IEC 62443

IEC 62443은 자동화 및 제어 시스템의 운용 기술에 대한 사이버 보안을 다루는 국제 표준 시리즈다.이 표준은 서로 다른 섹션으로 나뉘며 자동화 및 제어 시스템 사이버 보안의 기술적 측면과 프로세스 관련 측면을 모두 설명한다.그것은 사이버보안 주제를 사업시행자, 서비스 제공자(통합 및 유지보수를 위한 서비스 제공자) 및 구성요소/시스템 제조업체를 포함한 이해관계자 범주/역할별로 구분한다.각기 다른 역할은 자신의 활동에서 보안 위험을 예방하고 관리하기 위해 위험 기반 접근방식을 따른다.

역사

국제 표준으로서 IEC 62443 표준 제품군은 관련된 모든 국가 위원회가 공통 표준에 합의하는 IEC 표준 작성 과정의 결과물이다.여러 조직과 위원회가 IEC 작업 그룹에 의견을 제출하고 IEC 62443 표준 제품군을 구성하는 데 도움을 주었다.

2002년부터는 전문 자동화공학회인 국제자동화학회(International Society of Automation)와 ANSI 인증 표준개발기구(SSO)가 산업자동화제어시스템보안표준위원회(ISA99)를 설립했다.ISA99 위원회는 산업자동제어시스템(IACS) 사이버 보안에 관한 표준과 기술 보고서를 여러 부분으로 나눠 개발했다.이러한 작업 산출물은 ISA가 승인을 위해 제출한 후 북미 ANSI 표준으로 공표되었다.원래 ANSI/ISA-99 또는 ISA99 표준으로 언급된 ISA 표준 문서는 2010년에 ANSI/ISA-62443 시리즈로 번호를 변경했다.이 시리즈의 내용은 IEC 작업 그룹에 제출되어 사용되었다.

이와 병행하여 독일 엔지니어링 협회 VDI와 VDE는 2011년에 VDI/VDE 2182 지침을 발표했다.이 지침은 산업 자동화 환경에서 정보보안을 처리하는 방법을 기술하고 있으며 IEC 실무그룹에도 제출되어 사용되었다.

2021년에 IEC는 IEC 62443 표준 제품군을 '수평 표준'으로 승인했다.즉, 주제 전문가에 의해 운영 기술에 대한 부문별 표준이 개발되고 있는 경우, IEC 62443 표준은 이 표준에서 사이버 보안을 다루는 요건의 기초에서 사용되어야 한다.이 접근방식은 운영 현장에 동일하거나 유사한 기술 또는 제품이 배치되는 산업 부문에 걸쳐 운영 기술의 사이버 보안을 다루기 위한 부분적 및/또는 상충되는 요구사항의 확산을 방지하는 역할을 한다.

구조

IEC 62443 산업 통신 네트워크 - 네트워크 및 시스템 보안 시리즈 표준은 다음과 같은 부분으로 구성된다.

• 1-1부: 용어, 개념 및 모델 (기술 사양, 1.0판, 2009년 7월)^[1]
• 제2-1부: 산업 자동화 및 제어 시스템 보안 프로그램 수립(국제표준, 1.0, 2010년 11월) 본 표준 섹션은 자동화 솔루션 운영자를 대상으로 하며, 발전소 운영 중 보안을 어떻게 고려해야 하는지에 대한 요건을 규정한다(ISO/IEC 27001 참조).^[2]
• Part 2-3: IACS 환경의 패치 관리 (기술 보고서, 1.0, 2015년 6월)^[3]
• 제2-4부: IACS 서비스 제공업체를 위한 보안 프로그램 요건 (기술보고서, 제1.1판, 2017년 8월) 본절은 통합업체를 위한 요건("기능")을 정의한다.이 요구사항은 12개 항목으로 구분된다.보증, 아키텍처, 무선, 보안 엔지니어링 시스템, 구성 관리, 원격 액세스, 이벤트 관리 및 로깅, 사용자 관리, 멀웨어 방지, 패치 관리, 백업 및 복구 및 프로젝트 인력 배치.^[4]
• 3-1부: 산업 자동화 및 제어 시스템을 위한 보안 기술 (기술 보고서 1.0, 2009년 7월)^[5]
• 3-2부: 시스템 설계를 위한 보안 위험 평가 (국제 표준, 1.0판, 2020년 6월)^[6]
• 3-3부: 시스템 보안 요구사항 및 보안 수준 (국제표준, 1.0판, 2013년 8월)시스템 및 보안 수준에 대한 기술 요건은 이 절에 설명되어 있다.^[7]
• 제4-1부: 보안 제품 개발 라이프사이클 요건(국제 표준, 1.0, 2018년 1월) IEC 62443의 섹션 4-1은 보안 제품 개발 프로세스가 어떻게 보여야 하는지를 규정한다.개발 관리, 보안 요구사항 정의, 보안 솔루션 설계, 보안 기능 테스트, 보안 취약점 처리, 업데이트의 작성 및 공개, 보안 기능의 문서화 등 8가지 영역으로 나뉜다.^[8]
• 4-2부: IACS 구성요소에 대한 기술 보안 요구사항(국제표준, 1.0, 2019년 2월)이 절은 제품 또는 구성품에 대한 기술 요건을 정의한다.^[9]시스템 요건(섹션 -3-3)과 마찬가지로, 요건도 12개 과목 영역으로 나누어 참고한다.기술 요건 외에 공통 요소 보안 제약 조건(CCSC)이 정의되며, IEC 62443-4-2를 준수하기 위해 구성 요소가 충족해야 한다.
  • CCSC 1은 구성요소가 사용되는 시스템의 일반적인 보안 특성을 고려해야 한다고 설명한다.
  • CCSC 2는 구성품이 스스로 충족시킬 수 없는 기술적 요건은 시스템 수준에서 보상 조치를 통해 충족될 수 있다고 명시한다(IEC 62443-3-3 참조).이러한 목적을 위해, 대책은 반드시 구성부품의 설명서에 기술되어야 한다.
  • CCSC 3은 "Least Privilege" 원칙을 구성요소에 적용하도록 요구한다.
  • CCSC 4는 구성요소가 IEC 62443-4-1 호환 개발 프로세스에 의해 개발 및 지원될 것을 요구한다.

성숙도 및 보안 수준

IEC 62443은 프로세스와 기술 요건에 대한 다른 수준의 성숙도를 설명한다.프로세스의 성숙도 수준은 CMMI 프레임워크의 성숙도 수준에 기초한다.

성숙도 수준

CMMI에 기초하여 IEC 62443은 소위 "만성 수준"을 통한 공정의 다른 성숙도 수준을 설명한다.일정 수준의 성숙도를 달성하려면 제품 개발 또는 통합 중에 모든 프로세스 관련 요구사항을 항상 실천해야 한다. 즉, 개별 기준("체리 선택")만 선택하는 것은 표준에 부합하지 않는다.

성숙도 수준은 다음과 같이 설명된다.

• 성숙도 레벨 1-초기: 제품 공급자는 보통 제품 개발을 임시로 수행하고 문서화되지 않은 경우가 많다(또는 완전히 문서화되지 않은 경우).
• 성숙도 레벨 2 - 관리:제품 공급자는 서면 지침에 따라 제품 개발을 관리할 수 있다.프로세스를 수행하는 담당자가 적절한 전문 지식을 갖추고 있으며, 교육을 받거나 서면 절차를 따르는지 입증해야 한다.그 과정은 반복할 수 있다.
• 성숙도 레벨 3- 정의됨(실제):그 과정은 공급자의 조직 전체에 걸쳐 반복 가능하다.그 과정들은 실행되었고 이것이 실행되었다는 증거가 있다.
• 성숙도 레벨 4 - 개선: 제품 공급업체는 프로세스의 효과성과 성과를 모니터링하고 이러한 분야에서 지속적인 개선을 입증하기 위해 적절한 프로세스 메트릭스를 사용한다.

보안 수준

시스템(IEC 62443-3-3)과 제품(IEC 62443-4-2)에 대한 기술 요건은 4개의 소위 보안 수준(SL)에 의해 표준으로 평가된다.레벨이 다른 것은 다른 종류의 공격자에 대한 저항을 나타낸다.이 표준은 기술 요건에 따라 수준을 평가해야 하며(IEC 62443-1-1 참조) 제품의 일반적인 분류에는 적합하지 않다고 강조한다.

수준은 다음과 같다.

• 보안 레벨 0: 특별한 요구사항이나 보호가 필요하지 않음.
• 보안 레벨 1: 의도하지 않은 오용이나 우발적인 오용으로부터 보호한다.
• 보안 레벨 2: 리소스 부족, 일반 기술 및 낮은 동기 부여를 통해 단순한 수단으로 의도적인 오남용을 방지한다.
• 보안 레벨 3: 중간 규모의 자원, IACS 고유의 지식 및 적절한 동기 부여를 통해 정교한 수단에 의한 의도적인 오용으로부터 보호한다.
• 보안 레벨 4: 광범위한 리소스, IACS 고유의 지식 및 높은 동기 부여를 통해 정교한 수단을 사용하여 의도적인 오용으로부터 보호.

개념

이 표준은 모든 활동의 모든 역할에 대해 고려해야 할 다양한 기본 원칙을 설명한다.

계층 방어; 심층 방호

심층방어(Deption in Depth)는 여러 단계의 보안(방어)이 시스템 전체에 분산되어 있는 개념이다.보안 조치가 실패하거나 취약성이 악용될 경우 중복성을 제공하는 것이 목표다.

구역 및 도관

구역은 공통의 보안 요구사항을 가진 (논리적 또는 물리적) 자산을 그룹화하여 시스템을 균일한 구역으로 나눈다.보안 요건은 SL(Security Level)에 의해 정의된다.구역에 필요한 수준은 위험 분석에 의해 결정된다.

구역은 구역 내부의 요소와 외부 요소를 구분하는 경계를 가지고 있다.정보는 영역 내에서 또는 영역 간에 이동한다.구역은 서로 다른 보안 수준(보안 수준)을 정의하여 심층 방어가 가능한 서브존으로 나눌 수 있다.

도관은 두 구역 간의 통신을 허용하는 요소를 그룹화한다.보안 통신이 가능하고 보안 수준이 다른 구역이 공존할 수 있도록 하는 보안 기능을 제공한다.

표준 인증

산업 자동화 환경에 사용되는 프로세스, 시스템 및 제품은 IEC 62443에 따라 인증될 수 있다.많은 시험, 검사 및 인증(TIC) 기업들이 IEC 62443에 근거한 제품 및 공정 인증을 제공하고 있다.ISO/IEC 17000 시리즈 표준에 따라 인증함으로써, 기업은 결과적 준수 인증서의 유용성을 높이는 IEC 62443 인증에 대한 단일의 일관성 있는 인증 요건을 공유한다.

공인인증제도

IEC 62443 인증 체계는 여러 글로벌 시험, 검사 및 인증(TIC) 업체에 의해 확립되었다.이 계획은 참조된 표준에 기초하고 시험 방법, 감시 감사 정책, 공공 문서 정책 및 프로그램의 기타 특정 측면을 정의한다.IEC 62443 표준에 대한 사이버보안 인증 프로그램은 Intertek, SGS-TUV Saar, THUV Nord, THUV Rheinland, THUV SUHD, UL 등 다수의 공인 인증기관(CB)에 의해 전세계적으로 제공되고 있다.

국가 인가 기관의 글로벌 인프라(AB)는 IEC 62443의 일관된 평가를 보장한다.AB는 적합성 평가 기관을 인가할 때 인가 기관의 역량, 일관성 및 공정성에 대한 요건을 포함하는 표준인 ISO/IEC 17011의 요건에 따라 운영된다.AB는 관리 시스템, 제품, 서비스 및 직원 인가를 위한 IAF 또는 실험실 인가를 위한 ILAC의 회원이다.ABs 간의 다자간 인정 협정(MLA)은 인가된 CB의 세계적인 인정을 보장할 것이다.

TIC 기업은 AB로부터 ISO/IEC 17020에 따른 검사, ISO/IEC 17025에 따른 시험소, ISO/IEC 17065에 따른 제품, 프로세스 및 서비스의 인증을 받을 수 있는 권한을 부여받고 있다.

IECE CB 제도

IEC 시스템 for Electrotechnical Equipments and Components (IECEE) Certification Body Scheme (CB Scheme)은 전기 및 전자 제품 제조업체의 시장 접근을 용이하게 하는 다자간 협정이다.CB 체계 프로세스에 따라 제품과 시스템은 IEC 62443에 따라 인증될 수 있다.

CB 체계의 기원은 CEE(구 유럽 "전기 장비의 적합성 시험 위원회")에서 나왔으며, 1985년에 IEC에 통합되었다.현재, 54개의 회원 기관이 IECEE, 88개의 NCB(국가 인증 기관), 534개의 CB Test Laboratory(CBTL)에 있다.제품 인증 분야에서는, 이 절차를 사용해, 조화된 표준에 따라 시험·인증된 제품 제조자의 승인 절차의 복잡성을 감소시킨다.IEC 62443과 같은 일치된 표준에 따라 CBTL(인증시험소)에 의해 시험된 제품은 GS, PSE, CCC, NOM, GOST/R, BSMI와 같은 이후의 국가 인증 및 승인을 위한 기초로 CB 보고서를 사용할 수 있다.

ISCI ISASecure

국제자동화협회의 자회사인 ISCI(ISA Security Compliance Institute)는 IEC 62443 표준에 맞춘 독점적 적합성 평가 제도를 만들었다.이 계획은 산업 자동화 제어 시스템, 부품 및 프로세스를 인증하는 데 사용된다.ISASecure 인증 제도를 인증하는 회사는 ISASecure 기술 준비 요건에 대해 인가되며, 각각 ISO 17025와 ISO 17065 표준에 따라 시험소와 인증 기관을 인가한다.

ISCI는 ISASecure 브랜드로 다음과 같은 여러 가지 인증을 제공한다.

• IEC 62443-3-3 및 IEC 62443-4-1에 따른 시스템의 SSA(시스템 보안 보증) 인증
• IEC 62443-4-1 및 IEC 62443-4-2에 따른 자동화 부품의 CSA(Component Security Assurance) 인증
• IEC 62443-4-1에 따른 자동화 시스템 개발 조직의 SDLA(Secure Development Lifecycle Assurance) 인증
• IEC 62443-4-2에 근거한 부품에 대한 EDSA(Embedded Device Security) 인증.이 인증은 2010년에 제공되었고 IEC 62443-4-2 표준이 공식적으로 승인되어 2018년에 발표되면서 단계적으로 폐지되었다.

참고 항목

• 사이버보안 표준
• 기능안전
• 국제전기기술위원회

참조

외부 링크

• IEC 웹 사이트
• IECEE 웹사이트