NIST, OT 보안 개정안 공개…CISA·FBI는 ICS 통합업체 권고

NIST는 2026년 9월 SP 800-82 개정 4판 초안을 공개했다. OT의 안전·신뢰성·성능을 반영한 보호 지침이다.
개정안은 산업제어시스템에서 건물 자동화·수처리·농업·철도·해운과 산업 IoT·클라우드 융합으로 범위를 넓혔다.
CISA와 FBI는 제3자 ICS 통합업체에 최소권한만 부여하라고 권고했다. 원격접속은 기록·감시하고 필요할 때만 열어야 한다.
FBI는 2025년 3~4월 미국 자동화업체 침입을 분석했다. 공격자는 9개 압축파일에 약 800개 도면·설정·고객정보를 담았다.
통합업체가 전력·교통 고객의 SCADA 자료에 접근하면 침해가 하위 운영망 교란으로 이어질 수 있다. 계약에 저장 위치·원격접속·패치 조건을 넣어야 한다.
한국은 OT 통합업체를 핵심 공급망으로 지정하고 최소권한·인터넷 차단·접속기록을 계약 기준화해야 한다. SP 800-82r4 의견수렴은 2026년 11월 30일까지다.