IT를 넘어 공정으로 향하는 OT 위협, 이제 개별 기업이 아닌 산업 생태계 차원의 공통 거버넌스 과제

본 리포트는 Dragos·Fortinet 등 최신 보안 데이터를 기반으로 OT 위협 지형의 구조적 변화와 제조업 침해사고 증가 추이를 짚고, 가용성이 최우선인 생산 현장의 특수성을 반영한 ISA/IEC 62443·NIST CSF 2.0 기반의 3단계 실행 로드맵을 제시합니다. 자세한 내용은 아래 리포트에서 확인할 수 있습니다.

 

리포트 핵심 내용 한눈에 보기

 

1. 공격자 생태계의 조직화 – Dragos가 2026년 보고서에서 전 세계적으로 추적 중인 OT 위협 그룹은 26개, 이 중 2025년 실제 활동이 확인된 그룹은 11개에 달하며, AZURITE·PYROXENE·SYLVANITE 등 신규 그룹이 제조·자동차·에너지 부문의 엔지니어링 워크스테이션을 직접 겨냥하고 있습니다. – IT 침투 이후 OT로 이동(Pivoting)하는 공격 경로가 정형화되면서, 개별 자산 탈취를 넘어 제어 루프(Control Loop) 자체를 지도화하는 2단계 공격이 관찰되고 있습니다.   2. 제조업 표적 공격의 정량적 증가 – Fortinet 조사에 따르면 제조업 사이버보안 사고는 2023년 245건에서 2024년 333건으로 1년 사이 약 36% 증가하여, 산업군 중 가장 가파른 증가세를 보이고 있습니다. – 네트워크를 통해 원격으로 악용 가능한 ICS 취약점 비중도 지속 확대되고 있어, 폐쇄망 신화에 의존한 기존 방어 전제가 더 이상 유효하지 않습니다.   3. 취약점 관리 체계의 구조적 한계 – 2025년 한 해 ICS-CERT·NVD에 등재된 취약점의 25%가 CVSS 점수 오류를 포함했고, 26%의 권고문은 벤더의 패치나 완화 방안조차 제공하지 못한 것으로 확인됐습니다. – Dragos의 위험 기반 분류 체계(Now·Next·Never)상 즉시 조치가 필요한 ‘Now’ 등급은 전체의 2%에 불과해, CVSS 점수만을 근거로 한 일괄 대응은 오히려 리소스를 왜곡시킬 수 있습니다.   4. 산업 생태계 내 리스크 전이 구조 – 보안사고 사례들 중, 고객정보 유출과 내부자료 유출 사고는 IT 영역에서 발생했음에도 기업 간 신뢰·연계망을 통해 관련 기업 전반의 보안 신뢰도에 영향을 미쳤습니다. – 국내 한 반도체 기업이 2020년 OT·ICS 전담조직을 신설하며 생산라인 보안에 선제 투자해 온 것과 달리, 업계 내 제조 기업 간 OT 보안 성숙도는 편차가 큽니다.   5. 제조 산업 특유의 가용성 리스크 – 반도체·배터리·화학 등 제조 산업 기업들의 생산 설비는 Purdue Model상 Level 0~2 구간에 밀집되어 있어, 패치 적용 자체가 생산 중단으로 이어질 수 있는 가용성 최우선 환경입니다. – IT 영역의 CIA(기밀성-무결성-가용성) 우선순위와 달리 OT 영역은 가용성-무결성-기밀성 순으로 재정렬되어야 하며, 이는 보안 대책의 설계 방식 자체를 달리 요구합니다.   6. 표준 기반 대응과 실행 로드맵 – IEC 62443과 NIST CSF 2.0을 축으로 한 이행 로드맵은 개별 사고 대응을 넘어, 계열사 전반에 공통 적용 가능한 진단·개선 언어를 제공합니다. – Ackerton Partners는 자산 가시성 확보 → 위험 기반 우선순위화 → 단계적 이행이라는 3단계 접근을 통해, 그룹 차원의 OT 보안 성숙도를 정량적으로 끌어올리는 방안을 제언합니다.

 

 

[FAQ]

 

Q1. 최근 OT 사이버 위협은 과거와 무엇이 달라졌나요?

지난 1년간 OT 위협은 양적 증가를 넘어 질적으로 변화했습니다. 공격자들은 공장 설비의 전체 연계 흐름을 파악한 뒤 실제 생산 공정을 조작하는 단계까지 접근하고 있으며, 신규 위협 그룹은 엔지니어링 워크스테이션을 표적으로 공정 데이터 탈취에, 기존 그룹은 설정·알람 데이터 추출과 공정 중지 유발 조건 조사에 나서고 있습니다. 이는 방어자 입장에서 단순한 ‘침해 여부’가 아니라 ‘공정 동작의 정상성’을 기준으로 판별 방식 자체를 전환해야 함을 의미합니다.

 

Q2. 폐쇄망으로 운영하면 생산망은 안전하지 않나요?

더 이상 유효한 전제가 아닙니다. 스마트팩토리 확산으로 생산 설비·SCADA·물류/품질관리 시스템이 네트워크로 통합되면서 과거 격리되어 있던 생산망의 노출 표면적이 확대됐고, ICS 취약점 중 네트워크로 원격 악용 가능한 비중은 2023년 16%에서 최근 22%까지 상승했습니다. 또한 엔지니어링 워크스테이션·SCADA 인프라처럼 OT를 뒷받침하는 자산이 노출되면, ‘IT 사고’로 분류된 사건이 실질적인 운영 차질로 이어질 수 있습니다.

 

Q3. CVSS 점수 기반의 취약점 대응만으로는 왜 부족한가요?

2025년 ICS-CERT·NVD 등재 취약점의 25%가 부정확한 CVSS 점수를 받았고, 권고문의 26%는 패치나 완화방안조차 제공하지 못했습니다. 반면 Dragos의 위험 기반 분류 체계에서 즉시 조치가 필요한 ‘Now’ 등급은 전체의 2%에 불과합니다. 점수만 신뢰해 일괄적으로 패치 우선순위를 매기면 한정된 유지보수 시간(Maintenance Window)을 잘못된 곳에 소모하게 되므로, 취약점 대응의 출발점은 점수가 아니라 ‘해당 자산이 정지되었을 때 어떤 공정이, 얼마나 영향을 받는가’라는 운영 영향도 질문이어야 합니다.

 

Q4. OT 보안에서 가용성을 최우선으로 두어야 하는 이유는 무엇인가요?

반도체 웨이퍼 공정, 배터리 셀 조립, 화학 플랜트 등 연속 가동을 전제로 설계된 설비는 정기 정비주기 이외 시점의 재부팅·패치가 곧 공정 중단과 수율 손실로 이어집니다. 이들 핵심 생산 설비는 Purdue Model상 Level 0~2 구간에 집중되어 있어, 패치 시점 하나를 정하는 데에도 생산계획·정비주기와의 조율이 필요합니다. 특히 화학·에너지 기업의 안전계측시스템(SIS)은 중대사고를 막는 최후 방어선인 만큼, 기본제어시스템(BPCS)과의 네트워크 분리 여부를 별도로 점검할 필요가 있습니다.

 

Q5. 기업은 어디서부터 대응을 시작해야 하나요?

대응 전략은 개별 사고 대응(Reactive)에서 표준 기반 거버넌스(Proactive)로 전환되어야 합니다. 리포트는 ①계열사별 OT 자산 목록화와 네트워크 세분화 현황을 표준화해 진단하는 자산 가시성 확보, ②ISA/IEC 62443 Zone/Conduit 구분과 Now·Next·Never식 위험 평가를 결합한 위험 기반 우선순위화, ③성숙도가 낮은 기업부터 자동화·모니터링 체계를 이식하고 산업 차원의 정기 진단 주기를 수립하는 단계적 이행 및 내재화의 3단계 로드맵을 제시합니다. 관련 기업 전반의 보안 수준은 가장 앞선 기업이 아니라 가장 뒤처진 연결고리에 의해 좌우되므로, 성숙도 편차 자체가 관리해야 할 리스크입니다.

 

---

 

AX 컨설팅부터 비즈니스 모델 발굴까지
Global Top 10 AX Service Company｜SK AX

#OT보안 #OT취약점 #OT사이버보안 #제조업보안 #산업제어시스템 #ICS보안 #스마트팩토리보안 #사이버보안 #IEC62443 #NISTCSF #제조산업 #산업보안 #사이버위협 #취약점관리 #보안거버넌스