에서 실패한 조치는 책임자와 완료 기준을 지정해 변경 관리로 넘깁니다.
5. 설비나 공급자가 바뀔 때 복구 절차와 비상 연락망도 동시에 갱신합니다.
6. 다음 훈련에서는 이전에 성공한 조건을 반복하기보다 새로운 장애 조건을 추가합니다.