1. 머리말 : 빌딩 시스템의 상황 변화

최근 빌딩 시스템에 대한 사이버 보안이 주목받고 있는데 그 배경은 빌딩 시스템의 IT화 진행이다. 종전에는 엘리베이터라든가 공조, 조명의 개별 시스템(이하 제어 시스템이라고 총칭한다)이 각각 독립적이었고 또 필드 네트워크로 형성돼 있어 IT 환경과는 분리되는 경우가 많았다. 최근에는 빌딩 이용자의 쾌적성·안전성·편리성 향상을 지향해 설비 데이터 이용/활용, 센서 활용, 원격감시라든가 메인티넌스 향상, 스마트화 등 지금까지 독립적이었던 시스템이 네트워크로 연결돼 클라우드 활용을 포함, 설비·정보·IT 환경이 융합되고 있다. 

이 같은 빌딩 시스템의 IT화에 수반해 중요한 것은 바로 IT 환경에서 반드시 고려해야 할 사이버 공격에 대한 보안이다. 퍼스널컴퓨터가 바이러스에 감염돼 조작할 수 없게 되는 피해가 앞으로는 빌딩 시스템에서도 발생할 것이다. 

그리고 제어 시스템(OT : Operational technology)에도 빌딩의 제어 시스템을 대상으로 하는 사이버 공격이 존재한다. 마크니카 네트워크스(주)가 조사한 결과, 빌딩 제어 시스템에서 널리 사용되는 통신규격 대상의 공격 툴이 기술 커뮤니티에서 복수 공개되고 있음을 확인했다(악용 방지를 위해 결과를 일부 가공한다). 이들 공격 툴의 일부는 실행 가능한 공격 코드도 함께 공개되고 있어 공격자가 사이버 공격으로 전용할 수 있는 상태로 되고 있음을 확인했다. 이와 같이 빌딩 제어 시스템에 대한 사이버 공격이 현실적인 문제로 존재한다. 

<Google 오피스빌딩의 해킹사례>

실제 빌딩을 대상으로 해킹한 사례를 소개한다. 

구글 본사 빌딩은 수처리 시스템을 갖고 있었는데 패치 관리가 소홀했다. Cylance사의 연구원이 그 취약성을 알고 수처리 시스템 관리자의 패스워드를 입수해 시스템에 접근했다. 건물 내의 수도관 도면이라든가 바닥과 지붕의 설계도를 나타내는 제어판을 찾아냈다. 그 뿐만 아니라 수처리 시스템에 멀웨어를 설치하고 동일한 네트워크 내의 다른 제어 시스템으로도 공격 대상을 넓히는 것이 가능함을 알았다. 본사의 예는 악의를 품은 공격자에 의한 사건은 아니었지만 사이버 공격으로 설계도 등과 같은 기밀정보 유출이라든가 시스템 제어 탈취가 가능함을 보여준 사례의 하나다. 

2. 빌딩 시스템의 특징 

빌딩 시스템의 보안을 위해 빌딩 시스템의 특징에 대해 살펴본다. 대표적인 사항은 아래에 기술하는 두 가지이다. 

2.1  라이프 사이클이 복수 단계로 나뉘어 있다 

<그림 3>에 나타내는 바와 같이 빌딩 시스템은 복수 단계로 나뉜 라이프 사이클을 갖고 있다. 보안 관점에서 생각할 경우에는 각 단계에서 대상 시스템과 필요한 보안 시책이 다르다. 

일례로 전반(前半) 부분의 기획 개발이라든가 설계 단계에서 보안 대상이 되는 것은 설계자용·영업용 PC, 정보를 관리하는 서버, 데이터베이스이다. 이들에 대해서는 종전의 IT 환경과 마찬가지로 보안시책이 필요하다. 

시공단계에서는 작업원이나 시공관리 담당자가 사용하는 PC라든가 센서·카메라 등의 IoT 기기가 빌딩 건설현장을 누빈다. 이로써 사람과 시스템이 유동적이어서 인사관리도 중요하다. 

마지막 운용단계에서는 감시 시스템에 대한 서버나 PC, IT 단말기라든가 공조나 조명과 같은 제어 시스템, 카메라나 센서 등의 IoT 기기가 상호간에 통신하며 시스템을 형성하고 있어 이들 모두가 보안 대상이다. 

.

.

.

본 원고는 일본공업출판주식회사 발행하는 ‘建築設備と配管工事’잡지에서 발췌하여 번역한 것입니다.

전체 기사는 2021년 8월호 ‘월간 설비기술’에 게재되어 있습니다.(월간지 구입문의(02)2633-4995)

본사의 승인 없이 무단전재 및 복제를 금합니다.