컨티스 툴킷

설비·제어 시스템(OT) 보안 점검 (IEC 62443 영역 구조 참고)

PLC·HMI·설비 PC·제어망을 계정·권한·변경 관리·데이터·망 분리·사고 대응·복구 7개 영역, 35개 실무 항목으로 점검합니다. 항목마다 사내 단계(1 기본·2 강화·3 고급)가 있어, 영역별로 달성 단계를 사내 목표 단계와 비교하고 바로 다음에 채울 항목을 골라 줍니다. 항목·단계는 고치고 더할 수 있습니다.

계산 근거

이행 상태: 0 안 함 · 1 일부 · 2 함 · 해당 없음. 단계 이행률 = 그 단계 항목 점수 합 ÷ (응답 수 × 2), 해당 없음·미응답은 분모 제외. 단계 통과 = 이행률이 통과 기준(기본 80%) 이상, 항목이 있는데 응답이 없으면 미통과. 달성 단계 = 1단계부터 차례로 통과한 가장 높은 단계, 차이 = 사내 목표 단계 − 달성 단계. 1 기본(실수·우연 대비)·2 강화(단순 공격 대비)·3 고급(전문 공격 대비)은 이 도구의 사내 척도이며 IEC 62443 의 보안 수준(SL) 판정이 아닙니다. 7개 영역과 영역별로 수준을 매기는 구조만 IEC 62443 을 참고했고, 35개 항목은 새로 쓴 실무 문장으로 규격 요구사항 문장을 옮기지 않았습니다. 규격 원문이 아닌 실무 참고용 도구입니다. 인증·심사 판단은 인증기관과 규격 원문을 확인하세요.

기준일
IEC 62443 영역·보안 수준 구조 참고(IEC SyC Smart Energy 공개 설명) · 2026-10-24 확인
검증
예시 응답 35개의 영역별 단계 이행률·달성 단계(1·1·1·2·1·1·0)와 목표 범위 이행 수준 77.8%, 통과 기준 70% 로 바꿨을 때 결과를 손으로 계산해 대조
최종 검토
2026-10-22 · CONTIS 툴킷 편집팀
함께 쓰는 양식

자주 묻는 질문 (FAQ)

OT 보안은 사무 IT 보안과 무엇이 다른가요?
OT(운영 기술)는 PLC·HMI·SCADA·설비 PC 처럼 설비를 직접 움직이는 시스템입니다. 사무 PC 는 문제가 생기면 자료가 새거나 업무가 늦어지지만, 제어 시스템은 라인이 서고 불량이 쏟아지거나 설비가 엉뚱하게 움직일 수 있습니다. 또 설비 PC 는 오래된 운영체제를 쓰고, 업데이트·재부팅을 마음대로 못 하는 경우가 많아 망 분리·접속 통제·백업 같은 둘레 대책의 비중이 큽니다. 사무 IT 쪽은 정보보안 실무 점검으로 따로 보세요.
7개 영역은 어떻게 나눴나요?
계정·인증, 권한·사용 통제, 변경·악성코드 관리, 데이터 보호, 망 분리·통신 제한, 이상 감지·사고 대응, 가용성·복구 7개입니다. 제어 시스템 보안을 7개 기본 영역으로 나누고 영역마다 수준을 따로 매기는 틀은 IEC 62443 을 참고했습니다. 영역 안의 35개 항목은 공장 제어망 현장 기준으로 이 도구가 새로 쓴 문장이며, 규격 요구사항 문장을 옮기지 않았습니다.
1 기본·2 강화·3 고급 단계는 무엇인가요?
항목마다 붙인 사내 단계입니다. 1 기본은 실수나 우연한 사고(감염된 USB, 기본 비밀번호 그대로)를 막는 수준, 2 강화는 흔한 도구를 쓴 단순 공격을 막는 수준, 3 고급은 제어 시스템을 아는 사람이 작정하고 들어오는 공격까지 대비하는 수준입니다. IEC 62443 의 보안 수준(SL) 개념을 참고해 단계를 나눴지만, 이 도구의 단계는 규격의 SL 판정이 아닙니다. 항목의 단계는 회사 판단에 따라 바꿀 수 있습니다.
달성 단계는 어떻게 계산하나요?
영역마다 단계별 이행률 = 그 단계 항목 점수 합 ÷ (응답 수 × 2)를 냅니다(0 안 함·1 일부·2 함). 이행률이 통과 기준(기본 80%) 이상이면 그 단계를 통과한 것으로 보고, 1단계부터 차례로 통과한 가장 높은 단계가 달성 단계입니다. 1단계를 통과하지 못하면 2단계 이행률이 높아도 달성 단계는 0입니다. 기본기 없이 비싼 장비부터 사는 일을 막으려는 계산 방식입니다. 해당 없음과 미응답은 분모에서 빼지만, 항목이 있는데 하나도 응답하지 않은 단계는 통과로 보지 않습니다.
영역별 목표 단계는 어떻게 정하나요?
모든 영역을 3단계로 올릴 필요는 없습니다. 멈추면 피해가 큰 라인, 설비 제조사 원격 접속이 많은 곳, 고객사가 보안 요구를 하는 제품 라인은 목표를 높이고, 독립된 단순 설비는 1단계로 둘 수 있습니다. 라인이 멈췄을 때 하루 피해는 설비 정지 손실 계산기, 업무별 허용 중단 시간은 업무 영향 분석(BIA) 계산기로 먼저 따져 보면 목표를 정하기 쉽습니다.
결과에서 무엇부터 하면 되나요?
"먼저 채울 항목" 표는 목표에 못 미친 영역에서 바로 다음 단계의 항목만 골라, 낮은 단계·낮은 점수 순으로 보여 줍니다. 공장에서는 기본 비밀번호 변경, 제어망·사무망 분리, 바깥과 이어지는 지점 목록, PLC 프로그램 백업과 실제 복원 시험처럼 돈이 적게 드는 1단계 항목이 효과가 큽니다. 업데이트·백신 적용은 설비 제조사가 허용하는 범위를 먼저 확인하세요.
설비 제조사·유지보수 업체에는 무엇을 확인하나요?
원격 접속 방식(상시 연결인지, 작업 때만 여는지), 계정을 사람마다 따로 주는지, 제조사가 확인한 보안 업데이트와 백신 호환 목록, 설비 PC 교체·복원 절차, 납품 때 기본 비밀번호를 바꿔 주는지를 물어보면 이 점검표의 여러 항목을 한 번에 채울 수 있습니다. 공급망 전체 위험은 공급사 리스크 평가, 남은 위험 관리는 리스크 관리대장과 함께 쓰세요.
이 결과로 IEC 62443 보안 수준이나 인증을 판단할 수 있나요?
아닙니다. 이 도구는 규격 원문이 아닌 실무 참고용 도구입니다. 인증·심사 판단은 인증기관과 규격 원문을 확인하세요. 규격의 보안 수준은 구역·통로를 나누고 위험 평가를 거쳐 시스템 요구사항별로 정하는 별도 절차가 있으며, 이 도구의 1~3단계와 1:1 로 대응하지 않습니다. 이 결과는 사내 개선 순서를 정하고 설비·전산·제조사와 이야기를 시작하는 자료로 쓰세요.

전략을 실행으로

SWOT·BCG·5 Forces 분석 결과를 실행 과제와 업무 프로세스로 옮기는 프로세스 혁신 컨설팅.

프로세스 혁신 컨설팅 보기 상담 문의

함께 보면 좋은 아티클

다른 도구 보기

실무 도구·자료 업데이트 받기

새 계산기·체크리스트와 스마트팩토리·제조혁신 실무 자료를 이메일로 보내드립니다. 언제든 수신거부할 수 있습니다.