Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

전력망은 현대 생활에 동력을 공급하는 거대하고 보이지 않는 신경계이지만, 현재 근본적인 변화를 겪고 있습니다. 수십 년 동안 전기는 거대한 발전소에서 가정과 기업으로 한 방향으로 흘렀습니다. 오늘날 그 흐름은 변하고 있습니다. 지붕 위의 수백만 개의 태양광 패널과 차고 안의 배터리가 시스템에 추가되면서, 소비자는 소규모 전력 생산자로 변모하고 있습니다. 이러한 변화는 탄소 중 nhất 미래를 위해 필수적이지만, 새로운 취약성을 만들어냅니다. 새로운 태양광 패널과 배터리가 늘어날 때마다 해커가 침입을 시도할 수 있는 잠재적 진입점이 늘어납니다. 이러한 장치들이 급증함에 따라, 격자를 보호하기 위해 설계된 규칙보다 '공격 표면(attack surface)', 즉 해커가 침입을 시도할 수 있는 총 지점이 더 빠르게 확장되고 있습니다.

이 시스템을 보호하기 위해서는 비용을 지출해야 하지만, 유틸리티 기업들은 어려운 난제에 직면해 있습니다. 이들은 보안의 최소 수준을 설정하는 연방 규정인 '컴플라이언스 플로어(compliance floor, 준수 하한선)'를 반드시 따라야 합니다. 그러나 이러한 규칙은 새롭게 급성장하는 지붕형 태양광 및 배터리 네트워크를 포괄하지 못합니다. 그 부분에 대해서는 기업들이 스스로 얼마나 지출할지, 그리고 언제 지출할지를 결정해야 합니다. 그들은 제안된 보안 업그레이드가 비용 대비 가치가 있는지, 아니면 기술이 어떻게 진화하는지 기다려야 하는지에 대한 명확한 가이드라인이 없습니다. 이러한 결정을 저울질할 방법이 없다면, 유틸리티 기업들은 불필요한 보호를 위해 과도하게 지출하거나, 투자를 소홀히 하여 전력망을 위험에 노출시킬 위험이 있습니다.

브랜다이스 대학교, 에모리 대학교, 조지아 주립 대학교의 연구진은 이 문제를 해결하기 위한 새로운 방법을 제안했습니다. 그들은 유틸리티 기업이 사이버 보안 예산을 어떻게 할당할지 결정하는 데 도움을 줄 수 있는 4단계 프레임워크를 개발했습니다. 그들의 연구는 특정 전력 회사의 새로운 데이터나 해킹에 대한 컴퓨터 시뮬레이션에 의존하지 않습니다. 대신, 이는 의무 규정, 경제적 한계, 시간적 유연성, 그리고 재정적 인센티브라는, 지금까지 한 번도 함께 사용된 적 없는 네 가지 기존 개념을 결합한 방법론적 가이드입니다. 저자들은 이 요소들을 결합함으로써 유틸티 기업들이 재생 에너지로 전환되는 과정에서 전력망을 안전하게 지키기 위해 어디에 돈을 써야 할지에 대해 더 현명하고 방어 가능한 결정을 내릴 수 있다고 주장합니다.

그들의 프레임워크의 첫 번째 단계는 타협 불가능한 지출을 식별하는 것입니다. 연방 규제 기관은 컴퓨터 부품의 공급망 리스크 관리나 내부 컴퓨터 네트워크 모니터링과 같이 유틸리티 기업이 반드시 준수해야 하는 의무 표준을 설정해 두었습니다. 연구진은 이를 "컴플라이언스 플로어"라고 부릅니다. 이는 유틸리티 기업이 해킹으로 인해 얼마나 많은 손실을 입을 것으로 예상하든 관계없이 지불해야 하는 기초 금액입니다. 이 돈은 선택 사항이 아닙니다. 이는 비즈니스를 하기 위한 필수 비용입니다. 그러나 이 바닥은 주요 송전선 가장자리에서 멈춥니다. 이는 현재 격자에 연결되고 있는 수백만 개의 분산형 태양광 패널과 배터리를 다루지 않습니다. 이러한 새로운 자산을 보호하는 것은 재량적인 선택이며, 바로 그 지점에서 진짜 도전이 시작됩니다.

의무 규정을 넘어서는 지출에 대해, 연구진은 두 번째 단계로 '경제적 천장(economic ceiling)'을 적용할 것을 제안합니다. 그들은 조직이 보안에 지출하는 비용이 발생할 수 있는 피해액보다 커서는 안 된다고 주장하는 잘 알려진 경제 모델을 인용합니다. 만약 잠재적인 보안 업그레이드 비용이 그것이 방지할 수 있는 피해액보다 크다면, 그 투자는 타당하지 않습니다. 이 단계는 기업이 공포나 습관 때문에 보안에 과도하게 지출하는 것을 방지하는 가드레일 역할을 합니다. 이는 기획자들에게 다음과 같은 어려운 질문을 던지게 합니다. "이 특정 투자가 실제로 수리 비용보다 큰 재정적 손실을 줄이는가?"

세 번째 단계는 시간이라는 요소를 도입합니다. 사이버 위협과 재생 에너지 기술의 세계는 빠르게 변하고 있습니다. 오늘 내린 결정이 2년 후에는 구식이 될 수 있습니다. 연구진은 이 불확실성을 다루기 위해 "리얼 옵션(real options)"이라 불리는 방법을 사용할 것을 제안합니다. 모든 자금을 한꺼번에 투입하는 대신, 유틸리티 기업은 단계적으로 지출을 선택할 수 있습니다. 예를 들어, 기술을 테스트하기 위해 작은 파일럿 프로젝트로 시작할 수 있습니다. 만약 위협 환경이 변하거나 기술이 개선된다면, 투자를 확대할 수 있습니다. 만약 상황이 다른 방향으로 변한다면, 투자를 일시 중단하거나 멈출 수 있습니다. 이러한 유연성은 기업이 큰 액수의 돈을 묶어두기 전에 더 많은 정보를 기다릴 수 있게 함으로써 가치를 더해줍니다.

마지막 단계는 최근 연방 규정에 의해 생성된 재정적 인센티브를 살펴봅니다. 연방 에너지 규제 위원회(FERC)의 새로운 명령은 유틸리티 기업이 특정 첨단 사이버 보안 투자 비용을 다른 프로젝트보다 더 쉽게 회수할 수 있도록 허용합니다. 이는 보안 지출에 대한 재정적 이점을 만들어냅니다. 연구진은 유틸리티 기업이 이러한 이점을 계산에 반영해야 한다고 제안합니다. 보안 프로젝트를 전력선 교체나 변전소 건설과 같은 다른 필요 사항과 비교할 때, 해당 보안 프로젝트는 이 낮은 실질 비용을 염두에 두고 평가되어야 합니다. 이를 통해 가치 있는 보안 업그레이드가 서류상으로 비싸 보인다는 이유만으로 간과되지 않도록 보장합니다.

이 프레임워크가 실제 세계에서 어떻게 작동할지 테스트하기 위해, 저자들은 캘리포니아의 역사적 사례를 살펴보았습니다. 2010년대 초반, CES-21이라는 프로그램은 격자 사이버 보안 및 재생 에너지 통합 연구에 자금을 지원했습니다. 이후 입법자들이 원래 요청된 규모에 대한 명확한 근거가 부족하다고 결정하면서, 해당 프로그램의 예산은 약 77% 삭감되었습니다. 연구진은 이 사건을 적절한 금액을 결정하는 구조화된 방법 없이 대규모 보안 투자를 진행했을 때의 위험을 보여주는 사례로 활용합니다. 그들은 만약 자신들이 제안한 프레임워크가 당시에 있었다면, 유틸리티 기업이 지출을 더 명확하게 정당화할 수 있었거나, 혹은 더 작고 단계적인 접근 방식이 더 적절하다는 것을 깨달았을 것이라고 주장합니다.

이 논문은 이 프레임워크가 즉시 사용할 수 있는 완성된 제품이 아니라, 사고를 위한 도구임을 분명히 합니다. 저자들은 시스템을 완벽하게 작동시키는 데 필요한 데이터에 상당한 공백이 있다는 점을 지적합니다. 예를 들어, 태양광 발전소나 배터리 애그리게이터에 대한 사이버 공격이 실제로 얼마만큼의 비용을 발생시키는지에 대한 정확한 추정치는 존재하지 않습니다. 또한 유틸리티 기업들은 자신들의 리스크에 관한 민감한 정보를 공유하는 데 어려움을 겪고 있으며, 이는 프레임워크의 두 번째 단계를 이끄는 '예상 손실'을 계산하는 데 어려움을 줍니다. 게다가, 아직 어떤 유틸리티 기업도 새로운 연방 인센티브 프로그램을 활용하지 않았기에, 방정식의 그 부분이 실제로 어떻게 전개되는지에 대한 실질적인 데이터도 없습니다.

이러한 한계에도 불구하고, 연구진은 자신들의 작업이 중요한 공백을 메우고 있다고 믿습니다. 수년간 격자 보안에 관한 논의는 규칙 준수에 집중하는 이들과 리스크의 경제학에 집중하는 이들로 나뉘어 있었습니다. 이 논문은 안전하고 탄소 중립적인 격자의 미래가 이 두 갈래의 실타래를 엮는 데 달려 있다고 제안합니다. 의무 규정, 경제적 한계, 시간적 유연성, 그리고 재정적 인센티브를 결합하는 구조화된 방법을 제공함으로써, 이 프레임워크는 유틸리티 기획자들에게 나아갈 길을 제시합니다. 이것이 사이버 위협을 완전히 제거할 수 있다고 약속하는 것은 아니지만, 그들과 싸우기 위해 필요한 돈을 어떻게 쓸지 결정하는 데 있어 더 명확하고 논리적인 방법을 제공합니다. 격자가 계속 변화함에 따라, 이러한 복잡한 선택을 헤쳐 나갈 수 있는 방법론을 갖추는 것은 기술 자체만큼이나 중요할 수 있습니다.