센스톤, K-water와 국가 기반시설 OT 보안의 새로운 가능성 입증

수도시설 감시제어 설비 대상 사용자 인증 기반 OT 보안 실증 성과 확보
OTAC TAG 기반 ‘사전 차단형 OT 보안’, 국가 기반시설 현장 적용 가능성 확인

[보안뉴스 원병철 기자] 인증보안 전문기업 센스톤(대표 유창훈)은 한국수자원공사(K-water)와 공동 수행한 ‘수도시설 감시제어 설비 보안 강화를 위한 사용자 인증 시스템 개발’ 과제가 최근 성과공유제 최종 심의에서 적합 판정을 받았다고 밝혔다.

이번 과제는 수도시설 감시제어 설비 운영 환경에서 기존 고정값 비밀번호 및 공유 계정 방식이 갖는 한계를 개선하고, OT 환경에 적합한 사용자 식별·인증 기반 접근통제 체계를 검증하기 위해 추진됐다.

센스톤은 이번 성과에 대해 단순한 제품 검증이나 납품 성과를 넘어, 국가 기반시설 현장에서 새로운 OT 보안 구조를 함께 실증할 수 있도록 기회를 제공한 한국수자원공사의 신뢰와 결단이 있었기에 가능했다고 설명했다.

센스톤 유창훈 대표는 “이번 성과는 센스톤 혼자 만든 결과가 아니라, 실제 국가 기반시설 현장을 열어주고 끝까지 함께 검증해 준 한국수자원공사의 신뢰가 있었기에 가능했다”고 밝혔다.

폐쇄망 의존 OT 보안의 한계
최근 글로벌 수처리 및 국가 기반시설 환경에서는 PLC, HMI, SCADA 등 감시제어 설비를 노린 사이버 공격이 빠르게 증가하고 있다. 미국 수처리 시설 PLC 침해(Unitronics 사건), 노르웨이 댐 원격 개방 사고 등 물리적 설비와 연결된 OT 환경에서는 비인가 사용자의 접근이 실제 운영 안정성과 직결될 수 있어, 기존 네트워크 격리나 탐지 중심 보안만으로는 충분하지 않다는 문제의식이 커지고 있다.

한국수자원공사 역시 이러한 변화 속에서 기존 고정값 비밀번호 기반 감시제어 설비 운영 방식의 한계를 인식하고 있었다. 개별 사용자 인증 체계와 접근통제, 감사 로그 확보 필요성이 제기됐지만, 국가 기반시설 특성상 운영 중인 기존 시스템을 쉽게 변경하기 어려운 현실적인 제약도 존재했다.

이 과정에서 한국수자원공사는 단순히 이미 완성된 제품을 구매하는 대신, 현장에서 실제로 필요한 OT 보안 구조를 함께 검증하는 방식을 선택했다. 센스톤에게 이는 단순한 납품 프로젝트가 아니라, 국가 기반시설 환경에서 기술 가능성을 입증해야 하는 쉽지 않은 도전이었다.

국가 기반시설 현장 실증과 공동 검증
현장 실증은 단기간 형식적 PoC 수준이 아니라, 실제 수도시설 운영 환경을 기반으로 진행됐다. 센스톤은 현장 실사와 테스트베드 검증, 공인시험 등을 반복하며 기술 완성도를 높였고, 기존 감시제어 장비를 그대로 사용하고 설정 변경도 없이 사용자 식별·인증·접근통제·감사 로그 체계를 구축하는 데 집중했다. OTAC Trusted Access Gateway(TAG)는 OT 엔드포인트 접근 이전 단계에서 사용자를 식별·인증하고 권한에 따라 접근을 통제하는 센스톤의 산업제어 환경 특화 보안 솔루션이다.

특히 한국수자원공사는 운영 안정성이 최우선인 국가 기반시설 환경에서 센스톤의 기술을 실제 현장에 적용할 수 있도록 테스트 환경과 검증 기회 및 현장의 요구사항을 지속 제공했다. 이 과정에서 기후테크혁신처는 성과공유제 운영을 통해 과제 추진과 평가 절차가 안정적으로 진행될 수 있도록 지원했으며, 정보보안처는 OT 보안 관점의 기술 검토와 현장 적용 방향을 함께 구체화했다.

그 결과 센스톤과 한국수자원공사는 최근 성과공유제 최종 심의에서 적합 판정을 받았다. 업계에서는 이번 사례를 기존 모니터링·탐지 중심 OT 보안에서 나아가, 실제 설비 접근 이전 단계에서 사용자 인증을 수행하는 ‘사전 차단형 OT 보안’ 구조의 현장 실증 사례로 평가하고 있다.

‘사전 차단형 OT 보안’ 실증 성과
그 결과 센스톤은 기존 OT 환경의 주요 한계로 지적돼 온 고정값 비밀번호 기반 인증, 사용자 식별 부재, 접속 로그 관리 미흡 등의 문제를 개선할 수 있음을 확인했다. 사용자별 인증 기반 접근통제와 감사 로그 체계를 통해 비인가 접근 차단은 물론, 사고 발생 시 접근 이력 추적 가능성도 높였다는 평가다.

이번 사업은 IEC 62443-4-2 및 IEC 62443-3-3의 FR1(Identification & Authentication Control) 요구사항 대응도 지원하며, 국가정보원의 ‘제어시스템 보안 모니터링 구축 가이드라인’ 실증 사례와 연계될 것으로 기대된다.

센스톤은 향후 주요 기반시설 확대 적용과 함께 PLC뿐 아니라 RTU, DCS, HMI 등 다양한 OT 엔드포인트 영역까지 적용 범위를 넓혀갈 계획이다. 이번 성과공유제를 통해 한국수자원공사와 공동 특허 출원도 진행할 예정이다.

유창훈 센스톤 대표는 “이번 성과는 센스톤 혼자 만든 결과가 아니라, 실제 국가 기반시설 현장을 열어주고 끝까지 함께 검증해 준 한국수자원공사의 신뢰와 용기가 있었기에 가능했다”며 “기존 방식만 유지했다면 절대 나올 수 없었던 결과였고, 현장의 문제를 함께 고민해 준 담당자들과 실무진의 열정 덕분에 새로운 OT 보안 가능성을 확인할 수 있었다”고 말했다.

이어 “AI 기반 공격 자동화와 원격 운영 확대가 가속화될수록 OT 보안은 더 이상 탐지 이후 대응만으로 충분하지 않다”며 “실제 설비와 연결된 OT 엔드포인트에 접근하기 전, 누가 접근하려는지를 식별하고 인증하며 통제하는 구조가 중요해지고 있다”고 밝혔다. 아울러 “센스톤은 앞으로도 실제 산업 및 국가 기반시설 환경에서 작동하는 실질적인 OT 보안 기술을 만들어가겠다”고 밝혔다.

[원병철 기자(boanone@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다