전 미국 국가안보국(NSA) 국장이 상수도 시스템 제어기를 인터넷에 연결하지 말아야 한다고 강력히 경고했습니다. 이는 단순히 한 개인의 의견을 넘어, 핵심 기반시설의 사이버 보안에 대한 심각한 우려를 반영하는 발언입니다. 특히 산업 제어 시스템(ICS)의 보안 취약성이 도마 위에 오르며, 대규모 재앙을 막기 위한 근본적인 변화가 시급하다는 목소리가 커지고 있습니다.
이러한 경고는 산업 현장의 낙후된 IT 환경에 대한 경험담과 맞물려 더욱 설득력을 얻습니다. 초고층 빌딩, 데이터센터, 공장 등 대규모 시설의 PLC(Programmable Logic Controller) 프로그래밍을 담당했던 한 전문가는 오픈소스 개발 경험과 비교하며 PLC 업계의 원시적인 IT 체계에 충격을 표했습니다. 수많은 고객 프로젝트 파일이 뒤섞인 윈도우(Windows) 노트북으로 다른 고객의 PLC 백업을 실수로 업로드하려 했던 아찔한 사례나, 수백만 달러짜리 기계 설비에 재해 복구 계획조차 없는 포춘 50대 기업의 데이터센터 현실은 산업 기반시설의 보안이 얼마나 취약한지 단적으로 보여줍니다. 펌웨어 버전 관리의 부재, 테스트 프레임워크나 IDE가 부족한 개발 환경, 그리고 관리자 권한으로 서명되지 않은 실행 파일을 내려받아 설치해야 하는 비효율적인 절차 등은 사이버 공격에 대한 방어막이 사실상 없음을 의미합니다.
이러한 상황은 국가 핵심 기반시설이 대규모 사이버 공격에 노출될 경우 상상하기 어려운 피해를 초래할 수 있음을 시사합니다. 상수도, 전력망 같은 필수 인프라가 마비되면 현대 사회는 몇 주 만에 수백만 명의 인명 피해로 이어질 수 있습니다. 단순히 인터넷 연결을 끊는 것만이 해답은 아니지만, 최소한의 보안 조치 없이는 어떤 시스템도 안전할 수 없습니다. VPN(가상 사설망)이나 물리적 사설망, 데이터 다이오드(Data Diode) 같은 기술적 대안을 통해 외부 위협으로부터 격리하고, 필요한 경우에만 최소한의 접근을 허용하는 엄격한 보안 정책이 필요합니다. 또한, 오래된 장비는 현대적인 보안 기준에 맞춰 교체하거나, 불가능하다면 인터넷 연결을 완전히 차단해야 합니다. 핵심 기반시설 관리의 의무를 저버리는 것은 단순한 실수가 아닌 중대한 책임 문제로 다뤄져야 할 것입니다.