ENGINEERING NOTES · 2026년 6월

NERC-CIP와 IEC 62443이 경쟁이 아니라 상호 보완적인 이유

하나는 법이고, 다른 하나는 엔지니어링입니다. 이 둘을 대안으로 취급하다가 몇 달을 허비하는 팀들을 봐왔습니다.

선의를 가진 팀에서도 자주 보이는 실수: NERC CIP와 IEC 62443을 'OT 보안을 하는' 두 가지 대안 경로로 취급하는 것입니다. 하지만 실제로는 서로 다른 질문에 답하는 체계입니다.

CIP는 '북미의 대용량 전력 시스템을 운영한다면 법적으로 무엇을 해야 하는가'에 답합니다. 특정 산업과 지역에 국한되며, 미준수 시 실제 규제 결과가 따릅니다.

62443은 '안전한 산업 제어 아키텍처를 기술적으로 어떻게 설계하는가'에 답합니다. 산업과 지역에 무관하게 적용 가능합니다 — 키토의 발전소든 바이에른의 제조 공장이든 동일하게 작동합니다.

둘을 함께 사용하는 올바른 방법: CIP가 의무적인 '무엇'(자산 분류, 전자적 경계, 변경 관리)을 정의하고, 62443이 이를 엄격하게 구현하는 기술적 '어떻게'(존과 컨듀잇, 보안 수준, 구성 요소 요구사항)를 제공합니다. CIP만 보고 아키텍처를 설계하면 서류상으로는 유효하지만 실제로는 취약한 준수 상태가 되기 쉽습니다.