15개월은 사고 대응 순서를 다시 확인해야 하는 주기입니다. NERC CIP-008-6은 적용 대상 기관이 사고대응계획을 최소 15개월마다 시험하도록 요구해요. 이는 북미 대규모 전력계통의 특정 책임 기관에 적용되는 사례이며, 국내 변전소의 공통 의무를 뜻하지는 않아요. 그럼에도 훈련 주기를 정해 놓은 이유는 분명합니다. 실제 경보가 울린 뒤 연락망, 로그 보존, 계정 차단, 복구 순서를 즉석에서 정하기 어렵기 때문이에요.
이 변전소 사이버보안 사고 대응 체크리스트는 SCADA, HMI, Historian, IED, RTU 환경에서 초동 기록부터 복구 승인까지 이어지는 판단 틀입니다. 현장에서는 운영기관의 사고대응계획, 전기안전 절차, 제조사 지침, 관할 규정과 운전 책임자의 지시를 우선해 조정하세요.
안전과 계통 상태를 기준점으로 잡아요
OT는 물리 설비와 직접 연결돼 있어 보안 조치가 통신 지연, 감시 공백, 보호 기능 변화로 이어질 수 있어요. NIST SP 800-82 Rev.3도 OT 보안에서 성능·신뢰성·안전 요구사항을 함께 다루도록 설명합니다. 최초 행동은 비상연락망을 호출하고 사고 지휘자, 운전 책임자, 보안 담당자, 설비 담당자의 역할을 확인하는 일이에요.
현장의 기본 흐름은 다음과 같이 잡을 수 있어요. 위험도에 따라 증거 수집, 세션 종료, 구간 격리가 병행될 수 있으므로 고정된 직렬 절차로 해석하지 않습니다.
- 사고 인지와 안전·계통 영향 확인
- 사건 일지 개설과 최초 상태 기록
- 로그 및 디지털 증거 보존
- 의심 계정과 원격접속 경로 통제
- 영향 자산 확인과 승인된 격리
- 침투 경로와 지속성 제거
- 신뢰 가능한 백업으로 단계적 복구
- 운전·보안 검증과 정상 운전 승인
- 보고 검토와 사후 개선
완료 증거: 대응계획 버전, 사고번호, 지휘자와 승인자, 비상연락 시각, 현재 운전 제약이 사건 일지 첫 장에 남아 있어야 해요.
최초 10분의 관찰을 사건 일지에 고정해요
점검 질문: 누가 언제 무엇을 보고 이상이라고 판단했나요? 발견자의 현지 시각과 표준시, 경보 원문, 화면에 표시된 자산명과 네트워크 위치를 그대로 적어요. 보호계전기 트립, 차단기 개방, 통신 경보의 타임스탬프가 서로 어긋나면 사건 순서가 뒤집혀 보일 수 있습니다. 각 장비의 시간대, 시각 동기 상태, 오차 추정치도 함께 남기세요.
| 대상 | 확인 내용 | 완료 증거 | 담당 |
|---|---|---|---|
| 인지 정보 | 발견 시각·발견자·경보 원문 | 원문과 화면 캡처 | 최초 발견자 |
| 설비 상태 | 차단기·계전·통신·전원 상태 | 상태표와 SOE | 운전 담당 |
| 접속 흔적 | 원격 명령·로그인·VPN 세션 | 세션 식별값 | 보안 담당 |
| 운전 영향 | 경보 누락·제어 지연·정전 범위 | 영향 자산 목록 | 사고 지휘자 |
| 기수행 조치 | 격리·차단·재부팅 여부와 시각 | 조치자·승인자 기록 | 조치 수행자 |
전화나 무전으로 받은 내용에는 기록 시각과 전달자를 붙여요. 추정은 사실과 칸을 나눠 적고, 수정할 때는 기존 내용을 지우지 않은 채 정정자와 정정 시각을 남기는 편이 사건 재구성에 유리합니다.
로그는 시간축과 출처가 함께 보존돼야 해요
점검 질문: 사고 전후의 명령, 상태 변화, 인증과 통신 흐름을 어느 자료로 재구성할 수 있나요? SCADA와 HMI 이벤트, Historian 추세, 방화벽·IDS 경보, VPN·점프서버 세션, 운영체제·애플리케이션 로그, 인증 서버 기록, IED·RTU 이벤트를 후보에 올려요. SOE(Sequence of Events)는 설비 사건의 시간 순서 기록이며, 고장파형은 전류·전압과 계전 동작을 대조하는 핵심 자료예요. 관련 구성은 변전소 원격감시 시스템 구조와 운영 원리와 함께 보면 수집 지점을 정리하기 쉬워요.
| 수집 대상 | 확인 내용 | 완료 증거 |
|---|---|---|
| SCADA·HMI·Historian | 경보·명령·태그 추세 | 읽기 전용 사본 |
| 방화벽·IDS·VPN | 통신 상대·세션·차단 기록 | 원본 경로와 내보내기 파일 |
| 인증·서버 | 로그인·권한 변경·프로세스 | 시각 범위가 적힌 사본 |
| IED·RTU | 이벤트·SOE·고장파형·설정 | 장비명과 포트가 적힌 파일 |
필요한 조치: 원본 접근을 제한하고 승인된 방식으로 읽기 전용 사본을 만들어요. 파일별 출처, 장비 식별자, 수집 시작·종료 시각, 수집자, 도구와 절차, 해시값, 보관 위치, 전달 이력을 기록합니다. 해시는 사본이 바뀌지 않았는지 확인하는 무결성 검증값이에요. 보존 기간과 반출 절차는 기관 규정을 따릅니다.
안전이 확보되지 않은 장비를 재부팅하거나 업데이트하면 메모리, 세션, 임시 로그가 사라지고 운전 가용성이 흔들릴 수 있어요. 전원 조작이나 이미지 획득은 설비 영향, 휘발성 정보의 가치, 제조사 제약을 검토해 승인받아야 합니다. 완료 증거: 원본 보호 상태와 해시가 확인된 사본, 인계 서명이 연결돼 있어야 해요.
계정과 접속 경로는 용도를 확인하고 통제해요
점검 질문: 의심 활동에 쓰인 자격증명은 무엇이며 현재 세션이 살아 있나요? 사용자·공유·서비스 계정, API 키, VPN 세션, 인증 토큰, 벤더 원격접속을 구분해 소유자, 마지막 사용 시각, 접속 원본, 권한 변경을 확인해요.
- □ 해당 계정이 보호·감시·통신·백업 서비스에 사용되는지 확인했나요?
- □ 대체 운전 계정과 비상 접근 절차가 실제로 동작하나요?
- □ 세션 종료, 토큰 폐기, 비밀번호·키 교체 범위를 승인받았나요?
- □ 벤더 접속 경로와 예약 작업, 자동 연동의 영향을 확인했나요?
- □ 차단 시각, 근거, 승인자, 예상 영향과 원복 조건을 기록했나요?
필요한 조치: 공격이 진행 중이고 원격 명령 위험이 큰 경우에는 안전 담당자와 협의해 세션 종료나 접속 경로 통제를 신속히 병행할 수 있어요. 서비스 계정을 급히 비활성화하면 HMI 데이터 수집이나 경보 전달이 멈출 수 있으니 의존 관계를 확인합니다. 공유 계정은 사용자를 특정하기 어려우므로 관련 단말, 출입 기록, 교대 기록을 함께 대조하세요. 완료 증거: 통제 전후의 세션 목록, 계정 상태, 서비스 건전성, 대체 접근 시험 결과가 남아야 해요.
영향 범위와 격리 경계를 지도에 표시해요
점검 질문: 같은 통신 경로와 자격증명을 공유하는 자산은 어디까지인가요? 최신 자산 목록과 Zone·Conduit를 확인하세요. Zone은 비슷한 보안 요구의 자산 구역, Conduit는 구역 사이의 통신 경로를 뜻해요. 의심 장비의 최근 통신 상대, 동일 계정이나 인증서를 쓰는 서버, 엔지니어링 워크스테이션, 관리용 노트북, 이동식 매체, 백업 저장소까지 범위를 넓혀 봅니다.
필요한 조치: IED·PLC·보호계전기처럼 민감한 장비는 자산표와 구성 백업의 수동 대조, 네트워크 TAP이나 기존 센서를 이용한 수동적 관찰을 우선 검토해요. 능동 스캔은 운영 승인, 제조사 제약, 시험 환경 결과, 허용 시간대를 확인한 뒤 시행합니다. 예상하지 못한 탐색 트래픽이 통신과 장비 동작에 영향을 줄 수 있기 때문이에요.
네트워크 구간 격리, VPN 폐쇄, 방화벽 임시 규칙, 수동 운전 전환을 선택할 때는 계통 위험과 공격 확산 속도를 함께 평가해요. 조치마다 승인 주체, 적용 포트와 구간, 시작 시각, 감시 방법, 원복 조건을 적습니다. 완료 증거: 영향 자산 지도, 관찰 근거, 예외 자산, 격리 전후 통신 상태가 한 묶음으로 남아야 해요.
복구는 격리 환경에서 검증하며 단계적으로 진행해요
제거와 복구는 ① 침투 경로와 지속성 확인·제거 ② 신뢰 가능한 백업 선정 ③ 백업 무결성과 과거 복구 시험 이력 확인 ④ 펌웨어·구성·보호정정값·PLC 및 IED 로직 대조 ⑤ 격리 환경 복원 ⑥ 제한된 구간부터 재연결 ⑦ 강화 감시 ⑧ 정상 운전 승인 순으로 계획해요. 백업 파일이 존재해도 오염 시점, 설정 누락, 실제 복구 가능성을 확인하지 않으면 정상 복귀를 확신하기 어렵습니다.
설비별 기동과 복구 순서는 제조사 절차와 운전 책임자의 승인을 따르세요. 각 단계에는 중단 기준과 되돌림 지점을 둡니다. 재연결 뒤 비정상 로그인, 예상 밖 통신 상대, 기준선에서 벗어난 트래픽이 나타나면 다음 단계 승인을 보류하고 조사 범위를 다시 정해요.
| 검증 대상 | 확인 내용 | 완료 증거 | 승인 |
|---|---|---|---|
| 시간 | NTP·시각대·장비 오차 | 동기 상태 캡처 | 운전 |
| 제어 | 차단기 명령·상태 피드백·인터록 | 승인된 기능시험표 | 운전 |
| 보호 | 정정값·로직·펌웨어·계전 경보 | 기준본 대조 결과 | 보호 |
| 통신 | 주·예비 경로와 통신 이중화 | 절체 시험 기록 | 통신 |
| 기록 | 알람·SOE·Historian 연속성 | 시험 이벤트 조회 | SCADA |
| 보안 | 로그인·권한·세션·기준선 이탈 | 강화 감시 결과 | 보안 |
완료 증거: 기술 시험만으로 복구를 닫지 않아요. 계통 상태, 현장 표시, 원격 명령과 피드백, 보호 기능, 경보, 기록 연속성, 계정과 네트워크 동작을 함께 확인한 뒤 지정된 책임자가 정상 운전을 승인해야 합니다.
마지막 서명 전에 스스로 점검해요
다음 표를 예·아니요·확인 필요로 표시하세요. ‘확인 필요’에는 담당자와 기한을 붙입니다. 신고 여부와 시한은 모든 변전소에 동일하지 않으므로 운영기관의 법무·보안·대외보고 담당자와 관할 기관이 최신 적용 의무를 확인해야 해요.
| 자가진단 항목 | 예 | 아니요 | 확인 필요 |
|---|---|---|---|
| 사고번호와 최초 발견 시각이 기록됐나요? | □ | □ | □ |
| 안전·계통 영향과 운전 제약을 적었나요? | □ | □ | □ |
| 장비별 시각 오차를 확인했나요? | □ | □ | □ |
| 로그 원본과 읽기 전용 사본을 구분했나요? | □ | □ | □ |
| 사본의 해시와 전달 이력이 있나요? | □ | □ | □ |
| 계정·세션 통제 근거와 영향을 남겼나요? | □ | □ | □ |
| 격리 승인자와 원복 조건이 명확한가요? | □ | □ | □ |
| 백업 무결성과 복구 시험 이력을 확인했나요? | □ | □ | □ |
| 보호·제어·통신·기록 기능을 검증했나요? | □ | □ | □ |
| 복구 승인자와 승인 시각이 기록됐나요? | □ | □ | □ |
| 계획 이탈과 신고 검토 결과를 남겼나요? | □ | □ | □ |
| 교훈과 담당자·개선 기한을 계획에 반영했나요? | □ | □ | □ |
사고가 끝난 뒤에는 연락 지연, 수집 누락, 승인 혼선, 계획 이탈을 훈련 시나리오와 대응계획에 반영해요. 결국 체크리스트의 품질은 칸의 개수에서 나오지 않습니다. 경보가 울린 그 순간, 여러분의 조직에서는 로그 보존 책임자와 정상 운전 복구 승인자를 누구라고 답할 수 있을까요?
