건물도 해킹위험에 대비해야만 하는 이유

전산망 해킹, 통신망 점검만으로 충분할까 ?

요즘 컴퓨터나 전산망이 마비되었다는 소식이 심심찮게 들린다. 해커가 침입 해 정보를 빼 내가고, 시스템을 마비 시켜 업무에 차질이 발생 되기도 한다. 이럴 때마다 기업들은 대대적으로 통신망 및 컴퓨터에 대한 점검에 나선다.

해커가 기업의 전산망에 침투할 수 있는 방법에는 여러가지가 있다. 내부 직원이 기업의 전산망에 실수로 무선랜 AP를 설치했을 수 있다. 악성 코드가 담긴 불법 콘텐츠를 다운로드 받았거나 비 인가된 노트북 컴퓨터를 사내망에 연결 했을 수도 있다. 기업의 보안 담당자는 이런 예상 가능한 문제점들에 대해 주기적으로 점검하고 문제점들을 해결한다.

그런데 기업 내부의 예상치 못한 곳에 보안 취약점이 도사리고 있다는 소식이 전해진다. 건물 내부로의 출입 통제, 엘리베이터, 냉난방 조절 등을 담당하는 건물관리 시스템이 그 주인공이다. 

전산망의 보안과는 별로 관련 없을 것 같은 건물 관리 시스템에 어떤 위험이 있길래 이런 경고까지 나오는 걸까 ?

 

 

의외로 외부의 해킹 위협에 취약할 수 있는 건물들, Image source: flickr.com

 

 

건물 관리 시스템이 업데이트 되지 않아 무방비로 위험에 노출되어 있다 !

 

건물 내 시설물에 대한 유지 보수를 책임지는 건물 관리 시스템의 소프트웨어 패치(Patch)가 제때 이루어지지 않아 보안 취약점이 있는 상태로 운영되고 있다는 조사 결과가 나왔다. 해커들이 이러한 취약점을 공략 한다면 기업의 내부망이 쉽게 해커의 손에 넘어갈 수 있다는 지적이다. 다음은 기사의 주요 내용이다(출처: PC World).  

Tridium사가 만든 건물 관리 시스템(ICS, Industrial Control System), NiagaraAx는  세계적으로 널리 이용되고 있다. 

그런데 전문가들의 조사 결과 NiagaraAX의 4분의 3은 최신 소프트웨어로 패치되어 있지 않다고 한다. 해커의 침투에 악용될 수 있는 보안 취약점이 있는데도 중요한 건물 관리 시스템을 그대로 운영하고 있는 것이다. 

세계적인 IT 기업인 구글의 호주 법인이 입주해 있는 건물 역시 동일한 상황이라 한다. 이 곳의 건물 관리 시스템은 보안 취약점이 있는데도 불구하고 외부 인터넷망과 내부망 모두에 연결되어 있어 이슈가 되었다.

해커가 인터넷을 통해 이 곳의 건물관리 시스템을 해킹 했다면 구글 호주법인의 내부망까지 쉽게 침투할 수 있었을 것이다.

현재는 소프트웨어 패치 등의 작업이 완료되어 안전한 상태라고 한다.

건물관리 시스템에 대한 입주 기업의 관리와 감독 강화가 필요하다.  

기업들은 비용 절감을 위해 건물 관리를 외부 업체에 위탁 운영하는 경우가 많다. 이런 경우 건물관리 시스템의 유지 보수 업무도 외부 업체에게 맡겨진다.그런데 이들이 영세 하거나 보안에 대한 인식 수준이 낮다면 건물 관리 시스템은 최신 소프트웨어로 유지되지 않을 가능성이 높다.

건물 관리 시스템은 내부 시설물에 대한 통합 모니터링과 통제, 중앙 집중 관리 등을 위해 기업의 내부망에도 연결되어 있는 경우가 많다.

이런 경우 건물 관리 시스템의 보안 취약점은 기업 내부망의 보안 위험과 동의어가 될 수도 있다. 내부 전산망을 아무리 철저하게 관리 하더라도 건물 관리 시스템 때문에 기업이 해킹될 수 있다는 의미이다.

따라서 기업들은 건물 관리 시스템에 대해서도 관리와 보안 수준을 높일 필요가 있다. 특히 외주업체에 전적으로 업무를 위탁하는 기업이라면 더욱 감독 체계를 강화 해야만 한다.   

건물 관리 시스템을 외부망과 완전히 단절 시킬 필요가 있다.

구글 호주 법인은 그들의 건물 관리 시스템이 외부망에도 연결 되어 있었기에 해킹 피해를 당할 가능성이 높았다. 파이어월 등으로 강력하게 보호되고 있는 그들의 내부망이 어딘가에 있는 조그만 구멍으로 뚫릴 수 있다는 의미이다.

만약 해커가 이러한 상황을 미리 알았다면 그들은 큰 노력을 기울이지 않고도 구글의 내부망에 접근할 수 있었을 것이다. 생각만 해도 아찔한 일이다.

 

물론 건물 관리 시스템은 외부에서 원격 접속하여 관리 할 필요도 있다. 그러나 대형 건물의 경우 근무자가 24시간 건물 내에 상주하니 건물 관리 시스템을 반드시 외부 인터넷망에 접속 시켜 둘 필요는 없을 것이다.

 

따라서 건물 관리 시스템이 외부 인터넷 망과 연결되어 있는 기업들이라면 지금부터 그 접속을 완전 차단하길 바란다. 어찌보면 그것이 해킹 위협에 대한 가장 현명한 대책일 것이다.

첩보, 범죄 영화에 나오는 건물의 무대가 되지 않으려면 건물 시스템의 관리 수준을 높이자.

이번 해외 사례를 보고 나서 건물의 이곳 저곳을 살펴 본다. 필자가 근무하는 대형 인텔리전트 빌딩의 관리 시스템은 어떤 상태일까 궁금해졌기 때문이다. 문의 해 보니 설명을 해 줄 수 없다고 한다. 건물 관리 시스템의 현황 자체가 보안 사항이기 때문일 것이다.

그러면서 영화 속 장면들이 생각난다. 전문가들이 침투하여 복도의 박스에서 전선을 찾아내 노트북을 연결한다. 현란한 손 놀림으로 엘리베이터를 세우고 CCTV를 조작한다. 전기를 차단하고 출입자를 통제한다. 현실에서도 이런 해킹이 가능 할까 ?  

답은 가능할 수도 그렇지 않을 수도 있다는 것이다. 건물 관리 시스템을 취약한 상태로 유지하는 건물들은 영화 속 모습이 현실로 되어 나타날 것이다. 미리 대비하는 건물들은 안전하게 유지될 것이다. 따라서 기업들이 이젠 건물 관리 시스템을 그들의 전산망 관리 수준으로 격상시켜 운영 할 필요가 있다.

소 잃고 외양간 고친다는 속담이 있다. 그런데 기업의 전산망과 건물 관리 시스템은 한번 피해를 당하면 그 규모가 너무 커 다시 고칠 수 있는 것들이 아니다. 따라서 기업들은 해킹 위협에 대해 미리 대비할 필요가 있다.

꺼진 불도 다시 보는 것처럼 기업들이 그들의 건물 관리 시스템 수준을 획기적으로 높이기를 기대해 본다. 그것이 IT 강국 코리아에 어울리는 훌륭한 대비책일 것이다.