|
▲2006~2020년 전 세계에서 발생한 ‘중대한’ 사이버공격 횟수. 국제에너지기구(IEA) |
에너지경제연구원은 21일 ‘세계 에너지시장 인사이트’를 통해 전력시스템 사이버보안 역량을 강화하기 위한 전 세계 각 나라의 동향을 소개했다.
유럽연합(EU)은 중요 산업부문에 대한 잠재적인 사이버보안 인증 제도를 고려하고 있다고 알려졌다. EU의 네트워크와 정보시스템 보안지침(NIS Directive)은 에너지서비스를 포함한 중요 서비스 운영자가 준수해야 할 공통적 기준을 제시하고 있다. EU 집행위원회는 지난 2019년 정보시스템 보안지침 가운데 에너지부문에 대한 사이버보안 권고사항을 보완하기도 했다.
영국은 지난 2011년에 최초로 ‘국가 사이버보안 전략(National Cybersecurity Strategy)’를 발표했다. 현재는 전력시스템에 ‘2016-2021년 국가 사이버보안 전략’이 적용되고 있다. 영국 기업·에너지·산업전략부와 영국 가스·전력시장 규제청(Ofgem)이 공동으로 전력부문의 사이버보안 정책을 담당하고 있다. 국가 사이버보안 센터는 사이버보안 평가 프레임워크를 제공해 중요 서비스를 제공하는 운영자가 이를 준수하도록 지원하고 있다.
독일은 연방정부 정보보안청(Federal Office for Information Security)이 사이버보안 정책을 총괄하고 있다. 사이버보안 기준을 의무화하고 있으며 ‘ISO 27000’ 등 정보보안 규정을 서비스 운영자가 지킬 수 있도록 유도한다.
호주의 경우 기존 미국 에너지부(ES-C2M2)와 미국 국립표준기술연구소(NIST CSF) 프레임워크를 활용해 지난 2018년 호주 에너지부문 사이버보안 프레임워크(The Australian Energy Sector Cyber Security Framework)를 개발했다. 이는 에너지시장에 참여하는 기업들이 사이버보안 상태를 점검하거나 사이버보안 역량을 강화하기 위한 투자를 결정할 때 활용하고 있다.
브라질은 지난 2016년 이후 전력망 관련 법령을 통해 송전시스템 운영자(ONS)와 전력기업들이 사이버보안 역량을 강화하도록 의무화하고 있다. 지난 2019년에는 국가 최초로 사이버보안 정책패키지를 제안했다.
인도 전력부는 4개의 사이버위협 대응부서(CERTs)를 설립했다. 해당 부서는 사이버위협 관리계획(CCMP)을 수립하고 주 정부와 연방정부 직할지역, 전력회사들이 사이버위협에 대응하도록 지원하고 있다. 지난해에는 전력망 운영자와 규제기관에 대한 의무적 사이버보안 추진계획을 발표하기도 했다.
일본 내각 사이버보안센터는 지난 2017년에 핵심 사회기반시설 보호에 관한 정책을 발표한 뒤 계속 개정하고 있다. 정책은 정보보안을 위한 안전원칙을 설립하고 사이버위협 평가를 위한 가이드라인을 포함한다.
미국은 핵심 사회기반시설 보호규정(NERC CIP)을 통해 자국 내 전력회사들에 대한 사이버보안 의무규정을 제시한다. NERC CIP 규정은 산업전문가들의 의견을 조율해 미국 연방에너지규제위원회(FERC) 승인을 위해 제출된다. 날로 진화하는 사이버공격에 대응하고자 정기적으로 개정되고 있다.
미 연방에너지규제위원회의 승인을 받은 뒤 규정은 의무화된다. 준수하지 않을 경우 위반 건당 일일 100만달러에 이르는 벌금이 부과될 수 있다.
claudia@ekn.kr
;){kind=link}