IEC 62443를 처음 검색하면 표준 번호부터 여러 개 나오기 때문에 상당히 복잡하게 느껴집니다.

스마트공장 담당자 입장에서는 더 단순한 질문이 궁금할 수 있습니다.

“우리 공장에도 IEC 62443가 필요한가?”

“어떤 제품이 대상인가?”

“인증을 받으려면 보안솔루션부터 설치해야 하나?”

IEC 62443를 이해할 때 가장 먼저 알아야 할 것은 이것입니다.

IEC 62443는 특정 보안제품 하나를 의미하는 것이 아니라 산업자동화 및 제어시스템을 안전하게 개발하고 운영하기 위한 일련의 국제 보안 표준입니다.

PLC, HMI, SCADA, 산업용 PC, 네트워크 장비처럼 생산현장에서 사용하는 시스템은 일반 사무용 IT 환경과 운영조건이 다릅니다.

그래서 스마트공장이나 산업제어시스템의 보안을 준비한다면 일반적인 PC 보안만 생각하기보다 설비의 안정적인 운영까지 고려한 OT 보안체계가 필요합니다.

IEC 62443를 아주 쉽게 설명하면?

공장에 생산설비가 있다고 생각해보겠습니다.

설비 하나만 놓고 보면 문제가 없어 보일 수 있습니다.

하지만 실제 공장에서는 여러 장비가 연결됩니다.

ERP → MES → 생산서버 → 산업용 PC → PLC → 생산설비

여기에 외부 유지보수 업체의 VPN 접속과 원격지원까지 추가될 수 있습니다.

그러면 보안은 장비 하나의 문제가 아닙니다.

다음과 같은 것들을 모두 생각해야 합니다.

• 누가 시스템에 접속할 수 있는가?
• 어떤 장비끼리 통신할 수 있는가?
• 관리자 권한은 누구에게 있는가?
• 보안사고가 발생하면 어떻게 확인하는가?
• 제품은 처음부터 안전하게 개발됐는가?
• 운영 중 발견된 취약점은 어떻게 관리하는가?

IEC 62443는 이런 산업현장의 보안 문제를 제품·시스템·개발과정·운영조직 등 여러 관점에서 나누어 관리하도록 만든 표준체계라고 이해하면 쉽습니다.

IEC 62443가 일반 IT 보안과 다른 이유

일반적인 회사 PC에서 문제가 생기면 재부팅하거나 업데이트한 뒤 다시 사용할 수 있습니다.

생산현장은 상황이 다를 수 있습니다.

공장을 운영하는 PLC나 산업용 컴퓨터를 마음대로 중지하면 생산라인 전체에 영향을 줄 수 있기 때문입니다.

예를 들어 보안 업데이트 하나를 적용하는 데도 다음 내용을 고려해야 합니다.

• 설비를 정지해도 되는가?
• 생산계획에 영향을 주지 않는가?
• 기존 프로그램과 충돌하지 않는가?
• 통신이 정상적으로 유지되는가?
• 문제가 생기면 이전 상태로 복구할 수 있는가?

그래서 OT 보안에서는 단순히 “최신 업데이트를 적용하세요”라는 접근만으로 해결하기 어렵습니다.

보안과 가용성을 동시에 생각해야 한다는 것이 핵심입니다.

IT와 OT의 차이를 먼저 이해하고 싶다면 아래 글을 함께 보면 이해하기 쉽습니다.

IT 보안과 OT 보안 차이｜스마트공장 보안이 일반 회사와 다른 이유

IEC 62443는 하나의 규격이 아니다

IEC 62443를 처음 보는 사람이 가장 많이 헷갈리는 부분입니다.

“IEC 62443 인증을 받는다”고 한 문장으로 말하기도 하지만 실제 표준은 여러 파트로 나뉩니다.

대략적으로 보면 다음처럼 이해할 수 있습니다.

구분	쉽게 이해하면
IEC 62443-2 계열	운영조직과 서비스 제공자의 보안관리
IEC 62443-3 계열	산업제어 시스템 전체의 보안
IEC 62443-4 계열	제품과 구성요소의 보안 개발

예를 들어 장비 제조사가 보안기능이 있는 산업용 제품을 개발하는 경우와, 공장을 운영하는 회사가 전체 생산시스템의 보안을 관리하는 경우는 같은 기준만 볼 필요가 없습니다.

따라서 가장 먼저 할 일은 “IEC 62443 인증이 필요하다”가 아니라 우리 회사가 어떤 역할에 해당하는지 확인하는 것입니다.

IEC 62443-2 계열은 무엇을 보는 걸까?

쉽게 말하면 조직과 운영관리 측면을 보는 영역입니다.

공장에서 보안제품을 몇 개 설치했다고 해서 보안관리가 완성되는 것은 아닙니다.

예를 들어 다음 질문에 답할 수 있어야 합니다.

• 보안 담당자는 누구인가?
• 계정은 어떻게 생성하고 삭제하는가?
• 외부업체 접속은 어떻게 관리하는가?
• 사고가 발생하면 누가 대응하는가?
• 보안패치는 누가 검토하는가?
• 백업과 복구는 어떻게 하는가?
• 직원 보안교육은 어떻게 진행하는가?

즉, 장비보다 사람과 절차에 가까운 영역도 중요합니다.

중소 제조기업에서 IEC 62443를 준비한다면 비싼 솔루션부터 구매하기보다 현재 회사의 보안업무가 어떻게 운영되는지를 먼저 정리하는 것이 좋습니다.

IEC 62443-3 계열은 무엇을 보는 걸까?

IEC 62443-3 계열에서는 산업제어시스템 전체의 보안을 생각할 수 있습니다.

개별 PLC 하나가 안전한지만 확인하는 것이 아니라 공장 시스템이 어떤 구조로 연결되어 있는지를 봅니다.

예를 들어,

인터넷 → 방화벽 → 업무망 → 생산망 → PLC

구조가 있다고 생각해보겠습니다.

이때 모든 장비가 서로 자유롭게 통신할 필요는 없습니다.

업무상 필요한 시스템끼리만 연결하고 중요도가 다른 구간을 나눠 관리하는 방식을 고려할 수 있습니다.

이 과정에서 자주 등장하는 개념이 Zone과 Conduit입니다.

어렵게 생각할 필요는 없습니다.

Zone

보안 특성이 비슷한 시스템을 묶은 구역입니다.

예를 들어,

• 사무업무 구역
• 생산관리 구역
• PLC 제어 구역
• 중요설비 구역

처럼 나눌 수 있습니다.

Conduit

각 구역 사이에서 통신이 이루어지는 경로라고 이해할 수 있습니다.

핵심은 모든 장비를 한 네트워크에 넣는 것이 아니라 어떤 시스템과 어떤 시스템이 통신해야 하는지 명확하게 만드는 것입니다.

IEC 62443의 Security Level은 무엇인가?

IEC 62443를 알아보다 보면 SL, Security Level이라는 용어도 만나게 됩니다.

단순히 숫자가 높을수록 무조건 좋은 제품이라는 의미로만 이해하면 안 됩니다.

보호해야 하는 시스템과 예상되는 위협 수준에 따라 필요한 보안수준을 판단하는 개념에 가깝습니다.

일반적으로 SL1부터 SL4까지의 수준이 사용됩니다.

아주 쉽게 개념만 잡으면 다음과 같습니다.

SL1

우발적이거나 단순한 보안위험에 대한 기본적인 보호

SL2

낮은 수준의 자원과 일반적인 기술을 가진 공격에 대한 보호

SL3

전문적인 기술과 비교적 충분한 자원을 가진 공격자를 고려한 보호

SL4

매우 높은 수준의 자원과 전문성을 가진 공격까지 고려하는 높은 수준의 보호

중요한 것은 모든 시스템을 무조건 높은 보안수준으로 만드는 것이 아닙니다.

예를 들어 일반 모니터링 장비와 핵심 생산라인을 제어하는 시스템은 위험도가 다를 수 있습니다.

따라서 자산의 중요도와 예상되는 위험을 분석한 뒤 적절한 보안수준을 정하는 것이 필요합니다.

IEC 62443-4 계열은 제품 개발회사에서 중요하다

산업용 장비나 소프트웨어를 개발해 판매하는 기업이라면 IEC 62443-4 계열을 눈여겨볼 필요가 있습니다.

특히 중요한 생각은 제품을 만든 뒤 마지막에 보안을 붙이는 것이 아니라 개발과정에서부터 보안을 고려한다는 것입니다.

예를 들어 제품을 개발하면서 다음 내용을 관리할 수 있습니다.

• 보안 요구사항
• 위협 분석
• 안전한 개발방법
• 소스코드 관리
• 취약점 처리
• 업데이트 정책
• 보안 테스트
• 제품 출시 후 취약점 대응

이를 흔히 Secure Development Lifecycle, 즉 안전한 개발 생명주기 관점으로 생각할 수 있습니다.

중소기업에서도 처음부터 거대한 개발관리 시스템이 필요한 것은 아닙니다.

중요한 것은 최소한 다음 질문에 답할 수 있도록 만드는 것입니다.

제품에 어떤 보안 요구사항을 적용했는가?

발견된 취약점을 누가 처리하는가?

업데이트는 어떻게 제공하는가?

개발자가 퇴사하면 접근권한은 삭제되는가?

스마트공장이라면 무엇부터 준비해야 할까?

IEC 62443를 처음 접하면 문서부터 만들려고 하기 쉽습니다.

하지만 실제 현장을 먼저 파악하는 편이 좋습니다.

1단계. 생산설비 목록 만들기

먼저 무엇을 보호해야 하는지 확인합니다.

다음 항목 정도부터 정리할 수 있습니다.

• PLC
• HMI
• 산업용 PC
• 서버
• 스위치
• 방화벽
• 로봇
• 센서
• 원격접속 장비

가능하다면 IP 주소, 제조사, 모델명, 운영체제, 담당자도 함께 기록합니다.

2단계. 네트워크 구조 그리기

전문적인 도면부터 만들 필요는 없습니다.

현재 시스템이 어떻게 연결되는지만 간단하게 그려봅니다.

예를 들어,

인터넷 → 업무망 → MES → 생산서버 → PLC

정도로 시작할 수 있습니다.

그리고 외부업체 VPN이나 원격접속 경로도 함께 표시합니다.

직접 그림을 그려보면 생각보다 쉽게 위험한 연결을 발견할 수 있습니다.

3단계. 외부접속 확인하기

스마트공장에서는 설비업체가 원격으로 유지보수하는 경우가 많습니다.

다음 항목을 확인해보는 것이 좋습니다.

• 외부업체 계정은 몇 개인가?
• 공용계정을 사용하는가?
• VPN을 사용하는가?
• 접근 가능한 설비는 제한되어 있는가?
• 작업 후 세션이 종료되는가?
• 접속기록이 남는가?
• 계약 종료 후 계정을 삭제하는가?

원격접속은 편리하지만 생산망으로 들어오는 중요한 경로이기도 합니다.

4단계. 계정과 권한 정리하기

보안에서 가장 기본적인 부분입니다.

관리자 계정을 여러 사람이 함께 사용한다면 실제 작업자를 추적하기 어렵습니다.

가능하다면 사용자별 계정을 발급하고 업무에 필요한 만큼만 권한을 부여하는 것이 좋습니다.

특히 다음 계정은 정기적으로 확인할 필요가 있습니다.

• 관리자 계정
• 퇴사자 계정
• 외부업체 계정
• 장기 미사용 계정
• 원격접속 계정

5단계. 백업과 복구 확인하기

OT 보안의 목적은 공격을 막는 것만이 아닙니다.

문제가 생겨도 공장을 다시 가동할 수 있어야 합니다.

그래서 다음 질문이 중요합니다.

PLC 프로그램이 삭제되면 복구할 수 있는가?

산업용 PC가 고장 나면 설정을 다시 만들 수 있는가?

생산서버가 멈추면 백업에서 복원할 수 있는가?

백업파일의 존재만 확인하지 말고 실제 복원 가능 여부까지 점검하는 것이 좋습니다.

6단계. 패치와 취약점 관리방법 정하기

OT 환경에서는 최신 업데이트가 나왔다고 무조건 바로 설치하기 어려울 수 있습니다.

그래서 다음 과정이 필요합니다.

취약점 확인 → 영향도 판단 → 제조사 권고 확인 → 테스트 → 생산일정 조율 → 적용

업데이트하지 않는 것도 위험하지만 충분한 검토 없이 생산설비에 바로 적용하는 것도 문제가 될 수 있습니다.

회사 상황에 맞는 패치관리 절차를 만드는 것이 중요합니다.

IEC 62443 준비 체크리스트

현재 우리 회사의 상태를 아래 항목으로 확인해볼 수 있습니다.

• 생산망 장비 목록이 있는가?
• PLC와 산업용 PC의 담당자를 알고 있는가?
• 전체 네트워크 연결 구조를 알고 있는가?
• IT망과 OT망의 연결지점을 파악하고 있는가?
• 외부에서 접속 가능한 경로를 알고 있는가?
• 외부업체 계정을 관리하고 있는가?
• 관리자 계정을 사용자별로 관리하는가?
• 사용하지 않는 계정을 삭제하는가?
• 주요 시스템 로그를 확인할 수 있는가?
• 취약점과 패치를 관리하는 담당자가 있는가?
• 중요 설비를 백업하고 있는가?
• 실제 복구방법을 알고 있는가?
• 보안사고 발생 시 연락할 담당자가 정해져 있는가?
• 시스템 변경사항을 기록하고 있는가?
• 제품 또는 시스템의 보안 요구사항을 정리하고 있는가?

답을 모르는 항목이 많다고 해서 바로 인증을 포기할 필요는 없습니다.

오히려 모르는 항목을 하나씩 확인하는 과정이 IEC 62443 준비의 시작이라고 볼 수 있습니다.

IEC 62443 인증을 준비할 때 흔히 하는 실수

인증기관부터 알아보는 것

가장 먼저 해야 할 일은 인증비용을 알아보는 것이 아닐 수 있습니다.

우리 회사가 제품 제조사인지, 시스템 통합업체인지, 자산 운영자인지부터 구분해야 합니다.

그래야 어떤 IEC 62443 영역을 확인해야 할지가 명확해집니다.

보안제품만 추가하면 된다고 생각하는 것

방화벽이나 보안솔루션은 중요한 수단입니다.

하지만 계정관리, 개발절차, 취약점관리, 백업, 사고대응 같은 운영체계가 없다면 장비만으로 해결하기 어렵습니다.

문서만 먼저 만드는 것

현실과 다른 문서는 실제 운영에서 도움이 되지 않습니다.

먼저 현장을 조사하고 실제 업무방식에 맞춰 절차를 정리하는 것이 좋습니다.

생산팀을 빼고 IT팀만 준비하는 것

OT 보안은 생산현장을 이해해야 합니다.

IT 담당자가 안전하다고 판단한 설정이 생산설비의 가용성에 영향을 줄 수도 있습니다.

따라서 최소한 다음 담당자가 함께 검토하는 것이 좋습니다.

보안·IT 담당자

생산 담당자

설비·자동화 담당자

제품 개발 담당자

중소기업은 비싼 솔루션부터 사야 할까?

반드시 그렇지는 않습니다.

IEC 62443를 준비하면서 현재 상태를 점검해보면 비용 없이 개선할 수 있는 항목도 많습니다.

예를 들면 다음과 같습니다.

• 사용하지 않는 계정 삭제
• 관리자 공용계정 최소화
• 외부업체 접속기간 제한
• 장비목록 작성
• 네트워크 구성도 작성
• 백업 위치 확인
• 담당자 지정
• 보안사고 연락체계 만들기
• 패치관리 기록 남기기

이런 기본관리가 되어 있지 않은 상태에서 비싼 솔루션부터 구입하면 실제 운영과 연결되지 않을 수 있습니다.

보안제품은 관리체계를 대신하는 것이 아니라 관리체계를 구현하는 도구라고 생각하는 편이 좋습니다.

IEC 62443와 제로트러스트는 같은 것일까?

같은 것은 아닙니다.

제로트러스트는 사용자의 신원과 접근권한을 지속적으로 확인하고 최소한의 권한만 허용하는 보안 접근방식입니다.

IEC 62443는 산업자동화 및 제어시스템의 보안을 폭넓게 다루는 표준체계입니다.

하지만 실제 적용에서는 서로 연결되는 부분이 있습니다.

예를 들어,

• 사용자별 계정
• 최소 권한
• 접근통제
• 네트워크 구분
• 외부접속 관리
• 지속적인 모니터링

같은 기본적인 보안원칙은 함께 활용될 수 있습니다.

IEC 62443 준비의 시작은 보안제품이 아니라 현장 파악이다

IEC 62443를 처음 공부할 때 가장 어려운 것은 표준의 용어와 번호입니다.

하지만 실무에서는 더 단순하게 접근할 수 있습니다.

먼저 다음 질문에 답해보면 됩니다.

우리 공장에는 어떤 장비가 있는가?

각 장비는 어떻게 연결되어 있는가?

누가 접속할 수 있는가?

외부에서는 어디를 통해 들어오는가?

문제가 발생하면 어떻게 복구할 것인가?

발견된 취약점은 누가 관리하는가?

이 질문에 하나씩 답하다 보면 필요한 보안조치와 부족한 관리항목이 자연스럽게 보이기 시작합니다.

IEC 62443를 준비한다고 해서 첫날부터 수백 페이지의 규정을 만들어야 하는 것은 아닙니다.

중소 제조기업이라면 생산망 장비 목록과 네트워크 구성도 한 장을 만드는 것부터 시작하는 것이 훨씬 현실적입니다.

자주 묻는 질문

IEC 62443란 무엇인가요?

산업자동화 및 제어시스템을 안전하게 개발하고 운영하기 위한 국제 사이버보안 표준 시리즈입니다. 조직, 시스템, 제품 및 개발과정 등 여러 영역을 다룹니다.

IEC 62443는 스마트공장에도 적용할 수 있나요?

PLC, HMI, SCADA, 산업용 PC 등 산업제어시스템을 사용하는 제조현장의 보안체계를 설계하고 점검할 때 참고할 수 있습니다.

IEC 62443 인증은 하나인가요?

IEC 62443는 여러 파트로 구성된 표준 시리즈입니다. 기업의 역할과 제품·시스템·개발과정 등에 따라 검토해야 하는 영역이 달라질 수 있으므로 단순히 하나의 인증으로 이해하지 않는 것이 좋습니다.

IEC 62443 Security Level이란 무엇인가요?

산업제어시스템에서 고려해야 하는 보안위협과 필요한 보호 수준을 구분하기 위한 개념입니다. 무조건 높은 등급을 적용하기보다 시스템의 위험도와 중요성을 고려해 목표 수준을 설정하는 것이 중요합니다.

중소기업은 무엇부터 준비해야 하나요?

생산설비와 네트워크 장비 목록을 작성하고 IT망과 OT망의 연결 구조, 외부접속 경로, 관리자 계정, 백업 및 복구방법을 파악하는 것부터 시작하는 것이 좋습니다.

IEC 62443를 준비하려면 방화벽부터 사야 하나요?

반드시 그렇지는 않습니다. 장비목록, 계정관리, 외부접속 관리, 백업, 취약점 관리와 같은 기본체계를 먼저 확인한 뒤 부족한 부분에 필요한 보안기술을 적용하는 방식이 현실적입니다.