[기획] 스마트 제조의 생존 화두 ‘OT 보안’, IEC 62443과 유럽 사이버복원력법(CRA) 규제 장벽을 넘다

제어기기 설계부터 사후 취약점 관리까지… Security by Design과 SBOM 기반의 공급망 실무 대응 전략

제조 현장이 사물인터넷(IoT), 인공지능(AI), 클라우드와 결합하면서 공장 내부의 폐쇄망에 머물던 운영기술(OT, Operational Technology) 환경이 외부 네트워크와 빠르게 연결되고 있다. 생산 효율과 유연성을 극대화하는 스마트 팩토리의 확산 이면에는 심각한 사이버 보안 위협이 도사린다. 전통적인 사무용 정보기술(IT) 침해가 데이터 유출 피해에 그친다면, OT 보안 사고는 공장 설비의 파손, 생산 중단, 그리고 현장 작업자의 인명 피해로 직결된다.

이러한 위협에 대응하여 유럽연합(EU)은 디지털 요소를 포함한 모든 하드웨어 및 소프트웨어 제품에 사이버 보안 의무를 부과하는 ‘사이버복원력법(CRA, Cyber Resilience Act)’을 강력하게 추진하고 있다. 이에 따라 글로벌 수출 시장에 진출하는 제조 장비, 산업용 제어기기, 부품 제조사들은 국제 표준인 ‘IEC 62443’을 바탕으로 제품 개발 및 생산 체계를 재편해야 하는 과제에 직면했다.

산업 제어시스템 보안의 글로벌 표준 나침반, IEC 62443 프레임워크

국제전기기술위원회(IEC)가 제정한 IEC 62443은 산업 자동화 및 제어 시스템(IACS, Industrial Automation and Control Systems)의 사이버 보안을 보장하기 위한 대표적인 국제 표준이다. 이 표준은 공장 자산을 도입해 운영하는 엔드유저(공장 운영사), 자동화 라인을 구축하는 시스템 통합업체(SI), 그리고 PLC나 센서, 드라이브를 만드는 장비·부품 제조사 모두의 역할을 단계별로 규정한다.

기기 제조사 관점에서 가장 주목해야 할 핵심 기준은 ‘IEC 62443-4-1’과 ‘IEC 62443-4-2’이다.

• IEC 62443-4-1은 제품 개발 프로세스 자체의 보안성을 평가하는 규격이다. 기획 단계부터 보안 요구사항을 정의하고, 위협 모델링(Threat Modeling)과 코드 정적 분석을 거쳐 출시 후 취약점 패치까지 이어지는 ‘보안 생애주기 관리’ 체계를 갖추었는지를 점검한다.
• IEC 62443-4-2는 장비 자체의 기술적 보안 요건을 다룬다. 기기 접근 제어, 데이터 암호화, 소프트웨어 무결성 검증, 이상 트래픽 감지 등 실제 임베디드 장치에 구현되어야 하는 보안 기능을 명시한다.

네트워크 아키텍처 관점에서는 ‘구역 및 도관(Zones and Conduits)’ 모델이 필수적으로 적용된다. 공장 내부 네트워크를 기능과 중요도에 따라 여러 구역(Zone)으로 나누고, 구역 간을 연결하는 통신 채널(Conduit)에 방화벽과 침입 차단 시스템을 배치한다. 이를 통해 특정 로봇이나 센서가 해킹되더라도 전체 제조 라인으로 피해가 확산되는 것을 구조적으로 방어한다.

EU CRA 규제 장벽과 공급망 대응: SBOM과 생애주기 보안의 결합

유럽 시장 진출의 필수 요건으로 떠오른 사이버복원력법(CRA)은 제조 기업에 과거와 전혀 다른 차원의 규제 준수를 요구한다. CRA는 디지털 연결 기능을 가진 하드웨어와 소프트웨어 제품이 설계 단계부터 보안성을 내재화(Security by Design)해야 함을 법적으로 강제한다. 만약 중대한 보안 결함이 발견되거나 보안 기준을 충족하지 못하면 CE 마크 부착이 거부되어 EU 역내 판매가 전면 금지된다.

CRA의 핵심 이행 요구사항 중 하나는 소프트웨어 자재명세서(SBOM, Software Bill of Materials)의 의무화이다. 산업용 제어 소프트웨어나 펌웨어에는 다양한 오픈소스 및 서드파티 라이브러리가 포함된다. 제조사는 제품 안에 어떤 소프트웨어 컴포넌트와 라이브러리가 포함되었는지 투명하게 기록하고 관리해야 한다. 새로운 취약점(CVE)이 세상에 공개되었을 때, 자사 장비 중 어떤 모델이 영향을 받는지 즉시 추적할 수 있어야 하기 때문이다.

또한 제품이 판매된 이후에도 최소 5년 이상의 예상 사용 기간 동안 보안 업데이트를 무상으로 제공해야 하며, 악용 가능한 취약점을 발견한 경우 24시간 이내에 유럽연합 사이버안보청(ENISA)과 관할 당국에 공식 통보해야 한다.

결국 IEC 62443 준수는 EU CRA의 복잡한 법적 요건을 입증할 수 있는 가장 확실한 기술적 대응책이 된다. 개발 프로세스(IEC 62443-4-1)와 제품 기술 요건(IEC 62443-4-2)을 이미 충족한 기업은 CRA가 요구하는 보안성 검증과 적합성 평가를 신속하게 통과할 수 있다. 이제 OT 사이버 보안은 단순한 IT 관리의 부수적 업무가 아니라, 제조업의 글로벌 시장 진입과 수출 경쟁력을 결정하는 핵심 비즈니스 생존 전략이다.

용어해설

• IEC 62443: 국제전기기술위원회(IEC)와 국제자동화협회(ISA)가 공동 제정한 산업 자동화 및 제어 시스템(IACS) 전용 사이버 보안 국제 표준이다.
• 사이버복원력법 (CRA, Cyber Resilience Act): 유럽연합(EU) 시장에 유통되는 디지털 연결 기기 및 소프트웨어를 대상으로 설계 단계부터 폐기까지 전 주기 보안 요건을 의무화한 유럽의 강력한 보안 규정이다.
• Security by Design (설계 기반 보안): 제품 개발이 완료된 후 사후에 보안 패치를 적용하는 방식이 아니라, 기획, 설계, 코딩, 테스트 등 제품 개발의 초기 단계부터 보안 메커니즘을 내재화하는 개발 접근법이다.
• SBOM (Software Bill of Materials, 소프트웨어 자재명세서): 특정 소프트웨어를 구성하는 오픈소스, 독자 라이브러리, 모듈 및 종속성 정보를 투명하게 정리한 소프트웨어 부품 명세서이다.
• Zone and Conduit (구역 및 도관 모델): IEC 62443의 핵심 네트워크 세분화 아키텍처로, 공장 네트워크를 보안 요구 수준이 유사한 구역(Zone)으로 격리하고, 구역 간 데이터가 이동하는 통로(Conduit)에 엄격한 보안 통제를 적용하는 설계 방식이다.