[디지털데일리 옥송이 기자] "제조 환경에서의 사이버 침해 사고는 데이터 유출 뿐 아니라, 폭발이나 화재 등 인명 사상까지 발생할 수 있습니다. 공정에서 위험평가를 통해 보안을 강화해야 합니다."

김계근 S-OIL 책임 매니저는 <디지털데일리> 주최로 20일 롯데호텔서울에서 열린 차세대 보안혁신 서밋 'NSIS 2025'에서 위와 같이 말하며, OT공정에서의 사이버보안 중요성을 강조했다.

그는 "IT 보안, 개인정보 보호 등의 문제뿐 아니라, 공장 등의 시설에서도 보안이 필요하다. 과거와 달리 제조 환경이 디지털전환(DT)되면서, 사이버 침해 사고가 뒤따르기 때문"이라면서, 발표 취지를 설명했다.

과거에는 공장 생산 라인이 생산 인력에 의해 작동했지만, DT 환경이 되면서 IT망과 생산망이 하나의 시스템으로 연결된다. 제어도 간편하게 할 수 있게 된 만큼 사이버 보안사고도 증가하고 있다.

김 매니저는 "제조 환경 변화로 인해 정유사나 화학기업 등 석유화학 회사에서도 사이버보안 사고가 뒤따르고 있다"며 "가장 최근에 발생한 보안 사고를 예로 들자면, 코스타리카라는 정유회사가 피싱 이메일 침투로 랜섬웨어가 감염됐다. 이로 인해 일주일간 정유 출하가 정지되기도 했다"고 말했다.

이어 "결국 사이버보안 전문가들이 와서 문제를 해결한 뒤에야 정유 출하가 정상화됐다"며 "우리가 체감을 잘 하진 못하지만, 이와 같이 공정 분야에서도 사이버 보안 침해 사고가 상당히 많이 이루어지고 있다. 그래서 사이버보안에 대한 위험도 평가를 비롯해 방법론에 대한 관심을 가져야 한다"고 설명했다.

공정 위험평가 방법론은 공정 설비나 제어 시스템, 작업 절차 등에서 발생할 수 있는 공정의 비정상 상태나 고장, 인적 오류, 화학물질 누출 등의 사고를 체계적으로 식별하고 분석하는 것을 뜻한다. 사고 예방과 공정 안전 확보를 목적으로 하는 정성적 위험 분석 기법이다.

전통적 기법으로는 HAZOP(Hazard and Operability Study), What-if(What-if Analysis) 등을 소개했다. 다만, 전통 기법들은 정성적 부분에 치중해 정량적 분석이 다소 부족했다. 이에 HAZOP 후 적용할 수 있는 정량적 사고 대응 기법인 LOPA(Layer of Protection Anaylysis)와 사고 발생 후 적용하는 FTA(Fault Tree Analysis), 사고대응 시 적용 가능한 ETA(Event Tree Analysis)도 소개했다.

그는 "석유화학 공장에서는 탱크가 새거나 폭발을 하게 되면 유해 물질 발생을 비롯해 사람이 다친다. 따라서 공정위험 평가 방법론은 물리적인 위험에 대해 상당히 집중한다"며 "결국 공정과 보안을 모두 이해하고 평가하는 것이 중요하다"고 말했다.

아울러 "보호 대책을 단편적으로 하는 것보다 푸OT/ICS 시스템에 대한 취약점을 미리 관리하는 것부터 OT보안 모니터링 구축, 배상 대응 절차 수립 훈련, 백업 및 복원 체계를 모두 갖춰야 한다"며 "아울러 이 모든 것들을 평가하기 위한 체크리스트까지 갖춰 자동화하는 것이 가장 좋은 방법"이라고 말했다.