OT 보안 거버넌스의 세 가지 핵심 테마
견고한 OT 보안 거버넌스 프레임워크를 구축하기 위해서는 조직이 직면한 핵심 사이버 보안 과제를 이해해야 합니다. 이러한 과제는 OT 환경에서 사이버보안을 관리하는 현실을 반영하며, 몇 가지 핵심 테마에 의해 형성됩니다. 이 테마들을 이해하면 효과적인 거버넌스를 위한 5가지 원칙을 보다 깊이 있게 이해할 수 있습니다.
테마 1: 모든 조직에 적용되는 단일 해답은 없다
각 조직의 문화, 운영 모델, 리스크 프로파일에 따라 사이버보안을 향한 여정은 달라집니다. 따라서 거버넌스 구축을 위해선 획일적 방식이 아니라, 각 조직의 필요와 맥락에 맞춘 접근이 요구됩니다.
테마 2: 권한과 책임의 단일 주체는 존재하지 않는다
많은 조직에서 사이버보안 책임은 여러 부서와 역할에 분산돼 있습니다. 이 같은 권한과 책임의 분산은 조직의 전체가 공통의 보안 목표를 위해 협력하기 위한, 조율·협력형 거버넌스가 필요함을 보여줍니다.
테마 3: 대부분의 기업은 리더십 정렬에 어려움을 겪고 있다
사이버보안 위협이 증가하고 자원이 제한적인 상황에서, 보안 전략에 대한 리더십 정렬은 더욱 중요해집니다. 여기서의 정렬이란 전략에 대한 합의, 실행 의지, 그리고 필요한 자원과 변화에 대한 지원을 의미합니다.
올바른 OT 보안 거버넌스 모델을 설계하기 위한 5가지 원칙
1. 최고경영진 차원의 정렬에서 시작하라
적절한 거버넌스 모델을 구축하기 위해서는 다음 사항에 대해 C-레벨의 명확한 공감대가 필요합니다.
- 운영에 대한 실제 리스크
- 경영진과 이사회의 리스크 허용 수준
- 경영진과 이사회가 설정한 리스크 허용 수준을 달성하기 위한 비용 추정치
- 보안 성숙도 수준별 달성 비용에 대한 추정치
- 이러한 요소 간에 발생하는 핵심 트레이드오프를 경영진이 어떤 방식으로 의사결정할 것인지
이 과정을 주도하기에 가장 자연스러운 리더는 CISO입니다. 다만 CISO가 모든 결정을 내릴 권한을 가진다는 뜻은 아닙니다. 우리가 본 대부분의 성공 사례에서 CISO는 최종 결정자라기보다, 비즈니스 전반의 다양한 트레이드오프를 고려해 경영진이 최적의 방향으로 합의하도록 이끄는 ‘영향력자’ 역할을 수행했습니다.
많은 거버넌스 모델이 권한과 책임의 정의에 초점을 맞추지만, 최고 수준에서 목표와 우선순위에 대한 진정한 공감대가 없다면RACI(Responsible/Accountable/Consulted/Informed) 차트는 형식적인 문서에 그치기 쉽습니다. 합의된 목표를 기준으로 예산, 지표, 자원을 설정해야 정렬이 유지됩니다.
C-레벨 정렬을 돕는 리소스
일부 산업 조직은 외부 OT 보안 전문가의 참여를 통해 이러한 정렬 과정을 가속화합니다. 이 전문 서비스 팀은 단순히 보안 수준을 개선하는 데 그치지 않고, 기술적 취약점을 이사회와 경영진이 이해할 수 있는 '비즈니스 리스크 언어'로 해석·전달하는 중재자 역할도 수행합니다. 외부 관점은 데이터 기반 인사이트를 제공해 이해관계자들이 공감하고 결집할 수 있는 근거를 만들며 내부 장애물을 장벽을 허무는 데 도움을 줍니다.
많은 조직이 OT 보안 여정이 상당히 진척되었음에도, 최고경영진 차원의 정렬이 아직 이뤄지지 않았다는 사실을 인지하지 못한 채 진행하는 경우가 있습니다. 대부분의 경우 가장 현명한 선택은 ‘리셋’하고, 공통된 이해의 기반을 재정립하는 것입니다. 전문 관리 서비스는 이러한 리셋에 필요한 객관적 기준선을 제공해, 이해관계자들이 현재 상태와 향후 요구사항에 대해 공통된 인식에서 출발할 수 있도록 합니다.
2. 현재 조직의 운영 스타일을 거스르지 말고 흐름을 타라
우리 팀이 목격한 가장 성공적인 OT 보안 실행 사례 중 하나는, 사업부 독립성과 성과 책임 문화가 강한 유틸리티 지주회사에서 나왔습니다. 이 회사의 기존 거버넌스 모델은 오랜 기간 많은 산업 기업에서 활용해온, 사업부별 손익(P&L) 책임 기반의 전통적 분산 모델이었습니다.
핵심 전략
중앙집중식 보안을 강요하는 대신, 경영진은 ‘무엇(목표와 목적)’에 대한 책임을 명확히 했고, 이 사례에서는 CSC 상위 18개 통제를 기준으로 삼았습니다. 핵심은 사업부가 ‘어떻게(how)’ 달성할지를 스스로 결정하게한 것입니다.
운영 방식
- 경영진은 목표와 리뷰 프로세스를 설정했습니다.
- CISO는 목표 설정을 주도했지만 방법을 지시하지는 않았습니다.
- 각 사업부는 도구, 통제, 접근 방식을 자율적으로 선택했습니다.
- 모든 조직이 분기마다 모여 공통 지표 대비 진행 상황을 점검했습니다.
성공 요인
이 조직에는 중앙집중형 전문가 조직이나 공유 인프라 문화가 없었습니다. 그런 모델을 만드는 것은 조직의 핵심 운영 방식 자체를 거스르는 셈이었습니다.
만약 CISO가 그 방향을 밀어붙였다면, 조직의 ‘DNA’와 맞지 않았기 때문에 실패했을 가능성이 큽니다. CISO는 완벽한 거버넌스 모델은 없다는 점을 이해하고, 모두에게 작동하는 방식으로 현실에 맞게 조정해 가능한 해법을 활용했습니다.
교훈
먼저 조직의 DNA를 이해해야 합니다. 분산형 조직이라면 자율성을 존중하되 책임을 보장하는 프레임워크를, 중앙집중형 조직이라면 그 구조를 강점으로 활용하십시오. 조직 문화의 결을 거스르지 말고 그 결을 따라가야 합니다. 그 다음, 해당 접근 방식에서 발생하는 고유한 격차를 보완하면 됩니다.
3. 자금의 흐름을 따르라
사이버 보안 거버넌스에서 가장 어려운 과제 중 하나는 예산과 책임의 정렬입니다. 많은 조직에서 사이버 보안 관련 지출은 여러 부서에 분산되어 있습니다.
- 현장은 업데이트, 패치, 운영 관리 등을 포함한 자체 시스템 예산을 책임질 수 있습니다.
- 본사 IT는 네트워크 장비, 경우에 따라 망 분리 예산을 관리할 수 있습니다.
- CISO 조직은 안티멀웨어나 위협 탐지를 위한 로그 모니터링 등 보안 특화 이니셔티브 예산을 집행할 수 있습니다.
- HR은 교육 및 인식 제고 프로그램 예산을 보유할 수 있습니다.
- 시설 관리는 창고, 냉각기, 냉동고 등 운영에 중요한 건물 설비 시스템을 담당할 수 있습니다.
이처럼 분산된 환경에서는 현재 사이버 보안 관련 총지출을 파악하고, 새로운 예방 및 탐지 조치에 대한 우선순위를 정하기가 어렵습니다.
우리는 고객들이 이 상황에 다양한 방식으로 대응하는 것을 보아 왔습니다. 일부는 여러 사업부의 지출을 모아 전체 사이버보안 예산으로 보는 ‘그림자(Shadow) 회계’ 시스템을 만들었습니다. 또 다른 일부는 명확한 목표를 정하고, 사업부가 통상적인 연간 예산 증가 범위 내에서 전체 예산을 관리하면서 목표를 달성하도록 해 결국 사이버보안과 다른 항목 사이의 지출 트레이드오프를 스스로 하도록 했습니다. 또 다른 일부는 플랜트 단위로 보안 컴플라이언스를 관리하며, 플랜트 예산이 사이버보안을 핵심 KPI 요소로 반영하도록 했습니다.
위 모델 중 하나를 쓰든 다른 방식을 쓰든, 조직은 먼저 전체 사이버보안 지출에 대한 가시성을 확보하고, 다음으로 예산 권한과 보안 책임을 정렬해 리스크를 효과적으로 관리해야 합니다.
4. 운영 조직의 ‘균형성과표와 KPI 방식을 채택하라
성과가 좋은 운영 조직은 지표, 목표, 상세 절차, 그리고 시간/일/주 단위로 모니터링되는 전술적 결과를 기반으로 움직입니다. 반면 사이버보안 목표는 종종 추상적이거나 포괄적인 형태로 제시됩니다.
- 취약점 감소
- 잠재적 악성코드 식별
- 공격자 식별
- 사고 대응 능력을 X% 개선
성공적인 OT 보안 접근은 운영 관리의 흐름에 맞춰, 이러한 추상적 목표를 빨강, 노랑, 초록의 단순한 차트로 표시할 수 있을 만큼 전술적인 목표와 지표로 전환합니다.
실제 사례
한 고객사는 NIST CSF를 사이버보안 프레임워크로 채택한 뒤, 주간, 월간, 분기 단위로 추적 가능한 측정 지표 세트를 구현하는 단계까지 나아갔습니다.
각 통제 영역마다 목표와 지표가 설정되었으며, 여기에는 미적용된 핵심 패치 수, 최근 일주일간 백업이 없는 장비 수, 오탐 경보 수, 오탐 대응에 소요된 운영 인력 시간 등이 포함되었습니다. 이들은 위협 데이터를 분석하는 본사 SOC를, 마치 ‘상위 공급자’처럼 대했고, SOC는 위협 탐지의 품질과 적시성에 대한 목표를 기준으로 성과 책임을 부여받았습니다.
이 데이터는 운영 조직과 SOC 간에 정기적으로 공유되어, 서로에게 책임을 지도록 했습니다. 지표가 ‘초록’이 아닐 경우, 제품 품질이나 처리량 지표를 다루듯 개선 계획이 수립되었습니다.
운영 조직은 이미 생산량과 비용뿐 아니라, 산업 안전, 환경 품질, 제품 품질 등 다양한 KPI를 균형 있게 관리하고 있습니다. 따라서 사이버 보안을 이 균형성과표의 또 하나의 요소로 통합하면, 자원 배분과 실행 권한에 대한 책임을 효과적으로 정렬할 수 있습니다.
