Beyond Resilience: Antifragility in Critical Infrastructure Cybersecurity

기술 요약: 회복탄력성을 넘어: 핵심 인프라 사이버 보안에서의 안티프래질리티(Antifragility)

문제 제기
현재의 핵심 인프라(CI) 사이버 보안 프레임워크는 회복탄력성(resilience)을 우선시하며, 이를 혼란 발생 후 수용 가능한 운영 상태로 복구하고 돌아오는 능력으로 정의한다. 그러나 저자들은 회복탄력성이 핵심 인프라에 있어 불충분하다고 주장하는데, 그 이유는 시스템이 충격으로부터 반복적으로 회복할 수는 있지만 그 과정에서 더 강해지지는 못하며, 결과적으로 동일한 실패 경로에 계속 취약한 상태로 남을 수 있기 때문이다. 본 논문은 개념적 격차를 식별한다. 즉, "카오스 엔지니어링"(통제된 섭동의 동사적 행위)은 실천되고 있으나, 운영 기술(OT) 및 산업 제어 시스템(ICS) 분야에서 "안티프래질리티"(무질서로부터 이득을 얻는 명사적 성질)에 대한 경험적 근거를 갖춘 이론이나 측정 프레임워크가 존재하지 않는다는 점이다. 기존 문헌은 종종 안정성(stability), 강건성(robustness), 회복탄력성(resilience)을 혼용하며, 단순히 생존하는 시스템과 유계된 변동성(bounded volatility) 덕분에 개선되는 시스템을 구분하지 못하는 한계를 보인다.

이론적 프레임워크: 안티프래질리티 이론 (AFT)
본 논문은 5단계 회복력 시스템 모델(취약함, 신뢰할 수 있음, 강건함, 회복력 있음, 안티프래질함)에 기반한 안티프래질리티 이론(AFT)을 제안한다. 안티프래질리티는 무제한적인 이득이 아니라, 유계된 무질서가 측정 가능한 사후 개선으로 이어지는 '안전 제약적 속성(safety-constrained property)'으로 정의된다.

이 이론은 두 가지 수학적 전제 조건을 바탕으로 한다:

1. 젠슨 이득(Jensen Gain): 시스템의 효용 함수는 유계된 스트레스 요인 분포에 대해 볼록(convex)해야 한다. 즉, 변동성 하에서의 기대 효용이 기대값에서의 효용보다 커야 한다 ($E[U(s)] > U(E[s])$).
2. 사후 개선(Post-Disruption Gain): 적응 단계 이후, 시스템의 구성은 적응 전의 구성보다 동일한 유계 섭동 하에서 측정 가능하게 더 나은 성능을 보여야 한다.

저자들은 안티프래질티를 "희생적 강건성(sacrificial robustness)"(예: 절삭형 열 방패 또는 수동 오버라이드)과 구분한다. 희생적 강건성은 자원을 소모하며 생존할 뿐 구조적으로 개선되지는 않는다. 진정한 안티프래질티는 혼란을 내구성 있는 건축적 이점(예: 취약성 감소 또는 더 빠른 복구)으로 전환하는 것을 요구한다.

연구 방법론
본 연구는 안티프래질티를 입증했다고 주장하기보다는, 향후 안티프래질티 검증을 위한 전제 조건을 테스트하기 위해 두 층위의 경험적 설계를 채택한다.

1. 매크로 수준 (부문별 취약성):

   • 데이터: CISSM 사이버 이벤트 데이터베이스(2014~2026년, 10,589개 이벤트)의 일부를 사용하며, 유틸리티, 운송, 제조, 공공 행정, 정보, 의료, 금융의 7개 부문을 다룬다.
   • 접근 방식: 섹터를 "OT 인접"(유틸리티, 운송, 제조)과 "비-OT"(공공 행정, 정보, 의료, 금융)로 그룹화하였다. 연구는 이벤트 유형을 분석하여 OT 인접 섹터가 정보 중심 섹터에 비해 파괴적, 물리적 또는 데이터 무결성 공격의 부담을 더 많이 지는지 결정하였다.
   • 통계 검정: 차이를 평가하기 위해 피어슨 카이제곱 검정과 크래머 V(Cramér's V)를 사용하였다.

2. 마이크로 수준 (프로세스 섭동 관측 가능성):

   • 데이터: HIL 기반 확장 산업 제어 시스템(HAI) 23.05 데이터셋을 사용하며, 이는 2,981개의 공격 라벨 구간을 포함한 54,000개의 관측치로 구성된 하드웨어 인 더 루프(HIL) 테스트베드이다.
   • 접근 방식: 공격 구간 동안의 정상 운영 대비 프로세스 상태 편차를 65개의 정보성 프로세스 변수를 사용하여 측정하였다.
   • 지표: 편차는 평균 절대 z-점수, RMS 베이스라인 거리, 그리고 센서 채널 간의 공분산을 고려하기 위한 마할라노비스 거리(Mahalanobis distance)를 사용하여 정량화되었다.
   • 분석: 연구는 공격 라벨이 붙은 관측치가 정상 관측치에 비해 유의미하게 큰 편차를 생성하는지, 그리고 연속적인 공격 구간에 따라 반응 역학이 달라지는지 테스트하였다.

주요 결과

1. 부문별 차별화 (H1 & H2):

   • OT 인접 섹터는 비-OT 섹터(46.8%)에 비해 파괴적 또는 혼합형 사이버 이벤트의 비중(65.3%)이 유의미하게 높았다 ($p < 0.001$).
   • OT 인접 섹터는 물리적 공격 및 데이터 공격 하위 유형이 집중되어 나타났다(비-OT의 21.4% 대비 40.9%). 특히, 물리적 공격은 OT 인접 섹터에서 14배 더 빈번했다(4.2% vs 0.3%).
   • 이는 취약성 부담이 구조화되어 있으며 측정 가능하다는 것을 확인시켜 주며, OT 인접 섹터가 질적으로 다른, 운영상 파괴적인 위협 프로필에 직면해 있음을 보여준다.

2. 프로세스 수준의 관측 가능성 (H3 & H4):

   • HAI 데이터셋에서 공격 라벨이 붙은 관측치는 정상 관측치에 비해 베이스라인 편차의 상위 95백분위수를 초과할 확률이 7.43배 더 높았다 ($p < 0.001$).
   • 마할라노비스 거리 분석은 공격 조건이 정상 조건보다 유의미하게 큰 다변량 편차(비율 2.69)를 생성함을 확인했다.
   • 연속적인 공격 구간에 걸쳐, 평균 프로세스 상태 편차는 통계적으로 유의미한 감소 추세를 보였다 (Spearman $\rho = -0.688, p = 0.007$). 그러나 저자들은 공격 유형이 이질적이고 명시적인 적응 단계가 기록되지 않았으므로, 이는 적응적 이득의 증거가 아닌 탐색적 증거라고 언급하였다.

핵적인 기여
본 논문은 세 가지 구체적인 기여를 한다:

1. 이론적 기여: CI 사이버 보안을 위한 안티프래질티를 안전 제약적 개선 능력으로 정의하고, 이를 5단계 시스템 모델 내에서 젠슨 이득과 사후 개선 지표를 통해 공식화하였다.
2. 방법론적 기여: 매크로 수준의 취약성 매핑과 마이크로 수준의 시스템 반응 사이의 간극을 메우기 위해, 섹터 수준의 이벤트 데이터(CISSM)와 프로세스 수준의 텔레메트리(HAI)를 결합한 계층적 경험 설계를 구축하였다.
3. 경험적 기여: 두 가지 안티프래질티 검증을 위한 전제 조건이 공공 데이터에서 측정 가능하다는 것을 입증하였다: (a) 취약성 부담은 섹터별로 차별화되어 있으며, (b) 유계된 사이버 물리적 섭동은 프로세스 수준에서 관측 및 정량화될 수 있다.

의의 및 주장
저자들은 본 논문이 안티프래질한 시스템을 검증했다고 주장하지 않음을 명시적으로 밝힌다. 대신, 본 논문은 그러한 검증을 위한 필수적인 토대를 마련한다. 의의는 다음을 증명함으로써 은유를 넘어선 논의를 이끌어내는 데 있다:

• 취약성은 균일하지 않으며, 특정 위협 프로필(물리적/데이터 공격)을 가진 OT 인접 섹터에 집중되어 있어 단순한 복구가 아닌 "앞으로 튀어 오르는(bounce-forward)" 솔루션을 필요로 한다.
• 프로세스 수준의 섭동은 관측 가능하고 구조화되어 있어, 시스템이 스트레스에 반응하는 것을 측정하기 위한 경험적 요구 사항을 충족한다.

본 논문은 결론적으로 회복탄력성(resilience)은 "바닥"(안전과 연속성 보장)으로 취급되어야 하는 반면, 안티프래질티는 "천장"(개선 달성)을 의미한다고 주장한다. 향후 연구에서는 명시적인 적응 단계를 도입하고, 동일한 섭동 하에서 시스템을 재테스트하여 취약성이나 복구 시간이 실제로 개선되었는지 측정함으로써 안티프래질티 분류를 위한 공식 기준을 충족해야 한다.