|
사이버 위협 행위자들은 일반적으로 특정 조직보다는 특정 OT 제품을 표적으로 삼는다. 업계가 경각심을 갖고 모범 사례를 실천할 수 있도록 돕기 위해 미국 국토안보부 산하 사이버보안 및 인프라 보안국(CISA)은 글로벌 기여자들과 협력하여 여러 OT 제품이 설계상 보안 원칙에 따라 설계되거나 개발되지 않은 방법을 설명하는 문서를 작성했다. 즉, 이러한 하드웨어 및 소프트웨어 구성 요소는 일반적으로 인증, 소프트웨어 취약성, 제한된 로깅, 안전하지 않은 기본 설정 및 비밀번호와 관련하여 취약점을 가지고 있다.
11개의 국제적으로 인정받는 보안 기관이 이 문서를 인증하고 공식 인장을 부착하는 등 이 문서가 운영 기술(OT) 커뮤니티와 이 업계에 서비스를 제공하는 공급업체에게 올바른 조언이라는 것은 당연한 일이다. 이러한 기관에는 다음이 포함된다.
- 미국 사이버 보안 및 인프라 보안국(CISA)
- 미국 연방수사국(FBI)
- 독일 연방정보보안청(BSI)
- 미국 국가안보국(NSA)
- 네덜란드 국가사이버보안센터(NCSC-NL)
- 미국 환경 보호국(EPA)
- 뉴질랜드 국가 사이버 보안 센터(NCSC-NZ)
- 캐나다 사이버 보안 센터(CCCS)
- 영국 국가 사이버 보안 센터(NCSC-UK)
- 통신 네트워크, 콘텐츠 및 기술 총괄국(DG CONNECT), 유럽 위원회
- 호주 신호국의 호주 사이버 보안 센터(ASD의 ACSC)
문서 작성에 기여한 저자 중 한 명인 OPC 재단 북미 지역 디렉터 Michael Clark은 “이 문서는 몇 달 동안 준비해 왔으며, 이제 시의적절하게 공개되어 OT 소유자와 운영자를 위한 지침이 잘 정리되어 있습니다. 이 문서에 설명된 원칙과 모범 사례를 따르면 OT 소유자와 운영자는 중요 인프라를 효과적으로 보호할수 있으므로 위협 행위자가 방해 행위를 성공적으로 수행하기가 더 어려워집니다.”라고 설명했다.
사이버 보안 및 인프라스트럭처 보안 기관(CISA)의 ICS 전문가인 매튜 로저스 박사는 이 문서의 작성 동기를 설명하면서 “상호 연결에 대한 비즈니스 동인과 세분화를 가능하게 하는 엣지 디바이스의 손상으로 인해 위협 행위자가 OT 네트워크에 액세스할 위험이 증가하고 있습니다.”라고 설명했다. OT를 위한 수요에 따른 보안 지침은 자산 소유자, 정부, 산업 자동화 및 제어 시스템 공급업체, OPC 재단과 같은 업계 그룹이 모두 각자의 고유한 관점과 주제 전문성을 바탕으로 보다 유연하고 탄력적인 구현을 위해 협력한 결과물이며, 몇 년 후에는 ‘레거시’라는 꼬리표를 떼어낼 수 있는 구현을 만들 수 있을 것입니다.”라고 덧붙였다. 로저스 박사는 “자산 소유자는 새로운 OT 장비 조달을 고려할 때 이 지침을 공급업체와 조달 담당자에게 전달해야 합니다.”라고 강조했다.
OPC 재단의 보안 실무 그룹 회장인 Randy Armstrong은 “이 문서에는 OPC UA 표준의 비전에 부합하는 기능 체크리스트가 요약되어 있습니다. 이러한 기능을 통해 자산 소유자는 관점 공급업체에 구체적인 요구사항을 제시할 수 있으므로 소유자/운영자는 최신 사이버 보안 위협으로부터 공장을 보호할 수 있습니다.”라고 주장했다. 암스트롱은 “이 문서는 또한 자산 소유자가 설계 원칙에 따른 보안과 관련하여 공급업체와의 대화를 전환할 수 있는 귀중한 도구 역할을 합니다.”라고 강조했다.
<자료 : OPC Foundation>
|
