Purdue 모델 이후 — OT/IT 융합의 새 아키텍처

2026. 7. 13. 오전 9:25:53

"저는 Purdue가 폐기되었다고 말하지 않겠습니다. 산업 계층을 이해하는 유용한 프레임워크이자 참조 아키텍처로서 여전히 기능합니다. 문제는 그것을 물리적 경계로 착각할 때 발생합니다."

— Filipe Beato, 세계경제포럼(WEF) 사이버보안센터 기술·혁신 담당 매니저, Industrial Cyber 인터뷰 중

1990년대 초 Purdue University의 Theodore Williams 교수와 연구진이 정리한 PERA(Purdue Enterprise Reference Architecture)는 지난 30여 년간 산업 제어 시스템 설계의 사실상 헌법이었다. Level 0의 센서·액추에이터부터 Level 1의 PLC, Level 2의 SCADA/HMI, Level 3의 MES, Level 3.5의 IDMZ를 거쳐 Level 4·5의 ERP까지. 이 계층 구조는 네트워크 다이어그램이기 이전에 조직의 책임 경계이자 예산의 경계였고, 무엇보다 "OT는 IT와 물리적으로 분리되어 있다"는 믿음의 근거였다. CISA와 NIST, 미 국방부가 여전히 Purdue를 참조 모델로 인용한다는 사실이 이 모델의 관성을 보여준다.

그러나 2026년의 공장 현장에서 그 믿음은 더 이상 사실에 부합하지 않는다. IIoT 센서는 셀룰러 모뎀으로 클라우드에 직접 데이터를 올리고, 설비 벤더는 원격 유지보수를 계약 조건으로 요구하며, 품질팀은 Level 1 태그를 Snowflake에서 조회한다. 계층을 가로지르는 데이터 경로가 예외가 아니라 표준이 된 것이다. Jimber의 2026년 분석은 이를 냉정하게 요약한다. "Purdue를 작동하게 만들었던 두 가지 전제, 즉 계층적 분리와 진정한 에어갭은 대부분의 생산 현장에서 더 이상 성립하지 않는다."

이 글은 세 가지 질문을 다룬다. Purdue가 실제로 무너지는 지점은 어디인가. 위협 데이터와 표준 진영(IEC 62443, NAMUR, OPAF)은 어떻게 응답하고 있는가. 그리고 지금 당장 채택할 수 있는 실무 패턴은 무엇인가. 결론부터 말하면 Purdue는 죽지 않았다. 다만 물리적 계층 모델에서 논리적·정책적 참조 모델로 역할이 바뀌었다. 그 전환을 놓친 조직이 2026년 랜섬웨어 통계의 대부분을 채우고 있다.

계층적 분리를 전제한 아키텍처는 IIoT·클라우드·원격 유지보수의 압력 아래 빠르게 평평해지고 있다.

1. Purdue 모델은 무엇을 약속했고, 어디서 깨지는가

Purdue의 핵심 약속은 명료했다. 상위 계층의 침해가 하위 계층의 물리적 프로세스에 도달하지 못하게 하는 것. Level 3.5의 IDMZ(Industrial DMZ)가 그 관문이었다. IT에서 OT로 들어오는 트래픽은 IDMZ에서 종료(terminate)되고, OT 자산은 IT와 직접 세션을 맺지 않는다. 이 설계는 오랫동안 실제로 작동했다.

붕괴는 세 방향에서 동시에 진행됐다. 첫째, 데이터 중력의 역전이다. 과거 OT 데이터는 MES를 거쳐 천천히 위로 올라갔지만, 이제는 AI 모델 학습·예지 보전·에너지 최적화를 위해 Level 1·2의 원시 태그가 초 단위로 클라우드에 필요하다. 계층을 하나씩 밟는 ETL은 이 요구를 충족하지 못한다. 둘째, 벤더 원격 접속의 상시화다. 로봇·CNC·유틸리티 공급사는 예방 정비 SLA를 근거로 상시 터널을 요구하고, 이 터널은 대개 Purdue 계층을 무시한다. 셋째, Level 0의 지능화다. 스마트 센서와 IO-Link 마스터가 자체 IP 스택과 웹 서버를 갖게 되면서 "Level 0은 단순하고 무해하다"는 전제가 사라졌다.

Brad Hegrat를 비롯한 일부 실무자는 모델의 폐기를 주장한다. 반면 WEF의 Filipe Beato나 Palo Alto Networks, Fortinet은 Purdue를 "개념적 세분화 가이드"로 재정의하자고 제안한다. 실무적으로 후자가 옳다. Purdue의 계층 번호는 자산 인벤토리를 분류하고 위험을 소통하는 공용 언어로 여전히 유용하다. 문제는 그 번호를 네트워크 케이블의 물리적 위치와 동일시할 때 생긴다.

2. 2026년 위협 데이터가 말하는 것 — Dragos Year in Review

추상적 논쟁을 현실로 끌어내리는 것은 데이터다. Dragos의 2026 OT Cybersecurity Year in Review는 산업 조직을 표적으로 삼는 랜섬웨어 그룹이 2024년 80개에서 2025년 119개로 급증했고, 이들이 총 3,300개 조직에 영향을 미쳤다고 보고했다. 그중 피해자의 3분의 2 이상이 제조업이었다. 제조업은 이제 OT 랜섬웨어의 부수적 피해자가 아니라 1차 표적이다.

더 뼈아픈 수치는 가시성에 관한 것이다. Dragos가 평가한 OT 환경 중 적절한 네트워크 모니터링을 갖춘 곳은 46%에 불과했다. 그리고 이 격차는 곧바로 피해 규모로 환산된다. 산업 전반의 OT 랜섬웨어 평균 체류 시간(dwell time)은 42일이었지만, 가시성이 확보된 조직은 탐지부터 격리까지 약 5일 만에 대응했다. 8배 이상의 차이다. 42일이면 공격자가 제어 루프를 매핑하고, 백업을 파괴하고, 안전 계장 시스템(SIS)의 존재까지 파악하기에 충분한 시간이다.

그리고 결정적으로, OT 공격의 약 75%가 IT 침해에서 시작된다. 이는 Purdue가 약속한 세분화가 이미 실패하고 있음을 뜻한다. IBM의 사고 대응 통계에서도 44%의 침해가 인터넷에 노출된 공개 애플리케이션에서 출발했다. Dragos는 2026년 보고서에서 AZURITE, PYROXENE, SYLVANITE 세 개의 신규 위협 그룹을 식별했는데, 특히 SYLVANITE는 확보한 거점을 VOLTZITE에게 인계해 더 깊은 OT 침투로 이어가는 분업형 패턴을 보였다. 공격자는 이미 IT와 OT를 하나의 연속된 지형으로 다루고 있다. 방어자만 두 개의 조직도로 나누어 보고 있을 뿐이다.

가시성 없는 42일 대 가시성 있는 5일 — 모니터링 격차는 곧 피해 규모의 격차다. (출처: Dragos 2026 YiR)

3. 평평해진 네트워크 — UNS와 MQTT가 계층을 무너뜨린 방식

흥미로운 역설은, Purdue의 계층을 가장 적극적으로 무너뜨린 힘이 공격자가 아니라 데이터 아키텍처의 진화였다는 점이다. Walker Reynolds가 2005년 첫 프로젝트에서 형식화하고 4.0 Solutions를 통해 대중화한 Unified Namespace(UNS)는, 모든 자산이 중앙 브로커에 발행(publish)하고 소비자가 구독(subscribe)하는 허브-앤-스포크 구조를 제안한다. 여기에는 Level 2가 Level 3을 거쳐 Level 4로 올라가는 계단이 없다. 모든 노드가 단일 네임스페이스에 평등하게 접근한다.

정답은 데이터 평면(data plane)의 평탄화와 보안 평면(security plane)의 세분화를 분리하는 것이다. Proxus의 UNS 구현 가이드와 HiveMQ의 IDMZ 참조 아키텍처가 공통으로 제시하는 패턴은 다음과 같다.

브로커를 IDMZ(Level 3.5)에 배치 — OT는 아웃바운드로만 발행하고 IT·클라우드는 IDMZ에서 구독한다. OT 자산은 인바운드 세션을 수락하지 않는다.
브로커 브리징 — OT 내부 브로커와 IDMZ 브로커를 단방향 브리지로 연결해 승인된 토픽만 노출한다.
Sparkplug B 상태 관리 — Birth/Death 인증서로 자산 상태를 명시해 세션 중단이 데이터 신뢰도 저하로 이어지지 않게 한다.
토픽 단위 ACL — 클라이언트 인증서 기반으로 발행·구독 권한을 경로별로 부여한다. "브로커에 붙었으니 다 볼 수 있다"는 구현은 사고를 부른다.
SL3/SL4 구간엔 하드웨어 단방향 게이트웨이(데이터 다이오드) — 소프트웨어 다이오드는 설정 오류에 취약하다. 최고 등급 구간에는 물리적 단방향성이 필요하다.
Store-and-forward — 단절 시 엣지에서 버퍼링해, 가용성 요구가 보안 경계를 우회하는 압력으로 작용하지 않게 한다.

Inductive Automation·HighByte·HiveMQ가 공동 발표한 2026 Industrial Data & AI Readiness Survey는 이 지점을 정확히 짚는다. AI 활용을 가로막는 1차 병목은 모델도 인재도 아니라, 보안 경계를 넘어 신뢰할 수 있게 데이터를 전달하는 아키텍처의 부재라는 것이다.

4. Zero Trust와 IEC 62443 — 존과 컨듀트의 재해석

흔한 오해부터 정리하자. Zero Trust는 Purdue를 대체하는 새로운 계층 모델이 아니다. "네트워크 위치가 곧 신뢰가 아니다"라는 한 문장의 원칙이며, 아이러니하게도 이 원칙은 IEC 62443이 2009년부터 요구해 온 존(zone)과 컨듀트(conduit)와 거의 같은 곳을 가리킨다. 62443의 존은 물리적 서브넷이 아니라 동일한 보안 요구사항을 공유하는 자산의 논리적 그룹이고, 컨듀트는 존 사이의 통제된 통신 경로다. 62443은 처음부터 기능 기준의 세분화를 말했지 케이블 기준의 세분화를 말한 적이 없다.

실무적 전환은 아이덴티티 기반 마이크로세분화다. 자산이 어느 VLAN에 있느냐가 아니라 무엇인지, 누가 쓰는지, 어떤 프로토콜로 무엇과 통신해야 하는지를 기준으로 정책을 부여한다. 결정적 장점은 패치할 수 없는 자산을 다룰 수 있다는 것이다. 20년 된 PLC, 계약상 OS 업데이트가 금지된 CNC 컨트롤러, 펌웨어 소스가 사라진 계측기 — OT의 현실이다. Elisity가 6개 컴플라이언스 프레임워크를 비교하며 내린 결론은 명확하다. 패치 불가 자산의 필수 보상 통제는 아이덴티티 인지형·에이전트리스 네트워크 세분화라는 것.

Claroty는 "Zero Trust 세분화로 ICS를 보호하기" 블로그에서 이를 62443 준수 증빙과 직접 연결한다. Zero Trust 세분화를 구현하면 62443의 요구를 만족하는 동시에 입증할 수 있다는 것이다. CISA의 2025년 가이던스와 미 국방부의 OT용 Zero Trust 문서 역시 이를 Purdue의 대체재가 아니라 Level 3.5 이상에 적용되는 강화 계층으로 위치시킨다. 규제와 표준 진영은 이미 "Purdue를 유지하되 신뢰 모델을 바꾼다"는 절충안에 수렴하고 있다.

존과 컨듀트는 서브넷이 아니라 기능의 경계다 — IEC 62443이 2009년부터 말해 온 것.

5. CPS 보호 플랫폼 — 벤더 지형의 재편

시장은 이 변화를 이미 반영하고 있다. Gartner는 2026년 Magic Quadrant for CPS Protection Platforms를 발표하며 기존의 "OT 보안" 카테고리를 사이버-물리 시스템(CPS) 보호 플랫폼으로 재정의했다. 평가 대상에는 Armis, Cisco, Claroty, Darktrace, Dragos, Forescout, Fortinet, Honeywell, Microsoft, Nozomi Networks, OPSWAT, OTORIO, Palo Alto Networks, Radiflow, Tenable, TXOne 등 17개사가 포함됐다. 이 명단 자체가 메시지다. 순수 OT 전문 업체와 IT 보안 거인이 같은 사분면에서 경쟁한다는 것은 시장이 IT/OT 도구 분리를 더 이상 지지하지 않는다는 뜻이다.

Gartner가 별도로 낸 2026 Market Guide for CPS Secure Remote Access는 또 다른 축을 보여준다. 원격 접속이 "VPN으로 붙여주는 연결성"에서 "세션 단위로 승인·기록·격리되는 운영 통제"로 이동하고 있다는 것. 핵심은 secure connectivity에서 secure operations로의 전환이다. 벤더 엔지니어가 로봇 셀에 접속할 때 그가 어떤 명령을 내렸는지 세션 녹화와 명령 수준 승인으로 남지 않는다면, 그것은 통제가 아니라 위임이다.

6. NOA와 O-PAS — 표준 진영의 대답

보안 진영이 Zero Trust로 답했다면, 자동화 표준 진영은 다른 방식으로 답했다. 독일 화학·공정 산업 사용자 협회 NAMUR가 제안한 NOA(NAMUR Open Architecture)는 Purdue 피라미드를 부수는 대신 제2의 채널을 추가한다. 기존 DCS가 Level 0~3의 제어 경로를 그대로 유지하는 동안, NOA는 모니터링·최적화(M+O) 목적의 별도 데이터 경로를 병렬로 놓고, 이 경로는 제어에 개입할 수 없도록 단방향으로 설계된다. 즉, "데이터는 자유롭게, 제어는 엄격하게"라는 원칙을 아키텍처로 못 박은 것이다.

반면 O-PAS(Open Process Automation Standard)는 훨씬 급진적이다. ExxonMobil이 주도해 The Open Group 산하 OPAF에서 개발한 이 표준은 독점 DCS 자체를 표준 기반의 멀티벤더 상호운용 시스템으로 대체하려 한다. Distributed Control Node(DCN)라 불리는 표준 컨트롤러가 필드 I/O를 분리(decoupling)하고, 애플리케이션은 컨테이너처럼 이식 가능해진다. Don Bartusiak이 이끈 초기 프로토타입 이후 여러 차례 상호운용성 테스트베드를 거쳤으며, ScienceDirect에 게재된 논문은 이를 "표준 기반의 개방적·안전한·상호운용 가능한 공정 제어 아키텍처"로 정리한다. NOA와 O-PAS, MTP는 경쟁이 아니라 보완 관계로 조화되어야 한다는 것이 표준 진영의 합의다. 브라운필드 공장은 NOA의 병렬 채널이 현실적이고, 신규 그린필드 라인은 O-PAS의 개방형 컨트롤러를 평가할 가치가 있다.

NOA는 DCS를 건드리지 않고 읽기 전용 채널을 더한다 — 브라운필드의 현실적 해답.

7. 사례 1 — 제조 랜섬웨어와 가시성의 경제학

Dragos의 2026년 Q1 산업 랜섬웨어 분석은 IT/OT 융합이 피해를 증폭시키는 메커니즘을 보여준다. 다수 사고에서 침해는 엔터프라이즈 IT에서 발생했지만, 실질적 생산 중단은 OT 가시성 상실에서 왔다. 엔지니어링 워크스테이션, 생산 계획 시스템, 히스토리안이 암호화되면 PLC가 멀쩡해도 공장은 멈춘다. 운영자가 무슨 일이 일어나는지 볼 수 없기 때문이다. 실제로 다수 제조사가 "PLC는 무사했지만 예방적으로 라인을 세웠다"고 보고했다.

여기서 가시성의 경제학이 드러난다. 42일과 5일의 격차를 매출로 환산해 보자. 자동차 부품 티어1 공장의 시간당 생산 가치를 보수적으로 3,000만 원으로 잡으면 24시간 가동 기준 일 7.2억 원이다. 탐지 지연 37일의 차이는 수백억 원 규모의 노출로 이어진다. 반면 OT 네트워크 모니터링 도입 비용은 통상 그 금액의 1~2% 수준이다. Dragos 평가 대상의 54%가 여전히 적절한 모니터링을 갖추지 못했다는 사실은, 이것이 예산 문제가 아니라 OT를 IT 위험 등록부에 올리지 않는 거버넌스 문제임을 시사한다.

8. 사례 2 — 디지털 트윈을 정책 결정점으로 쓰는 실험

학계는 한 걸음 더 나아간 아키텍처를 제안하고 있다. Frontiers in Computer Science and AI에 게재된 QZT-ICS 프레임워크는 IT-OT 융합을 위한 통합 Zero Trust 구조를 제시하는데, 그 핵심 아이디어가 흥미롭다. 실시간 동기화된 디지털 트윈을 정책 결정점(Policy Decision Point)으로 사용하는 것이다.

기존 Zero Trust는 "이 사용자가 이 자산에 접근해도 되는가"를 아이덴티티와 디바이스 상태로 판단한다. QZT-ICS는 여기에 공정 인지형 신뢰 점수(process-aware trust scoring)를 더한다. 요청된 명령을 디지털 트윈에서 시뮬레이션했을 때 물리적으로 안전한 상태 공간을 벗어나는지를 실시간 평가하는 것이다. 밸브 개도를 80%로 올리라는 명령이 인증·인가를 통과하더라도, 트윈이 이를 반응기 폭주 경로로 판정하면 거부된다. 정책 집행점(PEP)은 5G 슬라이스와 TSN 브리지 계층에 임베드되고, 키 교환에는 NIST 표준 ML-KEM·ML-DSA 기반 포스트 양자 암호가 적용된다.

당장 모든 공장에 적용 가능한 기술은 아니다. 고품질 디지털 트윈, TSN 지원 네트워크, 5G 프라이빗 망이라는 세 전제가 모두 필요하다. 그러나 방향성은 명확하다. 미래의 접근 통제는 "누가"뿐 아니라 "그 명령이 물리 세계에 무엇을 하는가"를 함께 묻게 된다. 그 질문에 답하려면 OT 데이터가 실시간으로, 맥락과 함께, 보안 경계를 넘어 흘러야 한다. 아이러니하게도 보안의 미래가 데이터 통합의 성숙도에 달려 있는 셈이다. arXiv의 Zero Trust 아키텍처 진화 연구(2504.11984)와 IoT 맥락의 Zero Trust 문헌 리뷰(2604.06272)도 같은 결론에 도달한다.

9. KOPENS PlantPulse는 이 문제를 어떻게 다루는가

코펜스(㈜한국오픈솔루션)의 PlantPulse는 이 글이 제기한 딜레마 — 데이터 평면은 평평해야 하고 보안 평면은 세분화되어야 한다 — 를 설계의 출발점으로 삼았다. 200개 이상의 산업 프로토콜 커넥터가 Level 0~2의 이기종 자산을 흡수하되, 수집된 태그는 ISA-95 기반 자산 모델에 매핑되어 계층적 의미를 유지한다. 계층을 네트워크에서 지우는 대신 데이터 모델 안으로 옮기는 접근이다. 덕분에 UNS의 평평한 접근성을 얻으면서도 "이 태그가 어느 라인, 어느 설비, 어느 보안 존에 속하는가"에 언제나 답할 수 있다.

엣지-클라우드 하이브리드 구조는 IDMZ 패턴을 그대로 수용한다. 엣지 노드는 OT 존 내부에서 수집·정규화·버퍼링을 수행하고 IDMZ 브로커로 아웃바운드 발행만 한다. 클라우드나 IT 애플리케이션은 OT 자산과 직접 세션을 맺지 않는다. 단절 시 store-and-forward로 데이터 손실을 막으므로 "가용성 때문에 방화벽에 구멍을 뚫는" 흔한 타협이 발생하지 않는다. IEC 62443 준수를 설계 단계에서 전제했고, 토픽·태그 단위 접근 제어와 감사 로그가 첫날부터 내장되어 있다. 결정적 차이는 거버넌스가 후행 프로젝트가 아니라는 점이다. 많은 조직이 파이프라인을 먼저 깔고 1~2년 뒤 보안·계보·품질을 덧붙이려다 실패한다.

데이터 평면은 평평하게, 보안 평면은 세분화되게 — 두 요구를 동시에 만족시키는 것이 현대 산업 아키텍처의 과제다.

10. 자주 묻는 질문 (FAQ)

Q1. 그래서 Purdue 모델을 버려야 합니까?
아닙니다. 버려야 할 것은 "계층 = 물리적 네트워크 경계 = 신뢰 경계"라는 등식입니다. Purdue의 계층 번호는 자산 분류, 위험 소통, 안전 등급 부여를 위한 공용 언어로 여전히 유효하고, CISA·NIST·DoD도 이를 참조 모델로 유지하고 있습니다. 실무 권고는 Purdue를 개념적 세분화 가이드로 유지하고, 그 위에 IEC 62443의 존·컨듀트와 Zero Trust 정책을 얹는 것입니다.

Q2. Zero Trust를 OT에 적용하면 가용성이 떨어지지 않나요?
잘못 구현하면 그렇습니다. OT의 최우선 가치는 안전과 가용성이며, 인증 실패가 곧 프로세스 중단으로 이어지는 설계는 수용될 수 없습니다. 그래서 OT용 Zero Trust는 인라인 차단보다 세분화·모니터링·세션 통제부터 시작하는 것이 정석입니다. Industrial Cyber의 2026년 분석도 산업 운영자들이 아이덴티티를 넘어 가시성·세분화·운영 회복력을 우선한다고 보고합니다. 제어 루프에 직접 개입하는 정책은 마지막에, 페일-오픈 설계와 함께 도입하십시오.

Q3. 패치할 수 없는 레거시 PLC는 어떻게 합니까?
6개 이상의 주요 컴플라이언스 프레임워크가 도달한 공통 결론은, 패치 불가 자산의 필수 보상 통제가 아이덴티티 인지형·에이전트리스 마이크로세분화라는 것입니다. 자산에 에이전트를 설치하지 않고 네트워크 계층에서 "이 PLC는 이 HMI와 이 프로토콜로만 통신한다"는 정책을 강제하는 방식입니다. 여기에 패시브 프로토콜 검사(Claroty, Nozomi, Dragos)를 결합하면 탐지 공백을 상당 부분 메울 수 있습니다.

Q4. UNS를 도입하면 보안이 나빠지나요?
UNS 자체는 중립적이고 위험은 구현에서 옵니다. 브로커를 OT 존 한복판에 두고 모든 클라이언트에 와일드카드 구독 권한을 주면, 공격자에게 완벽한 자산 지도를 헌납하는 셈입니다. 반대로 브로커를 IDMZ에 두고 아웃바운드 발행만 허용하며 토픽 단위 ACL과 클라이언트 인증서를 적용하면, UNS는 오히려 통제된 단일 통로가 되어 산발적 point-to-point 연결보다 안전합니다.

11. 결론 — 계층을 지우지 말고, 신뢰를 옮겨라

Purdue 모델의 30년은 실패의 역사가 아니다. 명확한 전제 위에 세워진 훌륭한 설계였고, 그 전제가 바뀌었을 뿐이다. 에어갭은 사라졌고, 데이터는 계층을 가로질러 흐르며, 공격자는 IT와 OT를 하나의 지형으로 다룬다. 이 현실에서 계층 구조를 물리적 방벽으로 계속 믿는 것은 위험하고, 반대로 계층 개념 자체를 폐기하고 모든 것을 평평하게 만드는 것은 더 위험하다.

실무적 처방은 세 문장이다. 첫째, 데이터 평면은 평평하게 만들되 보안 평면은 더 촘촘히 세분화하라. UNS와 IDMZ 브로커 패턴은 양립 가능하며, 함께 쓰일 때 가장 강력하다. 둘째, 신뢰의 근거를 네트워크 위치에서 아이덴티티와 맥락으로 옮겨라. IEC 62443의 존·컨듀트는 처음부터 이것을 말하고 있었다. 셋째, 가시성에 먼저 투자하라. 42일과 5일의 차이는 기술 격차가 아니라 관측 여부의 차이다.

거창한 아키텍처 재설계부터 시작할 필요는 없다. 이번 분기에 할 수 있는 것은 세 가지다. (1) IT 인시던트 대응 플레이북에 "OT 영향 평가" 단계를 추가하라 — 비용 0원, 효과는 즉각적이다. (2) OT 존의 네트워크 가시성을 측정하라. Dragos 기준 46%인지 54%인지부터 확인하라. (3) OT 데이터가 IT로 넘어가는 모든 경로를 목록화하라. 대부분의 조직이 이 목록을 만들다가 자신이 모르던 터널을 발견한다. 그것이 진짜 출발점이다.

고객지원

뉴스룸