통합검색 - 통합검색 : 캐드앤그래픽스 - 엔지니어링IT 미디어

산업 사이버 위협을 돌파하기 위한 IEC 62443

자율제조를 위한 데이터 표준화와 사이버 보안 강화 전략 (2) 글로벌 제조 환경은 자율제조 AI(인공지능) 및 SDM(소프트웨어 정의 제조)로 전환하고 있다. 그러나 시시각각 급변하는 생산자원(4M2E) 메타 데이터와 OT 사이버 보안에 대한 국제 표준 준수 없이는 사상누각이 될 수 있다. 지난 호에서는 자율제조 AI 및 SDM 환경에서의 4M2E 생산자원 데이터 표준화에 대해 살펴보았다. 이번 호에서는 우리 수출 기업의 IEC 62443 산업용 사이버 보안 준비 현황을 짚고 정책 및 전략적 대응 방안은 무엇인지 살펴본다. ■ 연재순서 제1회 제조 혁신의 열쇠, 4M2E 생산자원 데이터 표준화 제2회 산업 사이버 위협을 돌파하기 위한 IEC 62443 ■ 차석근 에이시에스의 부사장이며 산업부 국표원 첨단제조 표준화 포럼 의장 및 산업부 산업융합 옴부즈만 위원을 맡고 있다. 대한민국 수출 제품의 IEC 62443 산업용 사이버 보안 준비 현황 및 과제 IEC 62443 표준의 이해와 글로벌 중요성 IEC 62443 표준의 개요 및 적용 범위 ISA/IEC 62443 표준 시리즈는 전자적으로 안전한 산업 자동화 및 제어 시스템(IACS)을 구현하고 유지하기 위한 요구사항과 프로세스를 정의하는 포괄적인 프레임워크를 제공한다. 이 표준은 보안에 대한 최적의 관행을 설정하고 보안 성능 수준을 평가하는 방법을 제시하며, 운영 기술과 정보 기술 간의 격차, 그리고 공정 안전과 사이버 보안 간의 격차를 해소하는 전체론적 접근 방식을 채택한다. 국제전기기술위원회(IEC)에 의해 ‘수평 표준’으로 인정받은 이 표준은 빌딩 자동화, 전력 생산 및 분배, 의료 기기, 운송, 화학 및 석유 및 가스 산업과 같은 OT를 사용하는 광범위한 산업에 적용되는 것으로 입증되었다. IEC 62443 표준은 IACS의 전체 수명 주기 동안의 보안을 다루며, 주요 이해관계자 그룹(자산 소유자, 자동화 제품 공급업체, 제어 시스템 설루션 및 구성 요소를 구축하고 유지 관리하는 통합업체, 제어 시스템 운영을 지원하는 서비스 공급업체)에 대한 요구사항을 정의한다. 이 시리즈는 일반 개념, 정책 및 절차, 시스템 요구사항, 구성 요소 요구사항을 다루는 여러 섹션으로 나뉜다. 또한, 의도하지 않은 오용부터 고도로 동기 부여된 정교한 공격에 대한 저항 수준을 나타내기 위해 네 가지 보안 수준(SL 0-4)을 정의한다. IEC 62443은 수평 표준으로서 UN의 승인을 받았으며, IACS를 사용하는 모든 산업 부문에 적용 가능하다. 또한, 특정 산업 부문 표준이 개발될 때 IEC 62443 표준이 보안 요구사항의 기초로 사용되어야 한다고 명시되어 있다. 이는 단순한 권고를 넘어선 중요성을 가진다. 특히 대한민국과 같은 수출 중심 경제에서 산업 자동화 및 핵심 인프라 부문에서 글로벌 경쟁력을 효과적으로 확보하려면, IEC 62443 준수는 사실상 필수적인 요구사항이 되고 있다. 이는 글로벌 시장의 기대치, 점점 더 엄격해지는 공급망 요구사항, 그리고 상호 운용 가능하고 입증 가능한 보안 시스템의 중요성에 의해 주도된다. 비준수는 점차 비관세 장벽으로 작용하여 시장 접근을 방해하고 명성을 손상시키며, 궁극적으로 수출 경쟁력을 저해할 것이다. 따라서 선제적인 채택은 전략적 필수 과제이다. 글로벌 시장 진출 및 경쟁력 확보를 위한 필수 요건 IEC 62443과 같은 국제 표준 준수는 글로벌 경쟁력을 강화하는 데 매우 중요하다. 이러한 표준은 제조업체 간의 일관성을 향상시켜, 제품 및 프로세스의 변동성을 줄이고 상호 운용성을 개선한다. 또한, 최적의 관행과 잘 정의된 보안 요구사항을 활용함으로써 개발 비용을 절감하고 제품을 객관적으로 비교하며 보안 기능을 측정하는 방법을 제공한다. 에이서스 IoT(ASUS IoT)와 같은 기업은 산업 자동화 시스템의 보안 개발 프로세스를 검증하는 IEC 62443-4-1 인증을 적극 확보하여 제품 수명주기 전반에 걸쳐 보안을 내재화하고 산업 등급의 신뢰성 및 장기 지원에 대한 약속을 강화하고 있다. 딜로이트가 언급했듯이, “사이버 보안은 운영 탄력성의 필수 부분이 되었다. IEC 62443 표준에 맞춰 기업은 생산 라인을 보호하고, 가동 중단 위험을 최소화하며, 글로벌 경쟁력을 강화하는 일관된 관행을 채택할 수 있다.” 오늘날 상호 연결된 산업 환경에서 사이버 보안은 더 이상 단순한 기술적 규정 준수 체크리스트가 아니라 전략적 비즈니스 필수 요소이다. 수출 제품의 경우, IEC 62443 준수는 단순한 위험 완화를 넘어 강력한 시장 차별화 요소가 되며, 특히 규제가 엄격하거나 보안에 민감한 시장에서는 시장 접근을 위한 전제 조건이 되고 있다. 이러한 표준을 선제적으로 채택하는 기업은 신뢰성을 입증하고 고객 위험을 줄이며, 복잡한 글로벌 공급망에 더 원활하게 통합됨으로써 상당한 경쟁 우위를 확보한다. 반대로, 입증 가능한 규정 준수 부족은 수출 기회를 심각하게 방해하고 신뢰할 수 있는 산업 기술 국가로서의 명성을 손상시킬 수 있다. EU의 새로운 규제 동향(NIS 2, CRA, Machinery Regulation) 및 시사점 IEC 62443 표준은 NIS 2 지침, 사이버 복원력 법안(CRA), 그리고 새로운 기계류 규정과 같은 새롭고 진화하는 유럽 규정을 준수하는 데 포괄적인 지원을 제공한다. NIS 2 지침은 운영자가 사이버 공격으로부터 시스템을 보호하기 위한 조치를 구현하도록 의무화한다. CRA는 디지털 요소를 포함하는 제품에 대해 제품 수명 주기 전반에 걸쳐 의무적인 보안 요구사항을 도입하므로 제조업체에 특히 큰 영향을 미친다. 이 법안은 보안 취약점이 발견될 경우 제조업체가 최소 5년 동안 소프트웨어 업데이트를 제공해야 하는 ‘주의 의무’를 요구한다. 새로운 기계류 규정은 기능 안전과 관련된 사이버 보안 측면을 강조하며, 기계 제조업체가 부패 방지 및 제3자의 악의적인 시도로 인한 위험한 상황 발생 방지를 포함한 보안 측면에서 기계가 규정을 준수함을 확인하도록 요구한다. 이러한 준수는 적합성 선언서에 공식적으로 확인되어야 하며 CE 마크로 눈에 띄게 표시되어야 한다. 규정을 준수하지 않는 기계는 더 이상 EU에서 판매될 수 없다. 유럽 연합과 같은 주요 수출 시장에서 NIS 2 및 CRA와 같은 엄격하고 법적 구속력이 있는 규정의 등장은 IEC 62443을 ‘강력히 권고되는’ 지침에서 이러한 시장에 디지털 요소를 포함하는 제품을 판매하려는 모든 기업에게 실질적이고 법적인 필수로 변화시킨다. 이러한 규제 압력은 IEC 62443, 특히 ‘설계에 의한 보안(security by design)’ 원칙의 채택을 크게 가속화하는 강력한 외부 동인으로 작용한다. 대한민국 수출업체의 경우, 이는 단순히 기술적으로 진보된 제품을 갖는 것만으로는 더 이상 충분하지 않다는 것을 의미한다. 제품은 설계 단계부터 운영 수명 주기 전반에 걸쳐 입증 가능하게 안전하고 이러한 국제 표준을 준수해야 하며, 그렇지 않으면 시장 배제라는 심각한 결과를 초래할 수 있다. 표 1. IEC 62443 표준 시리즈 주요 구성 및 적용 영역 ■ 자세한 기사 내용은 PDF로 제공됩니다.

작성일 : 2025-11-04

[온에어] 제조 산업에서의 사이버 보안과 위기 상황 대응 방안

캐드앤그래픽스 지식방송CNG TV 지상 중계 제조 현장이 빠르게 디지털화되면서 보안의 무게중심이 '장비'에서 '프로세스'로 이동하고 있다. CNG TV는 '제조 산업에서의 사이버 보안과 위기 대응'을 주제로 9월 29일 웨비나를 열고, 코어시큐리티 한근희 부사장(연구소장)을 초청해 산업제어(OT/ICS) 보안의 실제 쟁점과 글로벌 규제 흐름, 그리고 기업이 당장 취해야 할 실행 전략을 짚었다. 자세한 내용은 다시보기를 통해 확인할 수 있다. ■ 박경수 기자 ▲ 디지털지식연구소 조형식 대표, 코어시큐리티 한근희 부사장 겸 연구소장 보안의 중심, 장비에서 ‘프로세스’로 제조 산업의 디지털 전환이 가속화되면서 보안의 개념이 바뀌고 있다. 이제는 방화벽이나 장비를 추가하는 수준이 아니라, 설계부터 폐기까지 전 수명주기(SDLC/TPLC) 속에 보안을 내재화하는 것이 핵심이다. 이날 웨비나에 발표자로 참여한 코어시큐리티 한근희 부사장 겸 연구소장은 "보안은 제품이 아니라 프로세스"라고 강조하며, 기업이 단계별로 구축해야 할 보안 전략에 대해 설명했다. 코어시큐리티는 사이버 레인지(공격·방어 실전훈련), 산업제어(OT/ICS) 보안 컨설팅, 가상자산 추적 솔루션, 공공기관 실태조사 대응 등 4개 사업을 주축으로 운영 중이다. 특히 KISA(한국인터넷진흥원)와 해군 사이버훈련장 구축 사례를 통해, 단순한 장비 투자가 아니라 실전형 보안훈련과 프로세스 체계화가 중요함을 보여줬다. 한근희 부사장은 "이제 모든 제어 기기가 네트워크에 연결되어 있다. 연결은 곧 위험이다. 제어시스템의 보안은 선택이 아니라 생존이다"라고 설명했다. 최근 국가정보자원관리원의 화재 사고를 비롯해 조선소 도면 유출 등 연쇄적인 보안사고는 경고 신호다. 과거에는 사고가 터지면 보안팀장을 문책했지만, 지금은 CEO의 의사결정과 예산 배분이 핵심 변수로 떠오르고 있다. '보안은 이제 보안팀의 일이 아니라 CEO의 일'이라는 인식 전환이 절실하다. 보안은 제품이 아닌 프로세스다 한근희 부사장은 보안을 '연결된 공정'으로 설명했다. 첫째, 교육과 인식 강화를 프로젝트 발족 초기 단계의 최우선 예산으로 설정해야 한다. 둘째, 법·규격 요구를 기반으로 한 보안 요구사항(SRS)을 문서화한다. 셋째, Security by Design 원칙 아래 설계 단계에서 보안을 내재화해야 한다. 패스워드리스 구조, 3요소 이상 MFA(다중 인증) 설계 등이 대표적인 예다. 넷째, 설계 요구를 충실히 코드에 반영해 보안 코딩을 수행하고, 다섯째, 퍼징 테스트·모의침투(V&V)로 검증한다. 여섯째, 악성 주입 방지와 안전한 릴리즈 프로세스를 마련하고, 마지막으로 사고 대응(IR) 절차를 통해 회복력을 확보해야 한다. 한근희 부사장은 "해킹은 막을 수 없다는 전제를 인정해야 한다. 하지만 신속히 복구되는 프로세스를 갖추면 피해를 통제할 수 있다"고 강조했다. 국제 표준 준수는 더 이상 선택이 아니다. 경영회의에 보안 KPI를 상정하고, 자사 제품을 NIS2·CRA·SSDF·IEC 62443 등과 교차 매핑하며, SRS–설계 가이드–테스트 플랜–사고 대응 매뉴얼을 주기적으로 갱신해야 한다. 벤더 계약에는 SBOM(소프트웨어 자재 명세서) 제출 및 취약점 24시간 통보 의무를 삽입하고, 연 1회 이상 레드팀/블루팀 실전훈련으로 회복탄력성을 점검해야 한다. 이번 웨비나를 통해 '보안의 답은 거창한 장비가 아니라, 잘 설계된 프로세스다'라는 점이 좀 더 명확해졌다. ■ 기사 내용은 PDF로도 제공됩니다.

작성일 : 2025-11-04

애플 협력업체 리스트 2021(애플 제조 협력사)

작성일 : 2022-02-21

타입-C 단자 탑재한 썬더볼트 3 스토리지 AKiTiO Thunder3 Duo Pro

■ 새로텍, 1588-4154, www.sarotech.com 아키티오 썬더3 듀오 프로(AKiTiO Thunder3 Duo Pro)'는 타입-C 단자가 탑재된 썬더볼트 3세대의 듀얼 베이 레이드 스토리지로, 썬더볼트 1세대(10Gb/s)보다 4배 빠른 40Gb/s의 초고속 전송속도를 발휘한다는 점이 가장 큰 장점이다. 이 제품은 2개의 3.5”/2.5”SATA HDD 및 SSD를 장착할 수 있으며, 최대 16TB까지 지원한다. 아키티오 썬더3 듀오 프로는 2개의 썬더볼트 3 포트와 USB3.1(Gen-1,5Gb/s), 디스플레이포트(DP) 등 다양한 인터페이스를 지원한다. 특히, 현존 가장 빠른 인터페이스인 썬더볼트 3 포트 2개를 제공해 데이지체인 기능을 통해 여러 대의 썬더볼트 기기를 병렬로 연결할 수 있다.이와 함께, 이 제품은 하드웨어 RAID 컨트롤러(RAID 0, 1, SAPN, Single)가 탑재되어 사용자의 작업 환경에 맞게 레이드를 선택해 사용할 수 있다. 즉, 빠른 데이터 처리 속도를 원하는 경우, RAID 0(스트라이핑)을, 데이터 안정성이 필요한 경우, RAID 1(미러링)을 선택하면 된다. 아키티오 썬더3 듀오 프로의 가격은 54만 9000원(HDD 제외)이다.

작성일 : 2016-07-18