[인터뷰] 바다 위의 스마트폰 된 선박... 라쿠텐 마리타임이 그리는 ‘사이버 복원력’

국제선급협회 의무 규정 적용된 사례 제시하며 실질적 성과
타사 모방 불가한 전 주기 아키텍처로 해양 사이버보안 주도

[보안뉴스 조재호 기자] “선박은 더 이상 기계 장치의 집합체가 아닙니다. 수많은 운영기술(OT)과 IT 장비가 하나로 연결돼 실시간으로 데이터를 교환하는 바다 위 거대한 스마트폰으로 진화했습니다. 사이버 공격으로 인한 통제권 상실이 곧 해양 사고로 직결되는 시대에, 건조가 끝난 배에 방화벽 하나를 덧붙이는 정도의 대처로는 결코 강력해진 국제 규제의 벽을 넘을 수 없습니다.”

▲손승형 라쿠텐 마리타임 총괄이 인터뷰를 진행하고 있다. [출처: 보안뉴스]

손승현 라쿠텐 심포니 인터넷 서비스 부문 대표 겸 라쿠텐 마리타임 총괄은 디지털 전환기를 맞이한 해양 사이버보안의 현주소와 선박 보안 내재화에 대해 이같이 진단했다.

도면 설계부터 시작되는 규제, 2년 유예 끝에 찾아온 해양 사이버보안
최근 조선·해양 산업의 보안 패러다임이 변화하고 있다. 국제선급협회(IACS)가 제정한 선박 사이버보안 의무 규정인 ‘UR E26’과 ‘UR E27’은 2024년 7월 공식 발효되어 이후 계약에 들어가는 선박에 적용되고 있다. 대형 선박이 도면 설계부터 건조를 거쳐 최종 인도에 이르기까지 통상 2년 이상의 물리적 기간이 소요되는 조선업의 특성을 고려할 때, 규제 시행 이전에 계약된 선박들이 건조를 마무리하는 가운데, 이제는 규제의 실효성이 본격적으로 나타나는 시점에 접어들고 있다.

손 대표는 초기 시장 분위기에 대해 “규제가 본격화되기 전인 지난해 초만 하더라도 글로벌 선주의 70%는 해당 규제의 존재 자체를 정확히 인지하지 못했고, 나머지 30% 역시 타사의 적용 사례를 지켜보며 문서 작업 위주로 대응을 미루는 관망세를 보였다”며 “선박 전체의 네트워크 보안성을 요구하는 ‘UR E26’과 개별 기자재의 보안성을 명시한 ‘UR E27’을 동시에 충족하기 위해서는 거대한 행정적 기술적 장벽을 넘어야만 했다”고 말했다.

선박에 탑재되는 추진·조향·발전·항해·통신 등 수백 개의 이기종 기자재가 각각 다른 프로토콜과 제조국을 가진 상황에서, 조선소가 이를 일일이 검증하고 수천 장의 증적 문서를 생성해 선급의 인증을 받아야 하는 탓에 현장의 애로사항이 극에 달했다는 설명이다.

손 대표는 이어 “하지만 2년의 건조 주기가 돌아오며 실제 선박 인도가 임박해짐에 따라 글로벌 조선업계는 더 이상 조치를 늦출 수 없는 실질적 규제 대응의 골든타임을 맞이했다”며 “이 타이밍에 한화오션이 전 세계에서 가장 선제적인 리더십을 발휘해 실질적인 방어 체계를 아키텍처로 구현해 냈다”고 말했다.

라쿠텐 마리타임은 글로벌 탑티어 조선소인 한화오션과 파트너십을 체결하며 컴플라이언스 위기를 비즈니스의 무기로 전환하는 해법을 제시했다. 손 대표는 “한화오션과의 계약은 단순히 소프트웨어 제품 하나를 납품하는 일회성 프로젝트를 뛰어넘는다”며 “전 세계 해운 시장을 움직이는 유럽과 아시아의 메이저 선주사들에게 납품될 선박의 설계 도면 단계부터 라쿠텐 마리타임의 보안 아키텍처를 전면 편입시켜 구동하는 살아있는 표준 선례를 구축한 것”이라고 설명했다.

▲라쿠텐 마리타임은 최근 한화오션과 통합 솔루션 도입 계약을 체결했다. [출처: 라쿠텐 마리타임]

통신 인프라 DNA, 선박 전 주기 아우르는 독점적 기술 해자 구축
일본의 대표 IT 통신 기업 라쿠텐이 조선업이라는 전통 도메인에 진출해 단기간에 핵심 플레이어로 자리 잡을 수 있었던 배경에는 라쿠텐 그룹의 통신 사업을 이끌고 있는 라쿠텐 심포니가 축적한 방대한 통신 인프라 운영 노하우가 있다. 라쿠텐은 세계 최초로 ‘오픈랜’(Open RAN) 기술을 이용해 전국망 단위의 5G 네트워크를 설치하고 운영해 온 유일무이한 기술력을 보유하고 있다.

손 대표는 “기존의 통신 네트워크 운영을 위해 통상 10개의 전용 하드웨어가 필요했고, 이를 소수의 거대 글로벌 벤더사들이 독점해 공급망을 장악하고 있었다”며 “우리는 하드웨어를 3개의 범용 장비로 압축하고 기술 종속성을 탈피해 낸 인프라 운영 경험이 있었기에 복잡하게 얽힌 선박 내부의 네트워크를 효율적으로 가시화하고 통제하는 아키텍처를 손쉽게 설계할 수 있었다”고 기술적 자신감을 드러냈다.

라쿠텐 마리타임은 이 무중단 운영 기술의 DNA를 해상에 그대로 이식해 ‘사이버시큐리티 바이 디자인’(Cybersecurity-by-Design)이라는 핵심 접근 방식을 바탕으로 솔루션을 제공하고 있다. 손 대표는 “대형 통신 인프라와 선박 네트워크는 장애나 해킹 발생 시 서비스가 중단되면, 국가 경제와 글로벌 무역 전반에 치명타를 입힌다는 점에서 본질적으로 동일한 생리를 지닌다”며 선박보안의 특수성을 다음과 같이 말했다.

“망망대해를 항해 중인 선박은 육상의 사무실 환경처럼 업데이트나 취약점 패치를 위해 임의로 30분에서 1시간 동안 시스템과 네트워크를 중단할 수 없다. 시스템 중단이 곧 안전과 직결되기 때문이다. 우리는 무중단 통신망을 운영하며 쌓은 인프라 가용성 확보 기술을 바탕으로 운항 안정성을 완벽히 보장하면서 취약점을 식별하는 최적의 균형점을 찾았다.”

라쿠텐 마리타임은 설계 초기 단계에서는 ‘위협 모델러’(Threat Modeler) 솔루션으로 장비 간 연결성을 투명하게 들여다보고, ‘스캐너’(Scanner) 솔루션을 가동해 실제 네트워크 내 자산을 자동으로 식별하고 취약점을 탐지해 선박이 보안 관점에서 무결하게 구현되었는지 입증하는 전 주기 통제 체계를 구축했다.

이러한 전 주기 통제 아키텍처는 초기 해양 보안 시장에서 라쿠텐 마리타임만이 확보한 독보적인 기술적 해자로 작용하고 있다. 선박 설계 도면에 보안을 내재화하는 작업은 조선소와 기자재 업체, 선급 등 다수의 이해관계자가 사용하는 다국적 다기종 프로토콜을 통제해야 하는 극도의 기술적 난이도와 함께 전통적인 선박 제조업 이해를 수반하기 때문이다.

실제로 글로벌 해양 보안 시장은 방대한 선박 생애주기에 맞춰 각 기업이 특정 단계의 전문 영역을 구축하며 세분화되는 추세다. 영국의 보안 기업인 사이버아울(CyberOwl)은 선급의 복잡한 요구사항에 맞춰 조선소의 문서를 검증하는 심사 지원 솔루션 영역에 역량을 집중하고 있다. 또, 이스라엘의 주요 해양 보안 기업인 사이돔(Cydome)은 선박 인도 이후 운항 단계의 네트워크 모니터링 분야에서 강점을 발휘하는 등 각자의 특화된 시장을 형성하고 있다.

라쿠텐 마리타임은 이러한 시장의 구조적 한계를 파고들어, 오히려 이스라엘 기업과는 파트너십을 체결하고 운항 단계에서 그들의 제품을 함께 판매하는 글로벌 세일즈 전략을 취했다. 결과적으로 도면 설계의 위협 분석부터 실선 건조 이후의 물리적 네트워크 무결성 검증까지 선박의 전체 생애주기를 아우른 기술 통제권을 확보한 곳은 현재 라쿠텐 마리타임이 유일하다.

극심한 융합형 인재 기근, 가시성 확보와 원격 관제 자동화가 해답
해양 사이버보안 생태계 확장의 가장 큰 과제는 산업 전반에 몰아친 극심한 전문 인력 기근 현상이다. 일반적인 IT 보안 지식을 넘어 선박 운항 메커니즘, OT 시스템 생리, 선급 규정 프로세스까지 통합적으로 이해하는 융합형 인재는 보안 시장에 극소수에 불과하기 때문이다.

라쿠텐 마리타임 역시 사업 초기 보수적인 조선업계 현장으로부터 해양 산업의 생리를 이해하지 못하고 IT 지식만 늘어놓는 단순 소프트웨어 기업으로 치부되는 장벽을 겪었다.

손 대표는 “해양 산업 현장에서는 보안만 안다고 만나주지도 않으며, 대화 자체가 통하지 않는 폐쇄적인 구조를 지녔다”며 “우리는 왕도가 없다는 판단하에 2024년 말부터 그리스를 시작으로 일본의 도쿄, 오사카, 이마바리 등 전국을 돌아다니며 명함을 돌리고 문을 두드렸다”고 극복 과정을 설명했다.

동시에 조직 내부에 대형 조선사 출신 실무 전문가를 전격 영입하고 일본 얀마(Yanmar)와 일본선급협회 출신의 시니어 인력을 대거 확보해 현장 밀착력과 도면 해설 전문성을 최고 수준으로 끌어올렸다. 또, 한국해양대 등 주요 교육 기관과의 업무협약(MOU)을 체결해 주니어 정보보호 인력을 선제적으로 확보하는 투트랙 전략을 구사하고 있다. 나아가 손 대표는 인력 수급의 물리적 한계를 AI와 자동화 시스템으로 타개하기 위한 3가지 현실적인 대응 구조를 구체화해 제시했다.

손 대표는 “예전처럼 모든 선박마다 전문가를 승선시켜 방어하는 구조는 더 이상 불가능하며 효율적이지도 않다. 우리는 세 단계의 해법을 제시하고 있다. △선박의 모든 보안 상태를 육상 관제센터에서 한눈에 들여다 볼 수 있는 통합 가시성을 확보한다. △자산 식별·취약점 점검·이상 징후 탐지와 로그 분석 같은 반복적이고 기술적인 작업은 우리의 솔루션으로 100% 자동화해 실무진의 피로도를 낮춘다. △선박 승조원은 안전 운항 본연의 임무에만 철저히 집중하고, 실제 조치가 필요한 위협 상황이 발생할 때만 육상의 보안 전문가가 개입해 원격 지원하는 이원화된 거버넌스 체계를 확립한다. 이것이 인력 기근을 극복할 유일무이한 돌파구라 생각한다.”고 말했다.

규제 충족의 프레임을 깨다 ‘사이버 복원력’ 중심의 가치 창출

손 대표는 해양 사이버보안 시장이 규제 대응이라는 수동적 프레임을 넘어서서 선박의 품질과 경제적 이익을 극대화하는 방식으로 전환될 것이라는 미래 비전을 제시했다.

비즈니스 전략의 일환으로 라쿠텐 마리타임은 현재 일본을 비롯해 국내 보험사와 실무 협의를 진행하고 있다. 설계 단계부터 보안 규정을 준수하고 선급의 모범 사례 인증을 획득한 선박에 대해, 선주가 부담해야 할 사이버보안 보험료를 할인해 주는 파트너십을 위해서다.

손 대표는 “수십 년 전만 해도 건물 내부에 스프링클러를 의무 설치하거나 자동차에 3점식 안전벨트를 도입하는 것을 비용이 소모되는 번거로운 규제로만 여겼으나, 현재는 누구도 그 안전망의 필요성에 의문을 제기하지 않는다”며 패러다임의 대전환을 예고했다.

이어 “지금 글로벌 해양산업을 강타한 UR E26·E27 컴플라이언스 대응은 혁신의 출발점으로 불과 2~3년 사이 서류상 규제 통과에 안주하는 시대가 끝나고, 해킹 공격을 받더라도 선박의 핵심 제어 기능을 안정적으로 유지하면서 항해를 이어가는 ‘사이버 복원력’(Cyber Resilience) 확보가 조선업의 기본이자 품질의 기준이 될 것”이라며 “선주와 조선소가 사이버보안을 단순 비용이나 규제로 인식하는 보수적인 프레임을 깨부수고, 세계 시장에서 더 안전하고 신뢰할 수 있는 스마트 선박을 건조해 비즈니스 무기로 활용하도록 지원하는 것이 라쿠텐 마리타임이 가고자 하는 최종 종착지”라고 말했다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다