해양선박, 스마트선박을 넘어 자율운항선박과 무인선박으로 발전
네트워크 및 IoT 기기 등 연결되면서 사이버위협 현실화...실제 피해사례 늘어나
선박 및 OT 환경에 최적화된 보안시스템 구축 필요해
[보안뉴스 원병철 기자] 최첨단 디지털 기술과 인공지능(AI)을 적용한 자율운항선박의 개념이 조선해양 및 해운항만 분야에 등장하면서 자율운항선박 시대 도입을 위한 보안체계 준비가 시급해졌다. 이러한 상황에 맞춰 산업계는 물론 학계에서도 해양선박 보안에 대한 연구가 이뤄지고 있는데, 한국정보보호학회 산하 CPS보안연구회·해양사이버보안연구회·정보보호GRC연구회가 공동 개최한 ‘2022 해양선박 보안&보안 GRC 워크숍’은 관련 연구현황을 잘 보여준 사례라 할 수 있다.
현재 해양 선박 분야는 환경규제와 첨단 ICT 기술 발전이라는 두 축을 중심으로 패러다임이 변화하고 있으며, 변화의 두 축은 선박의 자율운항기술을 요구하고 있다. 현재 선박기술의 현 단계인 △스마트 선박(Smart Ship)은 물론 △자율운항선박(Partial Autonomous Ship)과 더 나아가 △무인선박(Fully Autonomous Ship)에서 모두 통신기술을 사용해 육상과 선박이 밀접하게 연결되는 만큼 사이버 공격으로부터의 위협에서 자유로울 수가 없다고 서정택 가천대학교 교수는 설명한다.
즉, 해양 선박 시스템은 과거 네트워크 설치의 어려움과 회선의 전송속도, 신뢰성 등이 낮아 점대점(Point-to-Point) 연결 방식을 이용했다면, 현재는 ICT 기술이 발전함에 따라 스마트 선박이 이용되고 있고, 미래에는 최소한의 선원으로 운항되는 자율운항선박과 사람의 개입이 필요 없는 무인선박으로 발전하고 있다.
미국 롤스로이스 사의 자율운항선박 기술 로드맵에 따르면 2035년까지 자율운항선박 기술 로드맵이 제시됐으며, 2030년까지 연안 원격제어 무인화 기술을 개발할 계획이다. 우리나라 산업통상자원부는 해양수산부와 공동으로 자율주행선박 사업화를 위해 2022년부터 2025년까지 약 1,600억원을 투입할 예정이다.
문제는 네트워크를 기반으로 한 해양 선박 시스템에도 사이버 보안 위협이 증가하고 있다는 사실이다. 해양사고는 도로교통보다 약 6배 이상 심각한데, 이는 사고 발생시 대피공간인 바다에서 2차 피해가 발생할 우려가 크다는 점 때문이다. 이미 2017년 이후 OT 시스템에 대한 사이버공격이 900% 증가했으며, 2020년 2월부터 5월까지 해양산업 전체적으로 사이버공격이 4배 증가했다는 조사 결과도 나왔다.
이에 각국 해사들은 2016년 BIMCO 이후 선박 사이버보안 가이드라인을 발간하고 있으며, 국제해사기구(IMO) 역시 사이버 리스크에 대한 운영상 탄력성을 유지하면서 안전한 운송을 지원할 가이드라인 및 국제 결의서를 채택하고 있다. 국제선급협회도 2016년 사이버 시스템 패널을 신설한 이후, 2018년 선박 사이버시스템의 안전성을 보장하기 위한 12가지 핵심 기술에 대한 권고서를 발간했다. 또한, 한국선급을 비롯한 각국 선급들은 사이버보안 가이드라인을 개발하고, 선박에 사이버보안 부기부호(Notation)를 부여하는 서비스를 제공하고 있다. 사이버보안 부기부호는 리스크, 자산관리, 사고대응 및 복구 등 총 12개 카테고리의 49개 검사항목을 통과한 신조선 선박에 부여한다.
해상안전을 위해 만들어진 선박 및 항만시설 보안에 관한 규정 ISPS Code는 ISPS 보안 트레이너, 준수 항만시설 및 선박과 항구 모두에 대한 공인 보안기관의 정보가 들어있다. 선박은 자체 보안계획을 수립해 정부의 승인을 득해야 하며, 정부의 보안 심사를 받은 후 국제 선박보안인증서(ISSC)를 비치하고 운항해야 한다. 특히, 선박마다 고유식별번호(IMO 번호)를 선체에 영구 표시하도록 강제화하고, 보안증서 미소지 선박은 입항 거부 또는 출항 정지 등 국제항해가 불가능해진다.
하지만 IMO나 BIMCO에서 제시하는 사이버위험 관리 가이드라인은 권고사항에 불과하기 때문에 사이버 위험 예방을 위해 인적, 절차적, 기술적 대응 필요성이 높아지고 있다. 또한, 해운 기업은 가이드라인을 참고해 자사에 맞는 사이버위협 예방/대응 조치 수립이 필요하다는 것이 서정택 교수의 설명이다.
실제로 미국은 2021년 백악관에서 공표한 국가해양사이버보안계획(NMCSP)에서 선박 사이버위험 보안, 해양 사이버 인텔리전스, 해양 디지털 포렌식, 연구개발 및 인력 육성 등의 내용을 강조했으며, 일본도 2018년에 일본해사협회가 선박 사이버보안에 관한 가이드라인을 공표했으며, 2019년부터는 사이버보안 관련 인증서비스 구축 및 운영에 들어갔다. 우리나라는 2020년부터 해양수산부에서 해사 사이버보안 대책 마련을 위한 연구를 진행하고 있다.
해양 선박 사이버보안을 위한 고려사항
현재 해양 선박 사이버보안을 위해 크게 4가지 고려사항이 제기되고 있다. 첫 번째는 선박과 원격관제센터 간에 선박의 보안과 장기적 사용을 고려한 미래 암호기술 적용 필요성이다. 현재 MCP를 이용한 인증이나 VPN, 방화벽 등을 이용하고 있지만 보안성을 높일 수 있는 방안 마련이 필요하다는 내용으로, 향후 해양 선박 분야 기술 발전을 고려한 보안기술 개발이 필요하다고 전문가들은 지적한다. 예를 들면, 양자암호통신이 있다. 지난 2022년 1월 KT와 SK텔레콤·SK브로드밴드는 QKD, LG유플러스는 양자내성암호(PQC: Post Quantum Cryptography)가 적용된 전송장비를 통해 양자암호통신망을 이미 구축한바 있다.
두 번째 고려사항은 해양 선박 내 컨테이너 화물 관리에 블록체인을 적용하는 것이다. 블록체인 기술을 활용하면 거래에 참여하는 모든 사람들이 화물의 이동경로를 실시간으로 확인할 수 있으며, 컨테이너에 대한 정보가 실시간으로 블록체인에 저장(위치, 컨테이너 내부 온도 등)된다. 특히, 블록체인을 활용한 선박검사관리 플랫폼으로 선박의 무선국 허가 및 검사 결과 등의 데이터를 투명하게 관리 및 이용할 수 있게 된다. 블록체인으로 인한 무결성, 실시간성, 신뢰성이 기본으로 보장될 수 있음은 물론이다.
세 번째는 제어시스템, OT 시스템에 대한 사이버위협 대응수칙 적용이다. 예를 들면, 시스템에 대한 무단 접속을 제한하고, 비정상적이거나 악의적인 활동이 보안이 중요한 제어시스템 및 레벨 1 장비에 접근하지 못하도록 차단하거나, 보안 다중 시스템을 사용해 디지털 및 아날로그 신호와 함께 네트워크 IP 수준을 지속적으로 모니터링해야 한다는 것이다. 또한, 자동화된 사고 탐지를 통해 실시간으로 분석이 가능하고, 신뢰할 수 있는 운영자 및 사이버보안 전문가에게 전용 통신 시스템을 통해 지속적으로 통지할 수 있도록 해야 한다. 아울러 디지털 및 아날로그 센서, 작동기, 제어기 및 OT 네트워크에서 시스템 데이터를 수집할 수 있어야 하고, 공격을 받았을 경우 안전한 운영 상태로 복구하기 위한 자동 또는 오퍼레이터 안내 응답, 시스템 복구, 기능 재설정이 가능해야 한다.
마지막 네 번째는 신뢰할 수 없는 첨부파일 열람 금지, 불필요한 기능 최소화, 백신 및 패치 업데이트 관리와 함께 선박 설계 및 개발 단계부터 네트워크와 시스템 및 기기 레벨까지 사이버보안 대책을 마련해야 한다는 점이다. 또한, 선박 보안 평가, 보안기능 시험/인증, 취약성 분석 등 다양한 분야에서 기술개발을 추진해야 하며, 선박 내 제어시스템 대상의 신규 보안기술 개발 및 기존 기술 최적화 적용도 요구된다.
[원병철 기자(boanone@boannews.com)]
네트워크 및 IoT 기기 등 연결되면서 사이버위협 현실화...실제 피해사례 늘어나
선박 및 OT 환경에 최적화된 보안시스템 구축 필요해
[보안뉴스 원병철 기자] 최첨단 디지털 기술과 인공지능(AI)을 적용한 자율운항선박의 개념이 조선해양 및 해운항만 분야에 등장하면서 자율운항선박 시대 도입을 위한 보안체계 준비가 시급해졌다. 이러한 상황에 맞춰 산업계는 물론 학계에서도 해양선박 보안에 대한 연구가 이뤄지고 있는데, 한국정보보호학회 산하 CPS보안연구회·해양사이버보안연구회·정보보호GRC연구회가 공동 개최한 ‘2022 해양선박 보안&보안 GRC 워크숍’은 관련 연구현황을 잘 보여준 사례라 할 수 있다.
[이미지=utoimage]
현재 해양 선박 분야는 환경규제와 첨단 ICT 기술 발전이라는 두 축을 중심으로 패러다임이 변화하고 있으며, 변화의 두 축은 선박의 자율운항기술을 요구하고 있다. 현재 선박기술의 현 단계인 △스마트 선박(Smart Ship)은 물론 △자율운항선박(Partial Autonomous Ship)과 더 나아가 △무인선박(Fully Autonomous Ship)에서 모두 통신기술을 사용해 육상과 선박이 밀접하게 연결되는 만큼 사이버 공격으로부터의 위협에서 자유로울 수가 없다고 서정택 가천대학교 교수는 설명한다.
즉, 해양 선박 시스템은 과거 네트워크 설치의 어려움과 회선의 전송속도, 신뢰성 등이 낮아 점대점(Point-to-Point) 연결 방식을 이용했다면, 현재는 ICT 기술이 발전함에 따라 스마트 선박이 이용되고 있고, 미래에는 최소한의 선원으로 운항되는 자율운항선박과 사람의 개입이 필요 없는 무인선박으로 발전하고 있다.
미국 롤스로이스 사의 자율운항선박 기술 로드맵에 따르면 2035년까지 자율운항선박 기술 로드맵이 제시됐으며, 2030년까지 연안 원격제어 무인화 기술을 개발할 계획이다. 우리나라 산업통상자원부는 해양수산부와 공동으로 자율주행선박 사업화를 위해 2022년부터 2025년까지 약 1,600억원을 투입할 예정이다.
문제는 네트워크를 기반으로 한 해양 선박 시스템에도 사이버 보안 위협이 증가하고 있다는 사실이다. 해양사고는 도로교통보다 약 6배 이상 심각한데, 이는 사고 발생시 대피공간인 바다에서 2차 피해가 발생할 우려가 크다는 점 때문이다. 이미 2017년 이후 OT 시스템에 대한 사이버공격이 900% 증가했으며, 2020년 2월부터 5월까지 해양산업 전체적으로 사이버공격이 4배 증가했다는 조사 결과도 나왔다.
이에 각국 해사들은 2016년 BIMCO 이후 선박 사이버보안 가이드라인을 발간하고 있으며, 국제해사기구(IMO) 역시 사이버 리스크에 대한 운영상 탄력성을 유지하면서 안전한 운송을 지원할 가이드라인 및 국제 결의서를 채택하고 있다. 국제선급협회도 2016년 사이버 시스템 패널을 신설한 이후, 2018년 선박 사이버시스템의 안전성을 보장하기 위한 12가지 핵심 기술에 대한 권고서를 발간했다. 또한, 한국선급을 비롯한 각국 선급들은 사이버보안 가이드라인을 개발하고, 선박에 사이버보안 부기부호(Notation)를 부여하는 서비스를 제공하고 있다. 사이버보안 부기부호는 리스크, 자산관리, 사고대응 및 복구 등 총 12개 카테고리의 49개 검사항목을 통과한 신조선 선박에 부여한다.
해상안전을 위해 만들어진 선박 및 항만시설 보안에 관한 규정 ISPS Code는 ISPS 보안 트레이너, 준수 항만시설 및 선박과 항구 모두에 대한 공인 보안기관의 정보가 들어있다. 선박은 자체 보안계획을 수립해 정부의 승인을 득해야 하며, 정부의 보안 심사를 받은 후 국제 선박보안인증서(ISSC)를 비치하고 운항해야 한다. 특히, 선박마다 고유식별번호(IMO 번호)를 선체에 영구 표시하도록 강제화하고, 보안증서 미소지 선박은 입항 거부 또는 출항 정지 등 국제항해가 불가능해진다.
하지만 IMO나 BIMCO에서 제시하는 사이버위험 관리 가이드라인은 권고사항에 불과하기 때문에 사이버 위험 예방을 위해 인적, 절차적, 기술적 대응 필요성이 높아지고 있다. 또한, 해운 기업은 가이드라인을 참고해 자사에 맞는 사이버위협 예방/대응 조치 수립이 필요하다는 것이 서정택 교수의 설명이다.
실제로 미국은 2021년 백악관에서 공표한 국가해양사이버보안계획(NMCSP)에서 선박 사이버위험 보안, 해양 사이버 인텔리전스, 해양 디지털 포렌식, 연구개발 및 인력 육성 등의 내용을 강조했으며, 일본도 2018년에 일본해사협회가 선박 사이버보안에 관한 가이드라인을 공표했으며, 2019년부터는 사이버보안 관련 인증서비스 구축 및 운영에 들어갔다. 우리나라는 2020년부터 해양수산부에서 해사 사이버보안 대책 마련을 위한 연구를 진행하고 있다.
해양 선박 사이버보안을 위한 고려사항
현재 해양 선박 사이버보안을 위해 크게 4가지 고려사항이 제기되고 있다. 첫 번째는 선박과 원격관제센터 간에 선박의 보안과 장기적 사용을 고려한 미래 암호기술 적용 필요성이다. 현재 MCP를 이용한 인증이나 VPN, 방화벽 등을 이용하고 있지만 보안성을 높일 수 있는 방안 마련이 필요하다는 내용으로, 향후 해양 선박 분야 기술 발전을 고려한 보안기술 개발이 필요하다고 전문가들은 지적한다. 예를 들면, 양자암호통신이 있다. 지난 2022년 1월 KT와 SK텔레콤·SK브로드밴드는 QKD, LG유플러스는 양자내성암호(PQC: Post Quantum Cryptography)가 적용된 전송장비를 통해 양자암호통신망을 이미 구축한바 있다.
두 번째 고려사항은 해양 선박 내 컨테이너 화물 관리에 블록체인을 적용하는 것이다. 블록체인 기술을 활용하면 거래에 참여하는 모든 사람들이 화물의 이동경로를 실시간으로 확인할 수 있으며, 컨테이너에 대한 정보가 실시간으로 블록체인에 저장(위치, 컨테이너 내부 온도 등)된다. 특히, 블록체인을 활용한 선박검사관리 플랫폼으로 선박의 무선국 허가 및 검사 결과 등의 데이터를 투명하게 관리 및 이용할 수 있게 된다. 블록체인으로 인한 무결성, 실시간성, 신뢰성이 기본으로 보장될 수 있음은 물론이다.
세 번째는 제어시스템, OT 시스템에 대한 사이버위협 대응수칙 적용이다. 예를 들면, 시스템에 대한 무단 접속을 제한하고, 비정상적이거나 악의적인 활동이 보안이 중요한 제어시스템 및 레벨 1 장비에 접근하지 못하도록 차단하거나, 보안 다중 시스템을 사용해 디지털 및 아날로그 신호와 함께 네트워크 IP 수준을 지속적으로 모니터링해야 한다는 것이다. 또한, 자동화된 사고 탐지를 통해 실시간으로 분석이 가능하고, 신뢰할 수 있는 운영자 및 사이버보안 전문가에게 전용 통신 시스템을 통해 지속적으로 통지할 수 있도록 해야 한다. 아울러 디지털 및 아날로그 센서, 작동기, 제어기 및 OT 네트워크에서 시스템 데이터를 수집할 수 있어야 하고, 공격을 받았을 경우 안전한 운영 상태로 복구하기 위한 자동 또는 오퍼레이터 안내 응답, 시스템 복구, 기능 재설정이 가능해야 한다.
마지막 네 번째는 신뢰할 수 없는 첨부파일 열람 금지, 불필요한 기능 최소화, 백신 및 패치 업데이트 관리와 함께 선박 설계 및 개발 단계부터 네트워크와 시스템 및 기기 레벨까지 사이버보안 대책을 마련해야 한다는 점이다. 또한, 선박 보안 평가, 보안기능 시험/인증, 취약성 분석 등 다양한 분야에서 기술개발을 추진해야 하며, 선박 내 제어시스템 대상의 신규 보안기술 개발 및 기존 기술 최적화 적용도 요구된다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-10-31] .jpg)
