[이슈 분석] 콜로니얼 파이프라인 폐쇄 사태는 미국의 사이버 보안 취약성 드러낸 재앙

해커조직의 랜섬웨어 공격에 의한 미국의 최대 연료 파이프라인의 폐쇄는 시스템적 취약점을 드러내고 있다. 그동안 파이프라인 운영자들은 별도로 사이버 방어에 신경을 쓰지 않았다. 미국 정부는 약 10년 동안 대부분의 전력망에 대해 강력하고 의무적인 사이버 보안 프로토콜을 사용해 범죄자 또는 반국가 행위자의 해킹을 방지해왔기 때문이다.

그러나 미국의 270만 마일 (430만 Km)에 이르는 석유, 천연가스, 그리고 위험한 액체 파이프라인은 자발적 조치만을 갖고 있어 개인 사업자에게 안전을 맡길 수 없다고 전문가들은 말했다. 리처드 글릭 미 연방에너지규제위원회(FERC) 위원장은 “파이프라인이 자발적으로 모범 사례를 채택하도록 유도하는 것만으로는 갈수록 늘어나는 사이버 범죄자와 수법의 정교화에 대응할 수 없다”고 말했다.

구체적인 조치에 대한 제안은 제시되지 않았지만, 가장 민감한 요소에 대한 접근을 제한할 수 있도록 보호에는 암호화, 다중 요인 인증, 백업 시스템, 인력 훈련 및 세분화 네트워크 요건이 포함될 수 있다. 전력망에 사이버 표준을 부과하는 FERC의 권한은 2005년 법률에 근거하고 있지만, 파이프라인까지는 확대되지는 않았다.

미국 최대 석유제품 파이프라인이자 동부 해안의 거의 절반에 가까운 공급원인 콜로니얼 파이프라인이 러시아 또는 동유럽에 기반을 둔 사이버 해킹 그룹 다크사이드(DarkSide)에 기인 한 FBI의 랜섬웨어 공격 이후 금요일 이후 폐쇄됐다. 정전사태로 인해 미국 남부의 휘발유 가격이 상승했고 현충일 휴일을 앞두고 더 큰 부족과 잠재적 가격 상승이 우려되고 있다.
콜로니얼은 사이버 보안 표준이 의무화되어야 하는지에 대한 질의에 즉각적으로 반응하지 않았다. 이에 대해 미국 석유연구소의 로비 단체는 “위협을 이해하고 완화하기 위해 교통안전국, 에너지부 등과 협의 중”이라고 말했다.

■ 부족한 인력, 예고된 재앙

파이프라인에 대한 사이버 감시는 파이프라인 업체에 자발적 보안 지침을 제공하는 국토안보부(DHS) 사무소인 TSA가 담당한다. 그러나 의회 감시기관인 종합회계감사원이 2019년 발표한 보고서에 따르면 TSA는 2018년까지 파이프라인 보안 지사에 6명의 정규직 직원만 두고 있어 사무소의 사이버 보안 관행에 대한 검토는 제한적이었다고 한다. TSA는 현재의 인력 배치와 파이프라인에 대한 의무 조치 권고 여부에 대한 의견 요청에 즉각 응답하지 않았다.

알레한드로 마요르카스 국토안보부 장관은 바이든 행정부가 규칙을 제정할 것이냐는 기자들의 질문에 “전국적으로 사이버 보안을 높이는 행정적, 입법적 옵션을 논의하고 있다”고 말했다. 조 바이든 대통령은 의회가 23억 달러 규모의 기반시설 계획을 통과시켜 그 법안에 파이프라인 요건이 적용될 수 있기를 바라고 있다. 하지만 전문가들은 빠른 해결책은 없다고 말하고 있다.

클리어 뷰(ClearView Energy Partners)의 분석가인 크리스티 테작(Christi Tezak)은 “어려운 점은 누가 무엇을 해야 하고, 무엇을 하라고 지시하느냐 하는 것”이라고 말했다. 전력망은 FERC에 의해 규제되며, 대부분 비영리 지역 조직으로 조직된다. 그것은 FERC가 의무적인 사이버 조치를 승인하도록 허용하는 2005년 법을 입법자들이 상대적으로 쉽게 발의하도록 만들었기 때문이다.

다양한 공기업과 민간기업이 송유관을 소유하고 있다. 그들은 대부분 독립적으로 작동하며 강력한 연방 규제 기관이 없다. 그들의 감시는 그들이 무엇을 운반하느냐에 따라 다른 법을 적용받는다. 제품에는 원유, 연료, 물, 유해 액체 및 기후 변화를 제어하기 위한 지하 매몰용 이산화탄소가 포함된다. 이러한 다양성은 입법자들이 통일된 요구사항을 부과하는 것을 어렵게 만들 수 있다. 도널드 트럼프 전 대통령 시절 백악관 국가안보회의(NSC)에서 일했던 리사 머코스키 공화당 상원의원 보좌관이었던 트리스탄 애비 의원은 의회가 “이 문제를 해결하는 최선의 방법이자, 최악의 방법”이라고 말했다.

이에 대해 분석 전문업체 코마루스(Comarus Analytics LLC)의 사장인 애비(Abbey)는 “관할권이 모호하고 기관이 자원이 부족한 경우 입법이 필요할 수 있다”라고 말했다. 그러나 “표준이 해답의 일부일 수 있지만, 연방 규정은 혁신을 방해하지 않고 주 요구사항과 일치할 필요가 있다”며 입법를 마술 지팡이로 보아서는 안 된다고 말했다.


김경수 글로벌이코노믹 편집위원 ggs077@g-enews.com