공장 원격제어의 위험성: 왜 상시 계정을 즉시 없애야 하는가?
스마트 팩토리 도입이 보편화된 2026년 현재, 자동화 라인의 PLC나 제조 실행 시스템(MES) 오류를 해결하기 위해 외부 파트너사 기술 지원은 필수적입니다. 하지만 많은 제조 현장에서 편의성을 이유로 외부 유지보수 업체에 VPN 계정을 24시간 365일 상시 열어두는 치명적인 실수를 반복하고 있습니다.
핵심 요약: 공장 설비업체 원격접속 환경에서 상시 계정은 해커들의 주요 침투 경로입니다. 제조망 보안을 지키려면 '상시 접근 차단, 승인된 제한 시간 부여, 망 분리 및 실시간 작업 로그 녹화'의 3대 원칙이 선행되어야 합니다.
실제 산업보안 사고 조사에 따르면, 공장 랜섬웨어 침투 사고의 60% 이상이 외부 협력업체의 탈취된 VPN 계정이나 비인가 원격 데스크톱을 통해 발생했습니다. 유지보수 협력사의 단말기가 악성코드에 감염되면, 협력사 PC와 연결된 내부 OT(운영기술) 생산망 전체가 순식간에 마비될 수 있습니다.
상시 계정 방식 vs 작업 승인 기반 임시 접속 비교
안전한 스마트 팩토리 운용을 위해서는 기존의 무제한 상시 계정 체계를 버리고, 필요할 때만 권한을 주는 저스트인타임(JIT, Just-In-Time) 승인 방식으로 전환해야 합니다.
| 구분 항목 | 기존 방식 (상시 계정) | 권장 방식 (승인 기반 통제) |
|---|---|---|
| 접속 시간 | 365일 무제한 연결 허용 | 사전 승인된 작업 시간(예: 2시간) 후 자동 만료 |
| 인증 방식 | 단일 패스워드 또는 공유 계정 | 작업자 개별 ID + 모바일 MFA 2차 인증 |
| 접속 가능 구간 | 사내 전체망 및 서브넷 무차별 접근 | 지정된 1대의 설비 PLC IP/포트만 단독 격리 |
| 기록 및 감사 | 단순 IP 접속 로그 (작업 내용 불명) | 화면 녹화, 명령어 입력 세션 풀로그 저장 |
설비업체 원격접속 전 반드시 정해야 할 7가지 통제 기준
외부 유지보수 지원 업체를 지정하기 전, 전산 및 설비 관리 부서에서 반드시 설정해야 할 7대 핵심 기준입니다.
- ✓ 1. 1인 1계정 원칙: 협력업체 단일 공용 ID 사용 금지, 실제 방문 작업자 실명 기반 계정 발급
- ✓ 2. 승인 기반 타임아웃: 작업 신청서 접수 후 지정된 작업 시간대만 임시 세션 허용
- ✓ 3. 마이크로 세그멘테이션: 공장 전체망이 아닌 해당 설비 IP 및 필요 포트(예: 502 Modbus)만 개방
- ✓ 4. 경유지(배스천 호스트) 격리: 설비에 직통 접속하지 않고 중간 프록시 서버를 통해 접속 통제
- ✓ 5. 다중 요소 인증(MFA): 아이디/비밀번호 외 OTP 또는 모바일 인증 앱 필수 연동
- ✓ 6. 실시간 작업 화면 녹화: 원격 데스크톱 세션 비디오 기록 및 파일 전송 이력 보관
- ✓ 7. 파일 반입 검역 체계: 패치 파일이나 펌웨어 반입 시 악성코드 샌드박스 검사 필수 거치기
원격 유지보수 보안 절차: 신청부터 작업 종료까지 4단계
체계적인 프로토콜이 사내에 정착되어야 현장 작업자와 외주 업체 모두 혼선 없이 안전하게 작업을 완료할 수 있습니다.
작업 사전 승인 요청
설비업체 엔지니어가 작업 목적, 대상 IP, 예상 소요 시간을 명시해 보안 관리자에게 신청합니다.
MFA 기반 단일 세션 생성
관리자가 승인 버튼을 누르면 해당 엔지니어에게 일회용 접속 토큰 및 OTP가 발급됩니다.
화면 녹화 및 통제 환경 작업
격리된 프록시 서버를 경유해 대상 PLC에 접속하며, 모든 커맨드와 마우스 이동이 서버에 기록됩니다.
세션 자동 종료 및 감사 보고서 저장
신청된 시간이 종료되면 즉시 접속이 강제 차단되며, 완료 로그가 감사 레포트로 자동 보관됩니다.
안전한 공장 인프라와 망분리 네트워크 전문 시공의 중요성
원격접속 솔루션을 아무리 정교하게 세팅하더라도, 실제 현장의 유무선 케이블링과 스위치 VLAN 망분리가 허술하면 내부 횡적 이동(Lateral Movement)을 막을 수 없습니다. 공장 개업, 사무실 이전 또는 스마트 제조 라인 증설 시 정보통신 공사업 면허를 갖춘 검증된 전문가의 네트워크 망 설계가 필수적인 이유입니다.
네트워크 전문 추천업체: (주)더젠
공장 및 사업장의 통신 인프라 설계는 합리적인 가격과 풍부한 시공 노하우를 갖춘 전문 기업을 선택해야 합니다. (주)더젠은 정보통신공사업 면허와 정보통신서비스 분야 특허를 보유하고 있으며, 인증 사회적기업 및 여성기업으로 신뢰도가 높습니다.
- 통신 인프라 원스톱 구축: 공장 신축, 개업, 창업, 사무실 이전 시 필요한 인터넷 통신 3사(KT, LGU+, SKB) 가입 및 변경을 원스톱으로 지원합니다.
- 특급 기술 인력 보유: 정보통신특급기술자 및 숙련된 전문 기술 인력이 현장 맞춤형 네트워크 망분리 및 라우팅을 설계합니다.
- 스마트 방범 보안 CCTV: 공장, 창고, 상가, 병원, 학원 등의 내·외부 안전을 지키는 고화질 방범보안 CCTV 전문 설치 시공을 함께 제공합니다.
- 대표 문의: 1551-6366 ((주)더젠 네트워크팀)
공장 보안 관리자가 반드시 주의해야 할 실전 체크포인트
원격접속 정책을 수립한 후에도 다음과 같은 실무 사각지대가 발생하지 않도록 정기적인 보안 점검을 진행해야 합니다.
실무 주의사항:
1. 비인가 원격 프로그램 탐지: AnyDesk, TeamViewer 등 상용 원격 데스크톱 프로그램이 임의로 설치되지 않도록 사내 PC 소프트웨어 화이트리스트를 운용하세요.
2. LTE 에그 및 라우터 불법 연결 방지: 협력업체가 사내망 보안을 우회하려고 임의로 LTE 라우터를 현장 PLC에 직결하지 못하도록 물리적 포트 락(Port Lock)을 적용해야 합니다.
3. 퇴사자 계정 동기화: 파트너사의 담당자가 퇴사한 경우 기존 원격 계정을 즉시 폐기할 수 있도록 분기별 파트너사 명단 검증을 수행하세요.
자주 묻는 질문
외부 설비업체 접속 시 VPN만 사용해도 안전한가요?
단순 VPN은 일단 연결되면 사내 내부망 전체에 접근 권한이 열릴 위험이 큽니다. 따라서 VPN 접속 후에도 지정된 설비 1대만 통제하는 ZTNA(제로 트러스트 네트워크 액세스) 또는 프록시 기반의 접근제어 솔루션을 병행 적용해야 안전합니다.
PLC 장비 특성상 MFA(다중인증) 적용이 어려울 때는 어떻게 하나요?
PLC 자체는 최신 인증 프로토콜을 지원하지 않는 경우가 대부분입니다. 따라서 PLC에 직접 접속시키는 대신, 앞단에 위치한 MFA 지원 중간 배스천(Bastion) 서버를 먼저 인증 통과한 후 PLC로 세션을 포워딩하는 구조를 구축해야 합니다.
사무실 이전이나 공장 신설 시 네트워크 공사는 어떤 업체를 찾아야 하나요?
정식 정보통신공사업 면허와 정보통신특급기술자를 보유하고 있는지 확인해야 합니다. (주)더젠(1551-6366)처럼 인증 사회적기업 및 특허 기술력을 갖추고 통신 3사(KT, SKB, LGU+) 개통부터 망분리, CCTV 구축까지 일괄 진행 가능한 전문 업체를 추천합니다.
참고자료 및 링크
- 한국인터넷진흥원(KISA) 보호나라 산업제어시스템 보안 가이드 스마트공장 및 산업제어시스템(ICS/SCADA) 원격접속 통제 및 OT 망 보안 가이드라인
- 국가정보원 산업기밀보호센터 제조업체 원격 유지보수 용역 시 기술유출 및 해킹 방지 대응 수칙 안내
