KISA가 운영 기술(OT) 환경 특성을 반영한 제로트러스트 적용 안내서 공개

OT 환경 제로트러스트 안내서 공개

한국인터넷진흥원(KISA)이 운영 기술(OT) 환경의 제로트러스트 적용 안내서를 발표했다. IT 중심의 제로트러스트를 그대로 가져오기보다, 산업 현장의 가용성·실시간성을 전제로 OT 제로트러스트 적용 방안과 요구사항을 정리한 점이 핵심이다.

한 줄 요약
“절대 신뢰하지 말고 항상 검증하라”는 제로트러스트 원칙을 유지하되,
OT의 특성(실시간 제어, 장비 독립성, 운영 연속성)을 깨지 않는 방식으로 단계적 적용 로드맵을 제시했다.

제로트러스트와 OT를 다시 정의하면

제로트러스트(Zero Trust)는 접속 요구가 있을 때 네트워크가 이미 침해됐을 수 있다고 가정하고, 항상 검증을 통해 접근을 통제하는 보안 개념이다. 반면 운영 기술(OT, Operational Technology)은 산업 설비와 공정을 실시간으로 제어·운영하는 영역으로, 전력·교통·에너지 등 주요 인프라의 안정적 운영과 직결된다.

이 차이 때문에 IT 환경에서 흔히 쓰는 “강한 차단·잦은 인증” 방식이 OT에는 그대로 적용되기 어렵다. OT 제로트러스트는 보안을 강화하면서도 “멈추지 않는 운영”을 함께 달성해야 한다.

가이드라인 흐름: 1.0에서 2.0, 그리고 OT 안내서

과학기술정보통신부와 KISA는 2023년 7월 제로트러스트의 기본 개념과 원리, 핵심 원칙을 담은 가이드라인 1.0을 마련했고, 2024년 12월에는 실증사업 결과와 도입 절차·방법론을 포함한 가이드라인 2.0을 마련했다.

이번 안내서는 이 흐름을 OT로 확장해, 산업 현장의 제약을 고려한 OT 제로트러스트 요구사항을 정리하고 향후 단계별 성숙도 모델로 발전시키는 목표를 제시했다.

OT 특화 적용의 중심: 퍼듀 모델 + 6대 핵심요소

안내서는 IT와 OT 네트워크 계층을 구분해 바라보는 퍼듀(Purdue) 모델 관점을 포괄하면서, 국내 산업 환경에 맞게 가이드라인 2.0의 6대 핵심요소를 기반으로 제로트러스트 요구사항을 제시한다.

실무에서 이렇게 이해하면 편하다
퍼듀 모델 관점으로 “어느 계층에서 무엇을 허용/차단할지”를 먼저 나누고,
6대 핵심요소를 기준으로 “인증·권한·가시성·정책·모니터링”을 OT에 맞춰 조정하는 방식이다.

OT 제로트러스트 핵심 원칙 4가지

안내서가 강조하는 OT 제로트러스트 핵심 원칙은 다음 네 가지로 요약된다.

• 실시간성·가용성 유지: 보안 통제가 운영 연속성을 끊지 않도록 설계
• OT 장비의 독립성 유지: 장비 특성과 제약을 존중하며 변경 영향 최소화
• OT-IT 전역에서 침해 가정: 구간을 나눠도 “이미 침해” 가정은 공통으로 유지
• 지속적 모니터링: 단발성 점검이 아니라 지속 관측과 정책 개선을 전제

현장 적용 포인트: “한 번에 바꾸기” 대신 단계적 고도화

OT 환경은 설비 교체 주기가 길고, 변경 자체가 리스크가 될 수 있다. 따라서 OT 제로트러스트는 전면 교체보다 “구간 분리 → 가시성 확보 → 정책 정교화” 같은 단계적 접근이 현실적인 경우가 많다.

적용 단계	현장에서 먼저 보는 것	성과 지표 예시
1단계 현황 파악	자산 식별(장비/프로토콜/원격접속 경로) OT-IT 경계 구간 흐름 확인	미식별 자산 감소 원격접속 경로 정리율
2단계 구간 통제	퍼듀 모델 관점의 구간 분리 최소 권한 기반 접근제어(가능한 범위부터)	불필요한 포트/세션 감소 정책 위반 트래픽 탐지율
3단계 지속 검증	지속 인증·동적 검증 체계 고도화 이벤트 기반 경보·대응 절차 정착	탐지 후 대응 시간 단축 반복 경보 원인 제거율

보안팀 체크리스트: OT에 맞춘 “최소한의 시작점”

바로 적용 가능한 점검 항목
OT-IT 경계 구간에서 누가(계정/주체) 무엇에(자산) 어떻게(프로토콜/경로) 접근하는지 목록화한다.
원격접속은 인증·권한·세션 기록을 기본값으로 잡고, OT 운영 시간을 고려해 정책 변경 창을 설계한다.
설비 중단 리스크가 큰 구간은 “차단”보다 “가시성·알림”부터 시작해 정책을 점진적으로 강화한다.
모니터링은 단일 장비 로그가 아니라 구간 이벤트를 묶어 추적할 수 있도록 연계한다.

안내서 확인 링크

안내서는 KISA 누리집에서 확인할 수 있다. 이번 글에서는 요청하신 URL을 본문에 그대로 추가했다.

자료	링크	활용 팁
OT 제로트러스트 적용 안내서	kisa.or.kr	퍼듀 모델 계층 기준으로 자산·접근 경로를 먼저 매핑한 뒤 읽으면 이해가 빠르다.

보안 관점에서 보면, OT는 “멈추면 안 되는 시스템”이라는 제약 때문에 선택지가 좁아 보이지만, 반대로 말하면 작은 통제라도 일관되게 누적할 때 효과가 커진다.
이번 안내서는 OT 제로트러스트를 현장 언어로 번역해 적용 범위를 잡는 데 도움이 되는 출발점이다.

251222-KISA-보도자료(국내 최초 ‘운영 기술(OT) 환경의 제로트러스트 적용 안내서’ 발표).pdf

0.13MB