저는 35년 넘게 석유 및 가스 산업에 이런저런 형태로 관여해 왔습니다. 이 오랜 기간 동안 저는 시장과 기술 모두에서 놀라운 변화를 목격할 수 있었습니다. 호황과 불황이 있었고, 새로운 석유와 가스전 그리고 이러한 매장량에 도달하기 위한 기법들이 발견되었습니다. 저는 모든 온스를 끌어내기 위한 새로운 자극 기법뿐만 아니라 압력, 부피와 같은 요인의 표시를 제공하는 다운홀 계측기의 출현을 보았습니다.

제 경험은 우리가 현재 석유 및 가스 산업에서 엄청난 기술적 변화 중에 있다는 것을 알 수 있게 해주었습니다. 하지만 이러한 발전으로 인해 사이버 보안 위험은 꾸준히 증가하고 있습니다. 이 블로그 게시글에서는 오늘날의 산유국들이 효율성을 향상시키고 비용을 절감하기 위해 새로운 센서 기술을 사용하는 방법에 대해 살펴보고 관련 보안 위험을 어떻게 줄일 수 있는지 살펴봅니다.

‘날카로운 귀’에서 센서 기술까지

석유 생산자의 주요 목표는 높은 수익성을 유지하는 것이고, 기술은 운영에 중요한 역할을 합니다. 현장 근무자의 날카로운 귀로 인해 베어링이 고장난 소리를 감지할 수 있었던 곳에서는, 이제 로컬 내장 센서가 그 역할을 대신하고 있습니다. 스마트 센서와 SCADA 시스템은 기업들이 석유 및 가스 산업의 운영 측면을 모니터링하고 보고하는 데 도움을 주고 있습니다. 이러한 센서들은 초기 변화를 감지하고 중요한 데이터를 공장 관리자에게 전달하거나 수천 마일 떨어진 원격 제어실로 전송할 수 있습니다. 최근까지 원격 모니터링은 비용이 너무 많이 들었지만, LTE 및 유사한 셀룰러 기술(태양광 및 배터리 스토리지에 의해 구동됨)의 혁신은 센서가 장거리에서 정보를 전송할 수 있도록 했습니다. 스마트 센서 또한 문제가 있을 때 데이터를 전송하도록 프로그래밍할 수 있어, 운영 비용을 크게 절감할 수 있습니다.

생산자들은 이러한 새로운 결합 기술을 사용하여 보안, 프로세스, 보건 및 안전을 위해 유정 사이트를 원격으로 모니터링하도록 이러한 시스템을 조정하고 있습니다. 이는 생산자들을 수동적인 입장에서 선제적인 자세로 변화시켜, 현장의 운영 측면에 혜택을 주고 일부 유정 서비스에 대한 필요성을 감소시킬 것입니다. 24시간 내내 작동하는 센서가 비정상적인 활동을 감지하므로 무작위 수동 검사를 대체할 수 있습니다. 이것은 궁극적으로 돈을 절약하고 좋은 수익성을 유지할 것입니다. 많은 기업이 이러한 기능을 자사 네트워크에 도입하고 있지만, 이와 함께 잠재적인 사이버 리스크가 발생합니다.

중요 인프라에 대한 사이버 위협에 대항

석유 및 가스 분야는 한 나라의 중요 인프라 분야에서 중요한 부분을 차지하고 있으며, 사이버 보안은 대부분의 운영에서 가장 큰 관심사입니다. 중요 인프라, 수많은 하위 요소 및 관련 기관에 대한 공격이 성공하면 조직과 시민에게 치명적인 영향을 미칠 수 있습니다. 또한 계단식 또는 도미노 효과를 가져올 수도 있습니다. 한 하위 섹터가 작동 중단되면, 다른 하위 섹터가 연이어 작동이 중단될 수 있습니다.

조직들이 이러한 공격으로부터 방어하는 것이 매우 중요합니다. 이러한 공격들은 계속해서 변화하고 있습니다. 업계에서는 IoT 장치의 고유한 보안 취약성으로 인해 IoT 장치에 대한 랜섬웨어 공격이 증가하는 것을 목도하고 있습니다. 이는 새 센서의 보안 필요성을 강조합니다. 돈을 요구하는 전통적인 공격 외에도, 탐지를 피하기 위해 숨어 있으면서 정보 수집 활동을 하는 트로이 목마 형태의 악성 프로그램 공격도 있습니다. 충분한 정보가 수집되면 해커가 운영 제어 권한을 탈취할 수 있습니다. 만약 석유와 가스 공장에서 이런 일이 일어난다고 상상해 보십시오. 악의적인 행위자는 기계 한 대가 오작동된다는 잘못된 경보를 유발할 수 있습니다. 검증되지 않으면, 잘못된 수동적 대응이 실제 사건보다 더 큰 피해를 줄 수 있습니다.

추가 보안 계층 구현

센서 경보 또는 알람의 검증은 추가 센서를 통해 할 수 있습니다. 진화하는 두 가지 유형의 센서는 영상 카메라와 열상 카메라입니다. 이들 카메라를 이용해 센서에서 문제를 올바르게 표시했는지 여부를 확인함으로써 이벤트가 발생했는지 검증할 수 있습니다. 실시간 원격 모니터링은 특히 석유 및 가스 회사가 어려운 상황에 직면하고 있는 상황에서 추가적인 보안 계층을 추가할 수 있습니다. 유가의 변동은 유인 사이트의 감소와 빈번하지 않은 인력의 방문에 대한 의존도를 증가시켰습니다.

해커는 기회주의적이며 기존 프로세스의 취약성을 이용하려고 합니다. 고급 센서 제조업체는 검증 외에도 더 많은 보호 계층을 추가해 왔으며 방어선 강화를 지원하는 써드파티(3^rd party) 사이버 보안 파트너를 찾을 것입니다. 따라서 사이버 공격과 관련된 리스크를 고려할 때 공급망 실사는 그 어느 때보다 중요합니다.

공급망 평가

석유 및 가스 생산업체는 새로운 기술을 통해 얻을 수 있는 운영 상의 이점을 넘어 공급망 내 기업들의 사이버 보안 성숙도에 초점을 맞춤으로써 잠재적인 공격으로부터 투자를 보호해야 합니다. 중요한 영역 내에서 손상된 솔루션은 비즈니스뿐만 아니라 사회에도 심각한 결과를 초래할 수 있습니다. 각국이 이러한 서비스에 의존함에 따라, 그 영향은 광범위하게 확산될 수 있습니다. 비즈니스 관점에서 볼 때, 사이버 공격이 성공하면 브랜드 평판, 주가 및 수익성에 부정적인 영향을 미칠 뿐만 아니라 운영 다운타임과 규제 위반 벌금에 처할 수 있습니다.

공급망 내에서 비즈니스 파트너에 대한 평가를 지원하려면, 기술 자체의 운영적 측면을 넘어선 접근 방식을 취해야 합니다. 평가 전체에서 고려해야 할 부분은 ISO27001과 같이 자체적인 내부 성숙도를 입증하기 위한 프로세스와 정책이어야 합니다. 이러한 조직들이 사이버 공격으로부터 자신을 보호하기 위해 무엇을 하고 있는지 보여줄 수 없다면 어떻게 고객을 보호할 수 있겠습니까?

기술과 관련하여, 공격의 근본 원인이 되는 제품의 위험을 줄이기 위해 해당 업체가 어떤 기능과 툴을 보유하고 있는가 확인해야 합니다. 예를 들어 서명된 펌웨어(Signed firmware) 및 보안 부팅(Secure boot)과 같은 기능은 배포 전에 장치가 손상되지 않았음을 보장합니다. 기술이 ‘설계 시 보안, 기본 시 보안’ 설정을 따르며, 모든 보안 조항이 개봉 즉시 사용 가능한가? 네트워크 상의 장치의 보안 강화를 위한 커미션 보조 장치가 있는가? 업체들이 기술의 전체 수명 주기 관리를 어떻게 지원하고 있는가? 오늘 안전하다고 해서 내일도 안전한 것은 아닙니다. 펌웨어 업데이트를 효율적으로 능동적으로 관리할 수 있는 장치 인벤토리를 제공하는가? 특히 예상 사용 기간과 구식 펌웨어가 초래하는 위험을 고려할 때, 펌웨어 업데이트가 제조업체의 하드웨어 보증보다 더 중요해질 것이라는 것은 IT 정책에서 인정받고 있습니다.

석유 및 가스 분야가 새로운 기술 시대로 접어들면서, 기술 파트너의 역할은 성공의 더욱 중추적인 역할을 하게 될 것입니다. 이들이 제공하는 솔루션은 특히 원격 모니터링의 관점에서 해당 부문의 효율성을 개선하고 비용을 절감하는 데 도움이 될 것입니다. 다만, 이 업체들에 대한 세심한 사이버 보안 평가가 중요하며 조달 프로세스 중에 우선순위로 삼아야 합니다. 제 경험 상, 사업 운영 개선과 수익성 개선을 위해 배치된 기술이 사용자 시스템의 손상을 초래한다면 그것은 재앙이 될 것입니다. 모든 비즈니스가 가장 취약한 연결고리만큼만 강력하다는 점을 우리가 인정한다면, 사이버 보안을 사후 고려사항이 아닌 조달 평가 절차에 넣어야 합니다. 그래야 석유 및 가스 조직이 신흥 기술 솔루션을 활용할 수 있는 강력한 위치에 설 수 있습니다.

 

Axis가 세 가지 사이버 보호 계층을 제공하는 방법에 대해 자세히 확인해 보세요.

세 가지 보안 계층