[3월 기획] 스마트팩토리 중요정보 유출 방지 대비책은?

[CCTV뉴스=신동훈 기자] 스마트팩토리를 구현하기 위해 기업의 중요정보를 활용하기에 앞서 보안위협에 대해 먼저 충분히 인지해야 하며, 스마트팩토리에 특성에 맞춰 중요정보 유출 방지를 위한 방안을 마련해야 한다.

KISA에서는 ‘스마트공장 중요정보 유출방지 가이드’를 통해 보안위협을 분석하고 중요정보 유출 방지를 위한 관리체계 수립/운영 및 보안감사에 필요한 세부사항을 제시했고 스마트공장 추진단에서는 ‘스마트공장 최소보안가이드’를 통해 스마트팩토리 수준에 맞는 적절한 정보보안대책에 대해 제시했다. 스마트팩토리 구현 전 기업에서는 보안을 위해 어떤 대비책을 마련해야 하는지 살펴보도록 하자.

■ 중요정보 보호를 위한 조직 운영과 정책 수립

가장 먼저, 중요정보를 관리하는 전담 정보 보호 조직을 구성해야 한다. 보안규정을 통해 책임과 권한을 명확히 부여하고 중요정보 보호 정책을 비롯한 전반적인 조직 정책을 수립해야 한다.

스마트팩토리에서 생성되는 제품의 설계도, 특허 기술 등 중요정보를 보호하기 위한 실무조직은 정보보호 최고책임자와 그의 임무를 위임 받아 업무를 수행하는 관리자, 조직에서 실무를 담당하는 부서별 중요정보 보호 담당자 등으로 구성될 수 있다. 더불어 기업의 중요정보 보호 전반에 걸친 사항들을 검토하고 결정할 수 있도록 정보보호위원회를 두도록 권고한다.

기업은 중요정보 보호 업무를 효율적으로 총괄·관리할 수 있도록 정보보호 최고 책임자를 임원급에서 지정해야 한다. 그리고 인사발령 등의 공식적인 지정 절차를 거쳐 중요정보 보호에 대한 책임과 역할을 명확히 수행할 수 있도록 하는 것이 바람직하다. 또한, 기업은 정보보호 최고 책임자의 관리 업무를 실무적으로 이행할 수 있도록 중요정보 관리자와 중요정보 보호 담당자의 책임과 역할을 구체적으로 정의하여야 하며 이를 직무기술서 등의 형태로 문서화하는 것이 중요하다.

조직 내 KPI(Key Performance Indicator, 핵심성과지표), MBO(Management By Objectives, 목표관리), 인사평가와 같은 평가체계 내에 중요정보 보호 활동의 책임과 역할을 평가할 수 있는 항목을 포함해 주기적으로 정보보호 최고 책임자와 정보보호 관련 담당자의 활동을 평가하도록 해야 한다.

특히 정보보호 업무를 전담/총괄하는 정보보호 최고책임자와 개인정보 보호 업무를 전담/총괄하는 개인정보 보호책임자를 지정, 명확하게 업무를 분리해 진행하도록 한다.

중요정보 정보보호 정책은 CEO의 승인을 받아, 모든 임직원 및 관련자에게 배포하고 관련자는 해당 정책을 정확히 이해해야 한다. 스마트팩토리에서 지켜야 하는 정보보호와 개인정보보호 사항을 토대로 정보보호 및 개인정보보호 정책을 수립, 이행하고 이행한 결과를 검토해 현장에서 문제점을 파악한 후 수정 및 보완방안을 마련해야 한다.

이처럼, 현재와 미래 환경에 적합한 정보보호를 실천할 수 있도록 진화하는 절차적 순환시스템을 정보보호 관리체계(ISMS, Information Security Management System)이라 한다.

사후관리도 중요하다. 체계를 운영하는 과정에서 상시적인 모니터링을 수행하고 정기 내부감사를 통해 정책 준수사항을 확인한다. 이를 통해 ISMS를 재검토하고 지속적으로 개선해 나가야 한다.

■ 내부자 유출 방지 등을 위한 인적 보안관리 강화

중요정보 유출 사고 대부분은 내부 직원 혹은 협력업체 직원을 통해 발생한다. 실제로 국정원 산업기밀보호센터의 해외 기술유출 사건 자료를 분석한 결과, 전·현직 직원에 의한 기술 유출이 80%를 차지하고 있으며, 협력업체에 의한 기술유출도 7%를 차지하고 있다. 특히 내부 직원이나 협력업체 직원의 경우, 중요정보가 가지고 있는 가치를 잘 알고 있고, 해당 정보에 대한 접근권한을 가지고 있는 경우가 많으므로 보다 손쉽게 정보 유출이 가능해진다. 그러므로 내부 직원 및 협력업체 등을 대상으로 보안의식을 함양시키고 인적보안을 강화하는 것은 매우 중요한 일이다.

정보보호 최고책임자는 임직원 및 협력사 직원에게 정기적인 정보보호 교육을 통해 절차와 규정을 준수하는 정보보호 인식을 높일 수 있도록 해야 한다. 이를 통해 개인의 정보보호 의식을 계속 환기시키는 것. ‘정보보호 및 개인정보보호의 날’과 같은 이벤트 실시, 리플렛 배너 등 정보보호 홍보물 제작, 팝업창, 직원게시판, 이메일 등을 통해 수시로 정보보호 메시지 안내, 정보보호 관련 정기교육 진행 등이 여기에 포함된다.

특히 중요정보 접근이 가능한 임직원들은 비밀유지서약 등을 통해 책임성을 강화시킬 수 있는 방안이 필요하다. 취업규칙 내에 중요정보 보호를 강제하는 조항을 넣거나, 프로젝트 참여 등 재직기간 중요정보 보호 관련 서약서 작성, 퇴직 시 중요정보 보호 관련 서약서 작성 등 재직 또는 퇴직 후에도 중요정보 보호 의무를 유지해야 한다는 책임을 져야 한다는 걸 꼭 명시해야 한다.

■ 중요정보 등급 부여 관리 및 통제

특허기술 및 제품 설계도 등 기업 중요정보 정보자산을 식별하고 정보 중요도에 따라 보안등급을 통제해야 한다. 현업 부서는 ‘중요정보 등급기준’에 따라 ▲새로운 정보 생성 시 중요정보 여부를 판단하고 ▲중요정보로 식별된 경우 ‘중요정보 목록’을 작성해 부서장 승인을 받은 후 ▲중요정보 관리 부서로 통보해야 한다.

중요정보 보안등급은 아래의 예시와 같은 사항을 고려해 결정한다.

- 해당 정보 또는 정보시스템과 관련된 정보가 유출됐을 경우 스마트공장의 존립에 위협이 될 수준의 막대한 금전적 손실이 발생하는가? (예: 공장의 도면정보 유출, 납품받은 물품의 단가 유출)

- 해당 정보 또는 정보시스템과 관련된 정보가 훼손됐을 경우 스마트공장의 존립에 위협이 될 수준의 막대한 금전적 손실이나 업무상 장애가 발생하는가? (예: 제품의 수량에 대한 변경 및 배합비율의 변경)

- 해당 정보 또는 정보시스템과 관련된 정보를 이용할 수 없을 경우 스마트공장의 존립에 위협이 될 수준의 막대한 금전적 손실이나 업무상 장애가 발생하는가?(예: 계약서 열람 불가 및 납품요청 정보에 대한 접근 불가)

■ 중요정보 생성단계부터 유출 방지 보안 적용해야

정보 생성단계부터 적절한 통제를 수행하는 것도 중요하다. 중요정보 생성 장소에는 시제품 정보, 제품 연구결과물, 설계도면 등 기업의 핵심 정보가 많이 있는 만큼 정보 생성자, 생성환경, 생성장소 등에 대한 통제 정책을 구체화해 적용해야 한다.

중요정보 생성자에 대한 기술적 통제방법으로는 개인 PC에 어떠한 중요정보도 저장하지 않고 제품 설계도면 작성 등의 업무 수행이 가능한 ‘데스크탑 가상화(VDI : Virtual Desktop Infrastructure)’, 중요정보에 대해 사용자 권한과 보안정책을 설정해 보안성을 높이고 전자문서 유통에 대한 사후 감사를 지원하는 ‘디지털 저작권 관리(DRM : Digital Rights Management)’, 그리고 직원의 고의나 실수로 인한 중요정보의 외부 유출을 방지하는 ‘데이터 유출 방지(DLP : Data Loss Prevention)’ 솔루션 도입 등을 들 수 있다.

USB와 같은 이동형 저장매체에 대한 통제 방안과 스마트기기의 통제, 허용되지 않는 네트워크 차단 등 정보보안은 물론 중요정보가 생성되는 장소에 대한 물리적 통제방안도 마련해야 한다. 공용구역, 접견구역, 제한구역, 통제구역 등 보안등급에 따라 장소를 지정해 관리해야 한다.

■ 악성코드 조기 탐지 및 처리할 수 있는 보안 관제 체계 구축

스마트팩토리의 업무네트워크나 ICS네트워크의 악성코드 감염에 따른 중요정보 유출 및 제어망 감염을 방지하기 위해서는 네트워크 분리, 안티바이러스 시스템 운영, 시스템 패치 등의 대책이 필요하다. 또한, 악성코드가 유입되더라도 조기에 이를 탐지해 격리·처리할 수 있는 관제 체계를 구축해야 한다.

네트워크 망 분리, 방화벽 및 침입방지시스템(IPS) 등 네트워크 보안 장비만으로는 악성코드의 내부 유입을 완벽히 차단하기 어렵다. 스마트팩토리 내부 네트워크로 유입되는 악성코드를 차단 및

탐지할 수 있도록 내부 네트워크에 연결되는 모든 서버 및 업무용 PC 등에 안티바이러스 소프트웨어를 설치해야 한다.

악성코드가 유입될 수 있는 경로에 대한 대응도 중요하다. 사내 메일을 이용한 피싱, 특정 대상을 목표로 한 스피어 피싱, 웹하드, 클라우드, 이동매체, 무선 인증설정이 취약성을 악용한 비인가 접근, 랜섬웨어 등을 예로 들 수 있으며 계속해서 또 다른 유형이 생겨나고 있는 만큼 악성코드가 유입될 수 있는 다양한 경로를 충분히 분석해 대응해야 한다.

또한 최근 빈번하게 나타나고 있는 문제로 APT(Advanced Persistent Threat) 공격이 있는데, 악성코드가 내부 관리자 PC에 설치돼 장기간에 걸쳐 조직 내부 특권적 지위 및 권한을 가진 PC를 해킹하는 것이다. 이때 해킹을 통해 중요정보에 접근할 수 있고, 임계치를 초과하지 않는 한도 내에서 장기간에 걸쳐 방대한 정보를 계속해서 유출할 가능성도 있다. 정작 내부자는 오랜 기간에 걸쳐 이루어지는 이러한 해킹에 대해 감지조차 하지 못한다는 점에서 위험성을 더욱 크게 느낄 수 있다. 따라서 APT공격을 예방·탐지할 필요가 있는 스마트팩토리 환경에서는 빅데이터 기반의 정보 유출 탐지 기술의 도입도 적극 검토해야 한다.

■ 중요정보 암호화 등 보관정책 마련 및 통제

중요정보에 대한 보관 정책을 마련해 접근, 열람, 변조 등을 통제해야 한다. 또한 정책에 따라 일정 등급 이상의 문서는 필히 암호화 보관해 중요정보 유출시 피해를 최소화 해야 한다.

스마트공장의 제품 도면, 청사진, 공정 제어용 설정 값, 생산자 정보 및 고객 정보, 내부 보고서, 전략 문건 등 유출시 피해가 클 것으로 예상되는 중요정보의 경우 높은 보안등급을 부여하고 보관 시 암호화해야 한다.

■ 중요정보 외부 제공시 유출 방지 방안 마련

폐쇄망에서 동작하도록 설계된 공장 시스템의 경우 시스템 인증이나 네트워크 보안을 고려하지 않고 물리적 접근통제만 구현 된 경우가 있다. 이런 경우, 스마트팩토리 환경으로의 확장 과정에서 생산효율화를 이유로 내부 공장 시스템이 기업 네트워크 등 외부와 연결되면 상대적으로 보안위협에 취약한 공장 내부 시스템을 통해 중요정보가 외부로 쉽게 유출될 수 있으므로 주의해야 한다.

일반적으로 기업 업무 네트워크에서는 인터넷 접속, E-mail 등의 사용이 가능하지만 공장 내부 시스템인 ICS(Industrial Control System) 네트워크에서는 허용되지 않는다. 그러므로 기업 업무 네트워크의 보안위협이 ICS 네트워크에 영향을 미치지 않도록 업무 네트워크와 ICS 네트워크를 분리해야 한다. 다만, 스마트팩토리의 경우 생산효율성 등을 이유로 두 네트워크 간에 연결이 요구되는 경우가 종종 발생할 수 있으며, 이런 연결은 매우 중요한 보안 위협이 될 수 있다.

■ 정기적인 보안감사 수행

스마트공장 내 중요정보가 보관/활용되고 있는 정보시스템과 네트워크 등에 대한 보안감사를 정기적으로 수행, 중요정보 관리정책 및 지침에 맞게 정보가 생성/관리/감독/보호되는지 확인해야 한다. 이를 준수하지 않거나 관리가 미흡한 경우, 즉시 개선해 중요정보 유출 위협을 사전에 차단해야 한다.

보안감사는 감사인의 능력에 따라 감사 수준이 달라지지 않아야 하므로 체크리스트 등을 활용할 수 있으며, ‘감사준비→감사착수→감사수행→결과보고→ 후속조치’ 절차에 따라 수행된다.

감사 준비, 착수, 수행이 완료되면 각 과정의 결과를 취합해 평가를 수행한 후 감사 결과를 보고한다. 감사팀은 감사활동 내용과 이와 관련된 증적자료 등을 기록한 감사조사서를 작성하고 정보누설 또는 분실되지 않도록 안전하게 보관해야 한다. 또한 감사과정에서 발견된 중요정보 관리체계의 미비점을 개선할 수 있도록 보안감사인은 조직의 정책·지침 개정 등을 지원해줘야 한다.