Offcanvas

CIO / 리더십|조직관리 / 보안

인프라 보안 위험의 주범은 ‘기술이 아니라 사람’

2013.01.29 Matt Hines  |  ARN
중요 인프라 보안에 문제가 생기는 가장 큰 원인은 IT와 운영 담당자들간의 협업이 원활하지 못한 데 있다.

중요 인프라 제공업체에게 최악의 보안 취약점은 아마도 그 직원들일 것이다.

지난 주, 미 국토안보부의 ICS-CERT(Industrial Control Systems Cyber Emergency Response Team)는 핵심 에너지 산업의 자산에 직접 연결된 IT 시스템이 USB 드라이브로 악성코드에 감염된 2번의 개별적인 사건을 언급하면서 해당 기관의 기본적인 보안 통제에 공백이 있음을 강조했다.

지난 해, 스턱스넷(Stuxnet)과 플레임(Flame) 등이 중요 ICS(Industrial Controls Systems) 시스템의 취약성을 강조하자 전력 그리드 인프라 보안에 대한 우려가 확산되었다.

SCADA(Supervisory Control and DAta Acquisition) 소프트웨어 시스템은 폐쇄된 환경에서 사용하도록 설계되었으나 지금은 인터넷에 노출되어 있는 오랫동안 기업에서 사용됐으며 매우 복잡하다. 때문에 인프라 제공업체들이 보안을 강화하기 위해 고군분투하는 이유를 이해하는 것은 그리 어렵지 않을 것이다.

하지만 가장 큰 장애물은 기술적 문제가 아니라 IT보안팀과 운영관리팀이 여전히 효과적으로 협력하지 못한다는 데 있다.

가트너의 보안 담당 수석 애널리스트 아비바 리탄은 "산업 시스템의 가동시간을 책임지는 운영 인력들과 IT보안팀의 협업 부재는 사실 거의 변화가 없으며 이는 실망스러운 수준이다”라고 말했다. "기업의 관료 문화와 테러리즘이 여전히 존재하며 아무도 서두를 이유가 없다. 모두가 자신의 상사에게 보고하고 대부분의 CEO와 경영진이 이 문제에 신경을 쓰지 않는 것 같은 상황에서 직원들이 반드시 함께 협력해야 하는 것도 아니다"라고 리탄은 설명했다.


리탄은 “전자 시장을 온라인 상태로 유지하는 책임을 맡았던 금융 서비스 기업들은 통신 기업 및 일부 첨단 제조사들과 협력해 이 문제를 해결하면서 크게 발전했지만 정작 에너지 기업들은 여전히 문제를 안고 있다”라고 지적했다.

"분명 보안팀과 운영 직원들이 위협을 감지하고 있지만 이 문제를 처리할 준비가 돼 있지 않다"라고 리탄이 전했다. "(IT 부서는) 전통적인 정책을 변경하여 적용할 수 있다고 생각하는 반면, 이런 SCADA와 기타 ICS 시스템의 운용자들은 누군가에 의한 환경의 변화를 허용하는 것에 대해 매우 우려하고 있다. 고위 간부들이 그 협력을 강제하기 전까지는 별다른 소득이 없을 뿐 아니라 그렇다 하더라도 상당한 시간이 소요될 것이다"라고 그는 덧붙였다.

다른 생각, 다른 언어
그리드 분야의 변화는 서서히 이루어졌지만 NAERC(North American Electric Reliability Corp)의 중요 인프라 보호(Critical Infrastructure Protection) 프로그램에 따른 준수 의무와 미국 정부의 추가적인 규제에 대한 그리드 운영업체들의 두려움 때문에 보안이 개선돼 왔다.

CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.