외부 원격접속을 차단하면 변전소는 안전할까요? 보호계전기와 운영 서버가 같은 네트워크에 있어도 괜찮을까요? 변전소 사이버보안 설계 기준은 보안장비를 몇 대 설치하는 규격이 아니라, 어떤 자산을 같은 경계에 두고 어떤 통신과 접근을 허용할지 결정하는 위험 기반 설계 원칙입니다.
보안은 운영 개시 후 덧붙이기보다 기본설계 단계에서 운전 구조, 통신 경로, 유지보수 방식과 함께 검토해야 합니다. 이미 연결된 설비를 나중에 분리하면 보호계전 연동, 감시 기능, 제조사 지원 조건과 충돌할 수 있기 때문입니다. 설계자는 자산 목록과 데이터 흐름을 먼저 확인하고, 그 결과를 네트워크 경계와 접근통제 요건으로 변환해야 합니다.
변전소 사이버보안 설계 기준이 필요한 이유
변전소의 운영기술(OT, Operational Technology)은 전력설비의 상태를 감시하거나 실제 동작에 영향을 줍니다. 감독제어 및 데이터 수집 시스템(SCADA), 지능형 전자장치(IED), 원격단말장치(RTU), 프로그래머블 논리제어기(PLC), 운영자 화면(HMI)이 대표적입니다. 일반 정보기술(IT) 시스템에서는 정보 유출 방지가 우선될 수 있지만, 변전소에서는 가용성, 안전성, 동작의 결정성, 복구 가능성을 함께 지켜야 합니다.
NIST SP 800-82 Rev. 3도 OT 보안에서 고유한 성능·신뢰성·안전 요구사항을 고려해야 한다고 설명합니다. 이 문서는 2023년 9월 공개된 최종본이며, 변전소의 세부 설계값을 직접 정하는 규정은 아닙니다. 다만 시스템 토폴로지, 위협, 취약점과 대응책을 검토하는 참고 지침으로 활용할 수 있습니다.
따라서 업무용 PC에 쓰는 패치, 능동 스캔 또는 침투시험 절차를 IED와 RTU에 그대로 적용해서는 안 됩니다. 제조사 권고, 시험 환경의 검증 결과, 이중화 상태, 정전 작업 일정과 장애 시 복구 절차를 확인해야 합니다. 보안 조치가 보호 기능이나 실시간 통신을 방해한다면 위험을 낮추는 목적과 어긋날 수 있습니다.
설계 단계에서 먼저 구분할 보안 구역
기능과 영향도가 다른 자산을 분리한다
자산을 단순히 건물이나 VLAN 단위로 나누기보다 기능, 중요도, 신뢰 수준과 침해 시 영향으로 분류해야 합니다. 보호계전망은 고장 제거와 설비 보호에 직접 관계되고, 운영망은 상태 감시와 제어를 담당합니다. 감시망은 영상·출입 또는 환경 정보를 처리하며, 유지보수망은 진단 도구와 엔지니어링 워크스테이션의 접점이 됩니다. 기능이 다르면 요구되는 가용성과 허용 통신도 달라집니다.
자산 목록에는 장비명, 기능, 소유 부서, 물리적 위치, 펌웨어와 소프트웨어 버전, 연결 인터페이스, 시간동기화 방식, 계정 유형, 백업 대상 및 복구 책임자를 포함하는 것이 좋습니다. 단순 목록에서 끝내지 말고 자산 간 데이터 흐름, 제어 방향, 외부 의존성까지 표시해야 숨겨진 연결을 발견할 수 있습니다.
Zone과 Conduit으로 경계를 설명한다
IEC 62443의 보안 구역(Zone)은 위험과 보안 요구가 유사한 자산의 논리적 또는 물리적 그룹이며, 통신 경로(Conduit)는 구역 사이의 통신을 통제하는 연결입니다. 변전소에서는 보호계전 구역, 현장 제어 구역, SCADA 서버 구역, 운영자 구역, 보안 비무장지대(DMZ), 원격 유지보수 구역처럼 구성할 수 있습니다. 실제 구역 수와 범위는 운전 방식과 위험평가에 따라 달라집니다.
IEC 62443 공식 개요는 식별·인증, 사용 통제, 시스템 무결성, 데이터 기밀성, 제한된 데이터 흐름, 이벤트 적시 대응, 자원 가용성이라는 7가지 기본 요구사항을 제시합니다. Zone과 Conduit마다 이 요구사항을 적용하면 네트워크뿐 아니라 계정, 로그, 복구와 운영 절차까지 함께 검토할 수 있습니다.
보안 수준(Security Level) SL1~SL4는 모든 변전소에 동일하게 부여하는 법정 등급이 아닙니다. 위협 능력과 위험을 평가해 목표 보안 수준을 정하고, 직접 구현이 어려운 기존 설비에는 타당성이 검증된 보완통제를 검토하는 개념입니다. “모든 구역은 SL3”과 같은 일괄 기준보다 구역별 위협, 설비 수명과 결과 영향에 근거한 결정 기록이 중요합니다.
네트워크 분리와 통신 허용 기준
IT망과 OT망 사이에 통제 지점을 둔다
IT망과 OT망은 사용자, 변경 주기, 장애 영향과 신뢰 수준이 다르므로 직접 연결을 피하고 경계 방화벽과 DMZ 같은 통제 지점을 설계해야 합니다. 보고서, 업데이트 파일, 원격지원 데이터처럼 양쪽을 오가는 정보는 DMZ의 중계 서비스 또는 승인된 전달 절차를 거치게 합니다. 망분리는 출발점일 뿐이며 우회 연결, 이동식 매체, 무선 인터페이스와 임시 노트북도 함께 관리해야 합니다.
방화벽 규칙은 “내부에서 외부로 모두 허용”처럼 넓게 정의하지 않습니다. 통신 목적, 출발 구역, 도착 구역, 프로토콜, 방향, 사용 시간과 책임자를 문서화하고 업무에 필요한 통신만 허용합니다. 숫자로 된 포트나 VLAN 값을 모든 현장에 복사하기보다 실제 데이터 흐름과 제조사 통신 요건을 확인해야 합니다.
Conduit마다 실패 상황을 검토한다
각 통신 경로에는 정상 상태뿐 아니라 방화벽 장애, 인증 서버 중단, 시간동기화 실패, 회선 단절 상황의 동작을 정의해야 합니다. 보안장비가 고장 났을 때 무조건 전체 통신을 허용하거나 차단하도록 정하면 운전 위험이 커질 수 있습니다. 보호 기능 유지, 현장 수동 운전, 경보 전달과 사후 로그 보존 가운데 무엇을 우선할지 안전 담당자와 함께 결정해야 합니다.
- 구역 간 통신 목적과 데이터 소유자가 명확한가?
- 양방향 연결이 정말 필요한지 검토했는가?
- 규칙 변경에 승인, 시험, 원복 절차가 있는가?
- 미사용 인터페이스와 임시 연결을 통제하는가?
- 경계 장비 장애 시 안전한 운전 방식을 정의했는가?
접근통제와 원격 유지보수 설계
접근 권한은 사용자, 장비, 역할을 구분해 최소권한 원칙으로 부여합니다. 운영자, 보호계전 엔지니어, 시스템 관리자, 제조사 기술자의 권한을 분리하고 공용 계정 사용은 가능한 범위에서 줄여야 합니다. 장비가 개별 계정을 지원하지 않는다면 접근 게이트웨이, 물리적 통제, 작업 입회와 세션 기록 같은 보완통제를 설계할 수 있습니다.
원격접속은 전면 허용과 전면 차단 사이에서 운전 필요성과 위험을 평가해야 합니다. 상시 개방된 경로 대신 작업 요청, 책임자 승인, 정해진 시간의 임시 권한, 다중요소 인증, 통제된 접속 중계점, 세션 모니터링과 종료 후 권한 회수를 하나의 흐름으로 구성합니다. 제3자 계정은 내부 직원 계정과 분리하고 업체·작업·기간별로 추적할 수 있어야 합니다.
접속 기록에는 신청자, 승인자, 접속 대상, 시작·종료 시각, 작업 목적과 결과를 남깁니다. 세션 기록이 가능하더라도 민감정보와 개인정보의 보관 범위, 열람 권한, 보존기간을 별도로 정해야 합니다. 긴급접속은 일반 절차를 생략하는 통로가 아니라 사전에 승인 조건을 정의하고 사용 직후 검토하는 예외 절차여야 합니다.
설비와 시스템별 보안 체크포인트
| 대상 | 설계 검토 항목 | 주의점 |
|---|---|---|
| IED·RTU·PLC | 미사용 기능, 설정 변경 권한, 구성 백업, 시간동기화, 물리 포트 | 패치와 스캔은 제조사 권고 및 운영 영향 검토 후 수행 |
| HMI·엔지니어링 장비 | 개별 계정, 응용프로그램 실행 통제, 이동식 매체, 세션 잠금 | 관리 편의를 이유로 과도한 권한을 상시 부여하지 않음 |
| SCADA 서버 | 서비스 최소화, 이중화, 백업, 관리자 접근, 이벤트 로그 | 보안 설정 변경이 감시·제어 기능에 미치는 영향 시험 |
| 네트워크 장비 | 관리망 분리, 설정 백업, 변경 이력, 인증, 불필요한 인터페이스 | 기본 템플릿을 현장 검증 없이 일괄 적용하지 않음 |
| 보안 경계 | 구역별 정책, 허용 목록, 로그 전달, 장애 모드, 규칙 검토 주기 | 방화벽 한 대를 전체 보안대책으로 간주하지 않음 |
로그 설계에서는 무엇을 수집할지뿐 아니라 시간이 일치하는지, 저장 공간이 충분한지, 이상 징후를 누가 확인할지를 정해야 합니다. 인증 실패, 권한 변경, 구성 변경, 원격 세션과 경계 정책 변경은 주요 검토 대상입니다. 다만 장비 성능이나 통신량에 영향을 줄 정도의 과도한 로깅은 시험을 거쳐 조정해야 합니다.
백업은 파일의 존재보다 복구 가능성이 핵심입니다. SCADA 설정, HMI 화면, IED 정정값, 네트워크와 방화벽 구성, 라이선스 및 설치 매체를 식별하고 무결성과 접근권한을 관리합니다. 정기적인 복구 시험을 통해 필요한 버전, 담당자, 복구 순서와 예상 시간을 확인해야 실제 사고나 장비 고장 때 사용할 수 있습니다.
국제 표준과 국내 법적 의무를 구분한다
IEC 62443는 변전소의 위험을 Zone과 Conduit으로 구조화하고 수명주기 전반의 보안 요구를 정하는 설계 프레임워크로 활용할 수 있습니다. NIST 지침은 OT의 운영 특성과 보안 통제를 폭넓게 검토하는 참고자료입니다. 두 자료가 특정 변전소의 포트, VLAN, 방화벽 규칙 또는 목표 보안 수준을 대신 결정해 주는 것은 아닙니다.
국내에서는 국가법령정보센터의 정보통신기반 보호법 시행령에서 2026년 1월 2일 시행본을 확인할 수 있습니다. 관련 법체계는 주요정보통신기반시설의 보호대책, 취약점 분석·평가, 침해사고 대응과 복구에 관한 틀을 다루지만, 모든 변전소가 자동으로 같은 의무와 세부 설계값을 적용받는다는 뜻은 아닙니다.
특정 변전소가 주요정보통신기반시설에 해당하는지, 어떤 기관별 지침과 내부 규정이 적용되는지는 운영기관, 보안 담당자와 관할 기관의 최신 기준으로 확인해야 합니다. 국제 표준 준수 여부와 국내 법정 의무 이행 여부도 별도의 판단 항목으로 관리하는 것이 안전합니다.
설계 검토 회의에서 확인할 항목
- 범위: 현장 설비부터 중앙 운영시스템, 통신회선, 외부 지원 경로까지 포함했는가?
- 자산: 기능, 소유자, 버전, 연결 관계와 침해 시 영향을 식별했는가?
- 경계: 운영망·보호계전망·감시망·유지보수망의 Zone 구분 근거가 있는가?
- 통신: 모든 Conduit의 목적, 방향, 허용 조건과 장애 시 동작을 문서화했는가?
- 접근: 사용자와 장비 인증, 역할별 권한, 관리자 계정과 비상 계정을 통제하는가?
- 원격작업: 요청·승인·인증·기록·종료·권한 회수 절차가 연결되어 있는가?
- 운영: 패치, 악성코드 대응, 이동식 매체, 구성 변경의 시험과 원복 기준이 있는가?
- 탐지: 필요한 로그, 시간동기화, 보존 위치, 경보 책임자와 대응 기준을 정했는가?
- 복구: 백업 범위, 오프라인 또는 분리 보관, 무결성 확인과 복구 시험이 준비됐는가?
- 인수: 보안 요구사항을 시험 가능한 기준으로 바꾸고 결과와 예외를 기록했는가?
마지막으로 설계 문서에는 통제를 적용하지 못한 이유와 보완조치, 잔여 위험의 승인 주체를 남겨야 합니다. 변전소 사이버보안 설계 기준의 완성도는 장비 목록의 길이가 아니라 설계 근거를 추적하고 운영 중 변경을 관리할 수 있는지에 달려 있습니다. 위험평가, 안전 검토, 제조사 제약과 법적 적용 범위를 함께 확인할 때 보안성과 가용성의 균형을 유지할 수 있습니다.
