해양 선박 분야 4차 산업혁명 기술 적극적 도입... 스마트선박 및 자율운항선박 발전
주요 시스템의 네트워크 연결 및 정보 공유 기술 증가... 사이버 보안 위협 증가
[보안뉴스= 서정택 한국정보보호학회 CPS보안연구회 위원장] 최근 해양 선박 분야에 4차 산업혁명 기술이 도입되고, 스마트선박 및 자율운항선박 기술로 발전하고 있다. CES 2022에서는 레이저 보트 자율운항솔루션 운항과 접안계획, 증강현실 기반 내비게이션, 어라운드 뷰 시스템, 자동 도킹, 자동 경로 추정, 충돌 회피와 복귀 시스템을 포함한 2단계 수준의 자율운항 기술이 발표되었다.
이렇듯, 해양 선박 분야에 IoT(사물인터넷), 빅데이터, AI(인공지능), 센서 및 센싱 네트워크, 사이버물리시스템(CPS), 블록체인 등 4차 산업혁명 기술이 적극적으로 도입되고 있다. 하지만 4차 산업혁명 기술의 도입으로 스마트선박 및 자율운항선박 기술로 발전하며 선박과 육상 간, 선박 내 주요 시스템 간의 다양한 네트워크 연결 및 정보 공유가 증가함으로써, 사이버 보안 위협이 증가하고 있다. 특히, 자율운항선박 운영을 위해서는 원격 제어기술이 필요하게 되고, 원격 제어 통신에 대한 사이버 안전성이 확보되지 않는다면 큰 해양사고로 이어질 수 있다. 해양사고는 사고 발생 시 대피공간인 바다의 수온으로 인해 2차 피해가 발생 가능하며, 도로교통보다 약 6배 이상 심각한 피해를 유발할 수 있다고 한다.
이번 칼럼에서는 해양 선박 분야 사이버 보안 위협 및 사이버 보안 추진현황을 살펴보고, 추가적인 추진방안을 제시하고자 한다.
해양선박 사이버 보안 위협
해양선박 시스템에서 운항을 위한 제어를 담당하는 OT 영역과 자율운항 등의 기능을 제공하기 위해 외부 네트워크와 연계되는 IT 영역의 융합으로 해양선박의 외부 네트워크 접점이 증가하고 있다. 이는, 공격자들이 좀 더 쉽게 접근 및 공격할 수 있는 경로를 만들어 주는 것으로 공격자들은 취약한 접점을 찾아 네트워크에 침입하고, 이후 악성코드 감염을 통해 선박의 제어시스템이나 장치를 불법적으로 제어할 수 있는 등 사이버 보안 위협이 증가하고 있다.
2017년 머스크 사의 터미널 IT시스템의 랜섬웨어 공격 등 해양선박 분야에 사이버 침해사고가 지속적으로 발생하고 있다. 2017년도 이후 발생한 해양선박 분야의 침해사고 사례들을 분석해보면 IT 시스템 및 항해 시스템 대상의 랜섬웨어 감염이 대부분이다. 하지만, 현재 운영 중인 선박들의 내부 네트워크 및 시스템을 분석해 보면 변속기 제어, 자동 제어시스템 등 OT 환경으로 동작하는 중요 제어시스템들이 많고, 이러한 제어시스템 대상으로 불법적인 명령 발송 등의 사이버공격이 발생하게 되면 대규모 해상 사고로 이어질 수 있다. 해양선박 분야 침해사고 발생은 기업의 이익상실, 금전손실, 평가손실 등의 큰 피해가 발생할 뿐만 아니라 대규모 인명피해가 발생 할 수도 있다.
해양선박 사이버 보안 추진현황
해양선박 분야에서 발생한 사이버 보안 침해사례로 인해 국제기관에서의 사이버 보안의 중요성을 인식하고, 해양선박 분야 사이버 보안 관련 지침 및 가이드라인 제정이 추진되었다. 해양선박의 사이버 보안 추진은 2016년 BIMCO(발틱국제해운협의회)에서 최초로 선박 사이버 보안 가이드라인 발간을 시작으로 2017년 IMO(국제해사기구)에서의 사이버리스크 관리 가이드라인 승인과 2020년 미국해안경비대(USCG)의 선박 사이버리스크 관리 업무 지침 발표, 2021년 RightShip 검사 선박 질문지에 사이버리스크 ISM 통합 등 사이버 보안 요건 포함의 내용으로까지 발전하고 있다.
해양선박 분야에서 사이버 보안이 추진됨에 따라 해양선박에 대한 국제 규정을 제정하는 IMO와 장비에 대한 표준을 제정하는 ISO(International Organization for Standardization)등 기관에서 국제표준화가 진행되고 있다. IMO는 2017년 해사 사이버리스크 관리 가이드라인 승인을 통해 2021년 해양 사이버 위험관리 지침을 발표하였으며, ISO는 IMO와의 연계를 통해 선상 및 육상의 통신을 위한 구조 및 데이터 인터페이스 표준을 제정하였다. 이후, 해양사이버 보안 작업반을 신설하여 보안요구사항 및 기술표준을 제정하고 있다.
우리나라에서도 IMO의 해상 안전, 보안의 내용과 ISO의 해양선박 표준의 내용이 포함된 국제규제가 추진됨에 따라서 정부부처, 산업계, 공공기관을 중심으로 대응능력을 강화해 해양 선박에서의 사이버 보안을 포함한 국제규제 변화에 선제적 대응을 위해 노력하고 있다. 또한, 한국선급에서 2021년에 해상 사이버 보안 시스템 지침을 발표하고, 선급검사, 회사 사이버 보안 시스템 적합성, 선박 사이버 보안 시스템 적합성 검사 등을 수행하고 있다. 사이버 보안 관리 시스템을 갖춘 회사, 선박 및 항구를 대상으로 해상 사이버 보안 인증을 수행하고 있다.
제안하는 추진방안
①신규 해양선박 설계 및 제조 단계부터 사이버 보안 내재화 고려 및 적용
해양선박 분야에서 개발된 사이버 보안 가이드라인 및 지침 등을 참조해 신규 선박 설계 및 제조 단계부터 사이버 보안에 대한 고려가 필요하며, 사이버 안전성 확보를 위한 보안체계의 설계 및 적용이 필요하다. 선박 내의 네트워크는 운영 목적 및 보안 레벨을 고려하여 분할하여야 하고, 접점에는 침입차단시스템을 설치 및 운영하며, 중요 시스템 및 네트워크 대상으로는 침입탐지 기술이 적용되어야 한다. 또한, 중요 시스템 및 기기 간에는 암호인증 기술이 적용되어야 하며, 접근통제가 철저히 수행되어야 한다.
②해양선박 사이버 보안 시험 및 인증 기술 확보
해양선박 분야 사이버 보안 가이드라인, 지침 및 표준을 참조하여 해양선박 분야 시스템, 네트워크 및 기기 대상의 사이버 보안 시험·인증 기술의 개발 및 확보가 필요하며 해양선박 환경 및 기술의 변화를 고려하여 지속적인 업데이트가 필요하다.
③해양선박 시스템 및 네트워크 대상 취약점 분석 기술 확보
선박 내 시스템, 네트워크 및 기기 대상의 취약점 분석 기술이 필요하다. 특히, 제어시스템 등에서 사용하는 다양한 제어 프로토콜과 임베디드 시스템을 대상으로 취약점 분석 등 보안성 시험 및 인증을 위한 기술 확보가 필요하다.
④해양선박 내 제어시스템 보안기술 개발 및 적용
선박 내에는 다양한 OT 환경의 제어시스템이 운영되고 있다. 또한 이러한 시스템에 공격자가 침투 시 불법적인 제어명령 발송 등 선박 운전에 막대한 영향을 미치는 피해가 발생 가능하다. 따라서 OT 환경에서 고려되고 개발되고 있는 제어시스템 보안기술들을 선박 내 제어시스템 대상으로 최적화하여 적용하여야 하며, 선박 내 환경에 추가적으로 필요한 보안기술의 개발 및 적용에 대한 투자가 필요하다.
⑤해양선박 분야 사이버 보안 인력양성
융합보안, OT 보안, 제어시스템 보안 분야와 연계해 해양선박 분야 사이버 보안 인력양성이 필요하다. 가천대학교 컴퓨터공학부 스마트보안전공 학부과정에서는 제어시스템 보안, 차세대 인프라 보안, 임베디드 시스템 보안 및 CPS 보안 분야의 교과목을 개설하여 국가기반시설 및 제어시스템 보안 분야에 특성화된 전문 인력양성을 위해 노력하고 있다. CPS 분야의 하나로 해양선박 분야의 정보보호 인력 양성도 포함하여 추진할 계획이다. 이처럼, 해양선박 사이버 보안 분야 전문인력 양성의 추진이 필요하다. 향후, 정보보호 전문인력 양성의 트랙에 OT 보안, 제어시스템 보안, CPS 보안, 해양선박 보안 등의 분야에 대한 전문인력 양성 과정의 검토 및 추진이 필요하다.
⑥해양선박 분야 업무종사자 대상 보안교육
해양선박 분야에서 사이버 보안이 이슈화되고 종사자들이 관심을 갖기 시작한지 얼마 되지 않았다. 선주부터 선박회사에 근무하는 직원 대상의 정보보호 교육이 필요하고, 선장을 비롯한 선박 내에서 활동하는 직원들을 대상으로 정보보호 교육이 절실히 필요한 시점이다. 특히, 선원들이 사용하는 인터넷 환경은 외부로부터의 사이버공격 접점이 되어 악성코드 등이 유입될 수 있는 공격 시작점이 될 수 있다. 이는 곳 선박 내 타 시스템 및 네트워크로의 접근 경로로 활용될 수 있기 때문에 일반 선원 대상의 정보보호 교육도 중요하다.
결론
자율운항 선박 등 해양선박 분야에 4차 산업혁명 기술들이 적용되어 빠르게 발전하고 있다. 이러한 상황에서 사이버 보안 위협도 급격하게 증가하고 있다. 정부 및 관련 기관에서는 해양선박 분야 사이버 보안의 중요성을 인지하여 관련 정책, 기술개발 등의 추진이 필요하며, 선박 대상의 사이버 보안 기술의 개발 및 적용을 위한 노력이 필요하다. 또한, 인증 수행기관 등 해양선박 분야에 사이버 보안 인력의 필요성이 급격하게 증가하고 있는 시점에 관련분야 전문인력 양성 등에 대한 노력도 절실히 필요하다.
해양선박 분야에서 사이버 안전성 확보를 위한 다양한 노력을 통하여 대한민국이 해운 4.0, 항만 4.0, 스마트해운, 자율운항선박 등의 분야에서 전 세계를 선도하는 국가로 우뚝 서기를 희망해 본다.
[글_ 서정택 한국정보보호학회 CPS보안연구회 위원장/가천대 컴퓨터공학부 교수]
주요 시스템의 네트워크 연결 및 정보 공유 기술 증가... 사이버 보안 위협 증가
[보안뉴스= 서정택 한국정보보호학회 CPS보안연구회 위원장] 최근 해양 선박 분야에 4차 산업혁명 기술이 도입되고, 스마트선박 및 자율운항선박 기술로 발전하고 있다. CES 2022에서는 레이저 보트 자율운항솔루션 운항과 접안계획, 증강현실 기반 내비게이션, 어라운드 뷰 시스템, 자동 도킹, 자동 경로 추정, 충돌 회피와 복귀 시스템을 포함한 2단계 수준의 자율운항 기술이 발표되었다.
[이미지=utoimage]
이렇듯, 해양 선박 분야에 IoT(사물인터넷), 빅데이터, AI(인공지능), 센서 및 센싱 네트워크, 사이버물리시스템(CPS), 블록체인 등 4차 산업혁명 기술이 적극적으로 도입되고 있다. 하지만 4차 산업혁명 기술의 도입으로 스마트선박 및 자율운항선박 기술로 발전하며 선박과 육상 간, 선박 내 주요 시스템 간의 다양한 네트워크 연결 및 정보 공유가 증가함으로써, 사이버 보안 위협이 증가하고 있다. 특히, 자율운항선박 운영을 위해서는 원격 제어기술이 필요하게 되고, 원격 제어 통신에 대한 사이버 안전성이 확보되지 않는다면 큰 해양사고로 이어질 수 있다. 해양사고는 사고 발생 시 대피공간인 바다의 수온으로 인해 2차 피해가 발생 가능하며, 도로교통보다 약 6배 이상 심각한 피해를 유발할 수 있다고 한다.
이번 칼럼에서는 해양 선박 분야 사이버 보안 위협 및 사이버 보안 추진현황을 살펴보고, 추가적인 추진방안을 제시하고자 한다.
해양선박 사이버 보안 위협
해양선박 시스템에서 운항을 위한 제어를 담당하는 OT 영역과 자율운항 등의 기능을 제공하기 위해 외부 네트워크와 연계되는 IT 영역의 융합으로 해양선박의 외부 네트워크 접점이 증가하고 있다. 이는, 공격자들이 좀 더 쉽게 접근 및 공격할 수 있는 경로를 만들어 주는 것으로 공격자들은 취약한 접점을 찾아 네트워크에 침입하고, 이후 악성코드 감염을 통해 선박의 제어시스템이나 장치를 불법적으로 제어할 수 있는 등 사이버 보안 위협이 증가하고 있다.
2017년 머스크 사의 터미널 IT시스템의 랜섬웨어 공격 등 해양선박 분야에 사이버 침해사고가 지속적으로 발생하고 있다. 2017년도 이후 발생한 해양선박 분야의 침해사고 사례들을 분석해보면 IT 시스템 및 항해 시스템 대상의 랜섬웨어 감염이 대부분이다. 하지만, 현재 운영 중인 선박들의 내부 네트워크 및 시스템을 분석해 보면 변속기 제어, 자동 제어시스템 등 OT 환경으로 동작하는 중요 제어시스템들이 많고, 이러한 제어시스템 대상으로 불법적인 명령 발송 등의 사이버공격이 발생하게 되면 대규모 해상 사고로 이어질 수 있다. 해양선박 분야 침해사고 발생은 기업의 이익상실, 금전손실, 평가손실 등의 큰 피해가 발생할 뿐만 아니라 대규모 인명피해가 발생 할 수도 있다.
▲표 해양선박 분야 사이버 보안 침해사고 사례[자료=서정택 위원장]
해양선박 사이버 보안 추진현황
해양선박 분야에서 발생한 사이버 보안 침해사례로 인해 국제기관에서의 사이버 보안의 중요성을 인식하고, 해양선박 분야 사이버 보안 관련 지침 및 가이드라인 제정이 추진되었다. 해양선박의 사이버 보안 추진은 2016년 BIMCO(발틱국제해운협의회)에서 최초로 선박 사이버 보안 가이드라인 발간을 시작으로 2017년 IMO(국제해사기구)에서의 사이버리스크 관리 가이드라인 승인과 2020년 미국해안경비대(USCG)의 선박 사이버리스크 관리 업무 지침 발표, 2021년 RightShip 검사 선박 질문지에 사이버리스크 ISM 통합 등 사이버 보안 요건 포함의 내용으로까지 발전하고 있다.
해양선박 분야에서 사이버 보안이 추진됨에 따라 해양선박에 대한 국제 규정을 제정하는 IMO와 장비에 대한 표준을 제정하는 ISO(International Organization for Standardization)등 기관에서 국제표준화가 진행되고 있다. IMO는 2017년 해사 사이버리스크 관리 가이드라인 승인을 통해 2021년 해양 사이버 위험관리 지침을 발표하였으며, ISO는 IMO와의 연계를 통해 선상 및 육상의 통신을 위한 구조 및 데이터 인터페이스 표준을 제정하였다. 이후, 해양사이버 보안 작업반을 신설하여 보안요구사항 및 기술표준을 제정하고 있다.
▲해양선박 분야 사이버 보안 추진 현황[자료=서정택 위원장]
우리나라에서도 IMO의 해상 안전, 보안의 내용과 ISO의 해양선박 표준의 내용이 포함된 국제규제가 추진됨에 따라서 정부부처, 산업계, 공공기관을 중심으로 대응능력을 강화해 해양 선박에서의 사이버 보안을 포함한 국제규제 변화에 선제적 대응을 위해 노력하고 있다. 또한, 한국선급에서 2021년에 해상 사이버 보안 시스템 지침을 발표하고, 선급검사, 회사 사이버 보안 시스템 적합성, 선박 사이버 보안 시스템 적합성 검사 등을 수행하고 있다. 사이버 보안 관리 시스템을 갖춘 회사, 선박 및 항구를 대상으로 해상 사이버 보안 인증을 수행하고 있다.
제안하는 추진방안
①신규 해양선박 설계 및 제조 단계부터 사이버 보안 내재화 고려 및 적용
해양선박 분야에서 개발된 사이버 보안 가이드라인 및 지침 등을 참조해 신규 선박 설계 및 제조 단계부터 사이버 보안에 대한 고려가 필요하며, 사이버 안전성 확보를 위한 보안체계의 설계 및 적용이 필요하다. 선박 내의 네트워크는 운영 목적 및 보안 레벨을 고려하여 분할하여야 하고, 접점에는 침입차단시스템을 설치 및 운영하며, 중요 시스템 및 네트워크 대상으로는 침입탐지 기술이 적용되어야 한다. 또한, 중요 시스템 및 기기 간에는 암호인증 기술이 적용되어야 하며, 접근통제가 철저히 수행되어야 한다.
②해양선박 사이버 보안 시험 및 인증 기술 확보
해양선박 분야 사이버 보안 가이드라인, 지침 및 표준을 참조하여 해양선박 분야 시스템, 네트워크 및 기기 대상의 사이버 보안 시험·인증 기술의 개발 및 확보가 필요하며 해양선박 환경 및 기술의 변화를 고려하여 지속적인 업데이트가 필요하다.
③해양선박 시스템 및 네트워크 대상 취약점 분석 기술 확보
선박 내 시스템, 네트워크 및 기기 대상의 취약점 분석 기술이 필요하다. 특히, 제어시스템 등에서 사용하는 다양한 제어 프로토콜과 임베디드 시스템을 대상으로 취약점 분석 등 보안성 시험 및 인증을 위한 기술 확보가 필요하다.
④해양선박 내 제어시스템 보안기술 개발 및 적용
선박 내에는 다양한 OT 환경의 제어시스템이 운영되고 있다. 또한 이러한 시스템에 공격자가 침투 시 불법적인 제어명령 발송 등 선박 운전에 막대한 영향을 미치는 피해가 발생 가능하다. 따라서 OT 환경에서 고려되고 개발되고 있는 제어시스템 보안기술들을 선박 내 제어시스템 대상으로 최적화하여 적용하여야 하며, 선박 내 환경에 추가적으로 필요한 보안기술의 개발 및 적용에 대한 투자가 필요하다.
▲서정택 한국정보보호학회 CPS보안연구회 위원장[자료=서정택 위원장]
융합보안, OT 보안, 제어시스템 보안 분야와 연계해 해양선박 분야 사이버 보안 인력양성이 필요하다. 가천대학교 컴퓨터공학부 스마트보안전공 학부과정에서는 제어시스템 보안, 차세대 인프라 보안, 임베디드 시스템 보안 및 CPS 보안 분야의 교과목을 개설하여 국가기반시설 및 제어시스템 보안 분야에 특성화된 전문 인력양성을 위해 노력하고 있다. CPS 분야의 하나로 해양선박 분야의 정보보호 인력 양성도 포함하여 추진할 계획이다. 이처럼, 해양선박 사이버 보안 분야 전문인력 양성의 추진이 필요하다. 향후, 정보보호 전문인력 양성의 트랙에 OT 보안, 제어시스템 보안, CPS 보안, 해양선박 보안 등의 분야에 대한 전문인력 양성 과정의 검토 및 추진이 필요하다.
⑥해양선박 분야 업무종사자 대상 보안교육
해양선박 분야에서 사이버 보안이 이슈화되고 종사자들이 관심을 갖기 시작한지 얼마 되지 않았다. 선주부터 선박회사에 근무하는 직원 대상의 정보보호 교육이 필요하고, 선장을 비롯한 선박 내에서 활동하는 직원들을 대상으로 정보보호 교육이 절실히 필요한 시점이다. 특히, 선원들이 사용하는 인터넷 환경은 외부로부터의 사이버공격 접점이 되어 악성코드 등이 유입될 수 있는 공격 시작점이 될 수 있다. 이는 곳 선박 내 타 시스템 및 네트워크로의 접근 경로로 활용될 수 있기 때문에 일반 선원 대상의 정보보호 교육도 중요하다.
결론
자율운항 선박 등 해양선박 분야에 4차 산업혁명 기술들이 적용되어 빠르게 발전하고 있다. 이러한 상황에서 사이버 보안 위협도 급격하게 증가하고 있다. 정부 및 관련 기관에서는 해양선박 분야 사이버 보안의 중요성을 인지하여 관련 정책, 기술개발 등의 추진이 필요하며, 선박 대상의 사이버 보안 기술의 개발 및 적용을 위한 노력이 필요하다. 또한, 인증 수행기관 등 해양선박 분야에 사이버 보안 인력의 필요성이 급격하게 증가하고 있는 시점에 관련분야 전문인력 양성 등에 대한 노력도 절실히 필요하다.
해양선박 분야에서 사이버 안전성 확보를 위한 다양한 노력을 통하여 대한민국이 해운 4.0, 항만 4.0, 스마트해운, 자율운항선박 등의 분야에서 전 세계를 선도하는 국가로 우뚝 서기를 희망해 본다.
[글_ 서정택 한국정보보호학회 CPS보안연구회 위원장/가천대 컴퓨터공학부 교수]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-18] 
.jpg)
