KISA, 국내 첫 ‘운영기술 특화’ 제로트러스트 안내서 제작

글로벌 수준으로 고도화 한국인터넷진흥원(KISA)은 신규 보안 위협을 선제적으로 파악하기 위해 운영기술(OT) 전용의 제로트러스트 적용 안내서를 국내 처음으로 제작했다고 22일 밝혔다. 제로트러스트는 정보시스템 등에 대한 접속 요구가 있을 때 네트워크가 이미 침해된 것으로 간주해 ‘절대 신뢰하지 말고, 항상 검증하라’(Never Trust, Always Verify)는 새로운 보안 개념을 의미한다. KISA는 지난 2023년 7월 과학기술정보통신부와 함께 제로트러스트의 기본개념과 원리, 핵심 원칙 등을 담은 ‘제로트러스트 가이드라인 1.0’을 마련했다. 지난해 12월 실증사업 결과와 세부 도입 절차 및 방법론 등을 포함한 ‘제로트러스트 가이드라인 2.0’도 내놨다. KISA는 이번에 발표한 안내서에 대해 “기존 정보기술(IT) 환경에서의 제로트러스트와는 달리 산업 현장 장비의 가용성과 실시간성을 요구하는 운영기술 환경의 특성을 고려했다”며 “국내 최초로 운영기술 특화 제로트러스트 적용 방안을 제시한다”고 설명했다. 이번 안내서는 운영기술 환경에 제로트러스트를 적용하기 위해 IT와 운영기술 네트워크 계층을 구분하는 퍼듀(Purdue) 모델을 포괄하며, 국내 산업 환경에 맞춰 제로트러스트 가이드라인 2.0의 6대 핵심요소를 기반으로 관련 요구사항을 제시한다. 향후 추가적인 연구를 통해 단계별 성숙도 모델로 발전시킬 계획이다. 미국을 비롯한 선진국에서 운영기술 보안을 중요하게 여기는 만큼, KISA는 기존 제도를 보완하며 운영기술 보안 강화를 위한 선제적인 실증연구를 지속할 방침이다. 이상중 KISA 원장은 “이번 안내서가 국내 운영기술 보안에 대한 인식을 제고하고 산업 현장의 운영기술 보안 수준을 한 단계 높이는 데 기여하길 바란다”며 “글로벌 선도국 지침을 참고한 세부내용 고도화 보안 안내서를 지속해 개발할 것”이라고 말했다.