데이터센터 OT(Operational Technology) 보안

최근 국내외에서 보안 사고가 끊이지 않고 있습니다. 2025년 통신사와 카드사의 대규모 해킹 사고를 시작으로, 2026년 상반기 국내 사이버 침해사고는 전년 동기 대비 19.5% 증가했습니다[10][11]. 해외에서는 데이터센터가 드론 공격의 표적이 되는 일까지 벌어지면서, 데이터센터는 이제 국가 핵심 기반시설로 인식되고 있습니다[12].

데이터센터 보안이라고 하면 보통 출입통제, CCTV, 방화벽을 먼저 떠올립니다. 그런데 데이터센터에는 이에 못지않게 중요한 보안 영역이 하나 더 있습니다. 냉각기, 항온항습기, UPS, 배전반, 소화설비 같은 기반 설비를 제어하는 시스템, 바로 *OT(Operational Technology)*입니다. 원격 관리와 실시간 모니터링을 위해 설비가 네트워크에 연결되면서, OT는 새로운 공격 대상으로 떠오르고 있습니다. OT가 공격을 받으면 데이터가 유출되지 않더라도 냉각이나 전력에 문제가 생기고, 결국 서비스가 중단됩니다. 그래서 OT 보안 사고는 해킹보다는 장애의 형태로 나타나는 경우가 많습니다[8]. 오늘은 데이터센터 보안의 사각지대로 불리는 OT 보안에 대해 알아보겠습니다.

데이터센터의 IT와 OT, 무엇이 다른가

데이터센터는 크게 두 공간으로 나뉩니다. 서버와 네트워크 장비가 있는 화이트 스페이스(White Space)와 전력·냉각 설비가 있는 그레이 스페이스(Gray Space)입니다. 화이트 스페이스의 서버와 네트워크를 보호하는 것이 IT 보안이라면, 그레이 스페이스의 설비를 제어하는 시스템을 보호하는 것이 OT 보안입니다. 냉각·공조 설비, UPS와 배전 설비, 이를 통합 관리하는 BMS(빌딩관리시스템), 소방 설비, 출입통제 시스템이 모두 OT에 해당합니다[1][6].

IT 보안과 OT 보안은 우선순위가 다릅니다. IT 보안은 정보 유출을 막는 것이 가장 중요하지만, OT 보안은 설비가 멈추지 않고 안전하게 운영되는 것이 가장 중요합니다. 설비는 한 번 설치하면 10년 이상 사용하고 24시간 가동되기 때문에 보안 패치를 적용하기도 어렵습니다. 또한 BACnet, Modbus 같은 설비 전용 통신 방식은 일반적인 IT 보안 솔루션(IDS, EDR 등)으로는 분석이 어려워, 공격을 탐지하기도 쉽지 않습니다[7].

관리 체계에도 공백이 있습니다. 설비는 시설팀이, 보안은 보안팀이 담당하다 보니 OT 보안은 어느 한쪽도 온전히 책임지지 않는 영역이 되기 쉽습니다[8]. 설비 업체나 시공사가 유지보수를 위해 별도 인터넷 회선을 연결해 두었는데, 보안팀은 그 사실을 모르는 경우도 있습니다[9].

OT 공격, 서비스 장애로 이어진다.

공격자가 냉각 설정값을 바꾸면 서버실 온도가 올라가고, 서버는 과열을 막기 위해 성능을 낮추거나 멈추게 됩니다. 센서 값을 조작하면 이상 상황이 발생해도 경보가 제때 울리지 않습니다. UPS 제어에 문제가 생기면 일부 랙의 전력 장애가 상위 설비로 번질 수 있습니다[5][8].

실제로 2023년 싱가포르에서는 설비 오작동으로 데이터센터 온도가 한계치를 넘으면서, 수백만 명이 이용하는 은행 서비스가 중단된 일이 있었습니다[3]. 설비 오작동이 아니라 외부 공격이었다고 해도 결과는 크게 다르지 않았을 것입니다.

그래서 OT 보안의 목표는 공격을 막는 데서 그치지 않습니다. 공격이 발생하더라도 서비스를 안정적으로 유지할 수 있어야 합니다[8]. 이것이 데이터센터 운영에서 말하는 복원력(Resilience)입니다.

OT 보안 위협이 커지는 이유

AI 수요가 늘면서 데이터센터 구축 속도는 빨라지고 있지만, 보안 관리 체계는 이를 따라가지 못하고 있습니다. 보안 개발 역량을 충분히 갖추지 못한 신규 장비 업체가 늘고 있고, 촉박한 공사 일정 속에서 네트워크 분리 설정 오류, 불필요하게 열린 포트, 초기 비밀번호 미변경 같은 실수도 자주 발생합니다[8].

조사 결과도 이를 뒷받침합니다. 미국 데이터센터 약 1,000곳 주변을 조사한 결과, 인터넷에서 바로 접속할 수 있는 설비 제어 장비가 약 6,300대 확인됐습니다. 특히 최근 지어진 데이터센터 주변의 노출 비율이 오래된 시설보다 오히려 높았습니다[9]. 최신 장비를 쓰더라도 연결과 관리가 허술하면 위험은 그대로 남는다는 의미입니다.

장비 자체의 취약점도 늘고 있습니다. Uptime Institute 분석에 따르면 주요 설비 제조사 4곳의 공개 취약점은 1년 새 13% 증가했고, 평균 위험도도 높아졌습니다[2]. OT 보안 기업 Claroty의 조사에서는 분석 대상 기관의 75%가 이미 악용 사례가 알려진 취약점을 가진 BMS 장비를 사용하고 있었습니다[6].

OT 위협의 실제 사례

최근에는 UPS 원격 관리 장치에서 인증 없이 명령을 실행할 수 있는 심각한 취약점이 발견됐습니다. 최악의 경우 UPS가 보호해야 할 장비의 전원을 오히려 차단할 수 있는 수준입니다. 널리 사용되는 공조 컨트롤러에서도 인증 없이 관리자 권한을 얻을 수 있는 취약점이 확인됐습니다[8]. 랙당 전력 밀도가 높아질수록 냉각 여유가 줄어들기 때문에, 공조 설비에 문제가 생기면 곧바로 서비스 장애로 이어질 수 있습니다.

실제 공격도 이어지고 있습니다. 2025년 6월 미국 데이터센터 기업 Digital Realty가 국가 배후 해킹 그룹의 공격을 받은 것으로 알려졌으며, 패치되지 않은 취약점과 탈취된 계정이 침투 경로로 지목됐습니다[6]. 데이터센터 직원 계정을 탈취해 설비 관리 장비에 접근한 사례도 보고됐습니다[3].

이 사례들의 공통점은 분명합니다. 그동안 보안 관리에서 상대적으로 소외돼 있던 설비가, 실제로는 데이터센터 운영을 좌우하는 핵심 장비라는 점입니다.

데이터센터 OT 보안 5대 원칙

앞서 살펴본 위험은 크게 네 가지 공백에서 비롯됩니다. 파악되지 않은 연결, 구축 과정의 설정 오류, 통제되지 않는 원격 접속, 그리고 시설팀과 보안팀 사이의 관리 공백입니다. NIST SP 800-82, IEC 62443 등 국제 표준을 바탕으로 데이터센터가 갖춰야 할 OT 보안 원칙을 정리하면 다음과 같습니다[1][4].

1. 자산 현황 파악: 화이트 스페이스와 그레이 스페이스의 모든 장비를 하나의 목록으로 관리하고, 장비별 위치와 연결 경로를 파악합니다. 보안팀이 모르는 외부 회선이 없는지 확인하는 것이 첫걸음입니다[6][8].
2. 망 분리: 설비 제어망을 인터넷과 업무망에서 분리합니다. 구축 단계부터 네트워크 설정과 초기 비밀번호를 점검해 불필요한 노출을 막습니다[8][9].
3. 원격 접속 통제: 설비 업체의 원격 접속은 필요한 범위만 허용하고, 다중 인증(MFA)을 적용하며, 모든 접속 이력을 기록합니다[3][6].
4. 통합 관제: 보안 이벤트와 온도·전력 같은 설비 이상 징후를 함께 모니터링해, 공격이 장애로 이어지기 전에 대응합니다[8].
5. 핵심 설비 우선 보호: 멈추면 30분 안에 서비스가 중단되는 설비를 우선 보호하고, 패치가 어려운 노후 장비는 망 분리와 상시 모니터링으로 보완합니다[5][6].

데이터센터 선택의 새로운 기준, OT 보안

OT 보안은 이제 기술 부서만의 과제가 아닙니다. 해외 보험사들은 설비 자산 관리, 망 분리, 원격 접속 통제 등 OT 보안 체계를 갖췄는지 증빙을 요구하는 추세입니다[8]. OT 보안을 시설 점검 항목이 아닌 전사 리스크로 관리하고, IT와 OT 조직이 함께 책임지는 체계가 필요합니다[5].

데이터센터를 선택할 때도 다음 항목을 확인해 보시기 바랍니다.

데이터센터에서 무중단 운영은 곧 서비스 품질입니다. 그리고 그 무중단 운영을 지키는 것이 바로 OT 보안입니다.

Discover More.

Join us as we take you through every step of the development of our state-of-the-art hyperscale data center in this blog. We loves to talk about what we do. Feel free to chat with our sales experts about data center, managed colocation, and connectivity.

Content is protected by copyright law and is owned by Daou Technology Inc

It is prohibited to modify or commercially use this content without prior consent.

Featured images via gettyimages.

References

1. NIST, SP 800-82 Rev.3 Guide to Operational Technology (OT) Security (2023)

2. Uptime Institute, OT security: rising critical vulnerabilities, widespread risks (2025.09)

3. Conor McLaren (Dragos), The cybersecurity blind spot in data center building systems, DCD (2026.03)

4. ISA/IEC 62443 Series, Security for Industrial Automation and Control Systems 

5. Prateek Singh (Eaton), The overlooked threat: Why OT cybersecurity is critical for data center uptime, LinkedIn (2026.05)

6. Claroty, Enhancing Data Center Protection with OT Cybersecurity (2025.10)

7. Sean Tufts (Claroty), The Data Center’s Hidden Attack Surface: Why OT Security Can’t Wait, Data Center Knowledge (2026.08)

8. Jennifer Tullman-Botzer (Cyolo), The Overlooked OT Security Risks Inside AI Data Centers (citing TrendAI research)

9. Ministry of Science and ICT & KISA, 2026 H1 Cyber Threat Trends (2026.07)

10. Newsis, coverage of telecom and card company breaches (2025.09)

11. Financial News, Data centers become wartime targets (2026.10)