NIST SP 800-82 OT 오버레이를 AI 데이터센터에 적용하기: 현장에서 통하는 4가지 통제 매핑

글 : 강진호 · OT/ICS 보안 컨설턴트

하이퍼스케일 AI 캠퍼스는 흔히 메가와트와 GPU 수량으로 설명되지만, 실제로 시설을 살아 있게 만드는 것은 자랑거리가 되지 못하는 설비들입니다. 절체 스위치, 냉각수 분배 장치, 출입 컨트롤러, 그리고 이들을 묶는 건물관리시스템(BMS)이 그것입니다. 이들은 모두 운영기술(OT)이며, NIST는 이미 운영기술을 위한 통제 카탈로그를 공개하고 있습니다. SP 800-82 Rev. 3에는 기밀성보다 가용성과 물리적 결과가 우선하는 환경에 맞춰 SP 800-53 통제를 조정한 OT 오버레이가 들어 있습니다. 다만 NIST는 이를 데이터센터가 아니라 산업제어시스템을 위해 작성했으므로, NIST SP 800-82 OT 오버레이를 AI 데이터센터에 적용하는 것은 NIST의 지침이 아니라 제 제안입니다. 이 글에서는 전력, 냉각, 물리 출입, 유지보수라는 네 가지 매핑을 따라가며 NIST SP 800-82 OT 오버레이가 어디까지 도움이 되고 어디서 판단이 필요한지 살펴보겠습니다.

지금 AI 데이터센터에 NIST SP 800-82 OT 오버레이가 필요한 이유

규모에 대한 논거는 이미 충분합니다. 국제에너지기구(IEA)는 2024년 데이터센터가 약 415TWh의 전력을 사용했으며 이는 전 세계 전력 소비의 약 1.5%라고 밝혔고, 2030년에는 이 수치가 두 배 이상인 약 945TWh로 늘어날 것으로 전망합니다(IEA, 2025). 랙 단위에서는 Gigabyte가 GB200 NVL72를 최대 130kW, 직접 액체냉각 방식으로 명시하고 있어(Gigabyte), 이제 냉각수 흐름이 전기만큼 랙에 치명적인 요소가 되었습니다. 비용 측면에서는 Uptime Institute의 2025년 장애 분석이 보여 줍니다. 운영자의 54%가 가장 최근의 중대 장애 비용이 10만 달러를 넘었다고 답했고, 다섯 곳 중 한 곳은 100만 달러를 넘었다고 답했으며, 절차 미준수로 인한 장애는 1년 사이 10%p 늘었습니다(Uptime Institute, 2025). 전력, 열, 출입, 유지보수는 바로 PE와 MA 패밀리가 다루는 영역이고, 그래서 이 오버레이는 정유소를 위한 틈새 자료가 아니라 AI 시설의 출발점으로 적합합니다. 한 홀이 랙마다 이만한 전력과 열을 감당한다면, 그 설비를 보호하고 승인하고 유지보수하는 규율에도 컴퓨트와 같은 수준의 엔지니어링 엄밀함이 필요하며, 오버레이가 그 공통 언어를 제공합니다.

NIST SP 800-82 OT 오버레이가 SP 800-53에 더하는 것

2023년 9월에 발간된 SP 800-82 Rev. 3는 적용 범위를 산업제어시스템에서 운영기술 전반으로 넓혔고, SP 800-53 Rev. 5의 low, moderate, high 베이스라인에서 출발하는 오버레이를 포함합니다(NIST, 2023). 이 오버레이가 기여하는 것은 새로운 통제 목록이 아니라, 물리 설비를 움직이는 시스템에서 IT 방식의 통제를 안전하게 쓰려면 무엇을 바꿔야 하는지 설명하는 OT 관련 논의, 조정 지침, 통제 강화 항목입니다. 이는 제 박사논문 연구(N=100)에서 확인한 결과와 맞닿아 있습니다. IT 중심 통제는 OT 환경의 가용성에 부(-)의 영향을 보였고, 그래서 저는 IT 체크리스트를 이식하는 대신 39개 통제를 13개 항목의 프레임워크로 재구성했습니다. SP 800-82를 기반으로 제가 만든 통제 항목별 가이드북이 아래 매핑의 작업 재료이며, 오버레이는 각 매핑에서 “이행되었는가”보다 먼저 “이 통제가 가동 시간에 어떤 영향을 주는가”를 묻게 하는 이유입니다. 이 순서가 실무에서 중요한 것은, 형식상 이행되었더라도 가용성을 조용히 떨어뜨리는 통제는 몇 주 안에 운영자가 꺼 버리기 때문입니다. 그러면 시설은 통제가 없던 때보다 오히려 나빠집니다.

PE 통제를 전력, 냉각, 물리 출입에 매핑하기

오버레이 관점에서 PE 패밀리는 물리·환경 보호를 다루며, 데이터센터에서는 자연스럽게 세 시스템으로 나뉩니다. 전력에서는 PE-9(전력 장비 및 배선), PE-10(비상 차단), PE-11(비상 전원)이 UPS, 자동 절체 스위치(ATS), 발전기, 비상 전원 차단(EPO) 회로에 대응합니다. AI 홀에서는 보호되지 않은 EPO나 엉뚱한 네트워크 구간에서 접근 가능한 절체 스위치 컨트롤러가 몇 주짜리 학습 작업을 몇 초 만에 끝낼 수 있습니다. 냉각에서는 PE-14(환경 통제)와 PE-15(누수 보호)가 냉각수 분배 장치(CDU), 칠러, 누수 감지에 대응하며, 랙당 130kW 수준에서 냉각수 루프는 부대시설이 아니라 장애 경로입니다. 출입에서는 PE-3(물리 출입 통제)과 PE-6(물리 출입 모니터링)이 출입 컨트롤러, 카메라, 맨트랩에 대응하는데, 여기에 오버레이의 관점이 질문 하나를 더합니다. 이 컨트롤러들은 네트워크에 연결되어 있으므로 사이버 침해가 물리적 침입으로 이어질 수 있다는 점입니다. 이렇게 읽으면 NIST SP 800-82 OT 오버레이는 서로 다른 세 시설 분야를 보안팀과 시설팀이 함께 감사할 수 있는 하나의 통제 어휘로 묶어 줍니다. 공통 어휘는 발견 사항의 소유자를 둘러싼 흔한 논쟁도 줄여 줍니다. 같은 통제 번호가 특정 설비와 특정 담당자를 가리키기 때문입니다.

MA 통제: 조용한 공격 경로, 유지보수

유지보수는 시설의 현실과 보안 정책이 부딪히는 지점이며, NIST SP 800-82 OT 오버레이는 이를 핵심 사안으로 다룹니다. SP 800-53 MA-4는 조직이 원격(비로컬) 유지보수를 승인하고 모니터링하며, 세션을 설정할 때 강력한 인증을 사용하고, 활동 기록을 보관하며, 작업이 끝나면 세션과 네트워크 연결을 종료하도록 요구합니다(NIST SP 800-53 Rev. 5, MA-4). 데이터센터에서 이는 칠러, UPS, BMS 공급업체가 장애를 진단하려고 여는 원격 세션에 해당하며, 오버레이는 이를 상시 VPN 계정이 아니라 통제된 수명주기로 봅니다. MA-2(통제된 유지보수)와 MA-5(유지보수 인원)는 누가 언제 설비를 만질 수 있는지를 다루고, MA-6(적시 유지보수)은 수리를 미루는 것도 위험 결정임을 일깨웁니다. 절차 미준수 장애가 10%p 늘었다는 Uptime Institute의 결과는 이 수명주기가 승인 문서 자체에 들어가야 함을 보여 줍니다. 유지보수 창이 영향을 줄 수 있는 워크로드까지 적어야, 이 오버레이가 압박 속에서도 사람이 따를 수 있는 절차가 됩니다. 악용되는 세션은 대개 승인되고 모니터링된 세션이 아니라, 닫는 일이 누구의 명시적 단계도 아니어서 열려 있던 세션입니다.

NIST SP 800-82 OT 오버레이에 판단이 필요한 지점

한계를 솔직히 밝혀야 NIST SP 800-82 OT 오버레이 매핑이 쓸모를 갖습니다. 이 오버레이는 산업제어시스템을 위해 작성되었고, 하이퍼스케일 시설은 규모, 공급업체 집중도, 각 시스템 뒤의 이중화 수준에서 공정 플랜트와 다르므로 베이스라인을 통째로 채택하기보다 조정해야 합니다. 위의 통제 명칭은 SP 800-53 Rev. 5를 따른 것이므로 감사 범위에 넣기 전에 원문과 대조하셔야 합니다. 적용 단계의 검증도 필요합니다. 지나치게 엄격한 세션 타임아웃이나 장애 대응 중 기술자를 잠가 버리는 인증 절차는 가용성을 해치는 보안 통제이며, 제 연구가 경고하는 바로 그 실패입니다. 실무 순서는 통제를 매핑하고, 비운영 홀에서 시범 적용하고, 가용성 영향을 측정한 뒤에야 오버레이를 운영 홀에 확대하는 것입니다. 시범 단계를 건너뛰면 통제와 운영 절차가 충돌한다는 사실을 장애 한복판에서 알게 되기 쉽습니다.

정리하며

전력, 냉각, 물리 출입, 유지보수는 AI 데이터센터가 SP 800-82가 겨냥한 산업 현장처럼 움직이는 네 지점이며, 바로 여기서 NIST SP 800-82 OT 오버레이가 제 역할을 합니다. 보안팀과 시설팀에 공통의 통제 언어를 주고, PE와 MA 패밀리가 시작점이 될 구체적 통제를 제공합니다. 판단을 대신하지는 않습니다. 신중하게 매핑하고, 가용성 영향을 시험하고, 이 매핑이 적용 제안임을 분명히 표기하시기 바랍니다. 그렇게 하면 NIST SP 800-82 OT 오버레이는 규제 준수 작업이라기보다 모든 GPU가 의존하는 인프라를 지키는 실용적 방법이 됩니다.