Before an IT product is used, there is a sequence of the process such as the components supply-demand of the product, their assembly and production, their logistics and delivery, and then finally, the product can be used by a user. During this sequence of the process, there can be many security expo...
Before an IT product is used, there is a sequence of the process such as the components supply-demand of the product, their assembly and production, their logistics and delivery, and then finally, the product can be used by a user. During this sequence of the process, there can be many security exposures and risks. In this paper, we show, by examining security cases of various IT products, that there are many security exposures in the process of IT products from their production to their delivery to end users and in their use, and also show how critical the security exposures are. Even though there are various security theories, technologies and security controls, there is still weak link from the production of an IT product to its use, and this weak link can lead to security vulnerabilities and risks. This paper tries to call attention to the importance of the execution of the security control and the control components. We examine the practical cases to find out how the security control is paralyzed, and to show how it is compromised by asymmetric security resources. Lastly, from the cases, we examine and review the possible domestic security issues and their countermeasures.
Before an IT product is used, there is a sequence of the process such as the components supply-demand of the product, their assembly and production, their logistics and delivery, and then finally, the product can be used by a user. During this sequence of the process, there can be many security exposures and risks. In this paper, we show, by examining security cases of various IT products, that there are many security exposures in the process of IT products from their production to their delivery to end users and in their use, and also show how critical the security exposures are. Even though there are various security theories, technologies and security controls, there is still weak link from the production of an IT product to its use, and this weak link can lead to security vulnerabilities and risks. This paper tries to call attention to the importance of the execution of the security control and the control components. We examine the practical cases to find out how the security control is paralyzed, and to show how it is compromised by asymmetric security resources. Lastly, from the cases, we examine and review the possible domestic security issues and their countermeasures.
이미 ISO에서는 이러한 공급자망의 보안 위협에 대한 보안 프레임워크로써 ISO 28000:2007 Specification for security management systems for the supply chain[1] 이라는 표준안을 오랜 검토 끝에 제정하였음에도 불구하고, 부품에서부터 완제품까지, 그리고 소비자에게 제품이 인도되어 사용될 때 까지 여러 단계에서 약한 연결고리(weak link)에 대한 보안 위협 및 위험들이 끊임없이 나타나고 있다. 본 논문은, 다양한 형태의 보안 위험을 가진 제품들이 시중에서 사용되었던 다수의 사례들을 살펴봄으로써, 공급자망을 통한 제품의 보안 위협에 대한 문제를 제기하고, 보안 통제가 어떤 식으로 무력화되는지에 대한 주의를 환기시키고자 한다. 또한 보안 통제의 각 요소의 중요성 및 비대칭 보안 위협과 관련한 심각한 문제들을 살펴봄으로써 보안 통제에 대한 주의를 제고하고자 한다.
제안 방법
본 논문은, 다양한 형태의 보안 위험을 가진 제품들이 시중에서 사용되었던 다수의 사례들을 살펴봄으로써, 공급자망을 통한 제품의 보안 위협에 대한 문제를 제기하고, 보안 통제가 어떤 식으로 무력화되는지에 대한 주의를 환기시키고자 한다. 또한 보안 통제의 각 요소의 중요성 및 비대칭 보안 위협과 관련한 심각한 문제들을 살펴봄으로써 보안 통제에 대한 주의를 제고하고자 한다.
성능/효과
또한 많은 경우, IT 제품의 보안 위험은, 사전 예방이 최선임에도 불구하고, 본 논문의 여러 사례들에서 보는바와 같이, 보안 위험이 현실화 된 후에야 비로소 해당 제품의 수거 또는 방지 대책이 작동하게 되는, 사후 처리 형태의 보안 통제만이 동작하게 되는 문제가 있다. 이미 많은 기업에서 보안의 중요성을 인지하고 이 분야에 투자를 많이 하고 있으나[16, 17], 이 문제의 보다 더 심각한 점은, 보안 위험을 가진 장비가 정보나 국방과 같은 민감한 정보를 다루는 부서에 납품되어 사용되는 경우로, 국가 존립 자체를 흔드는 문제로까지 비화될 수 있음을 인지하여, 보안 통제 각 요소 각각의 동작과 유기적 연동에 대한 시스템적인 모니터링 프로세스가 꼭 필요함을 알 수 있다.
질의응답
핵심어
질문
논문에서 추출한 답변
공급자망을 통한 보안위협은 무엇인가?
공급자망을 통한 보안위협은 광의적 의미의 보안 위협으로써, 네트워크에 접속되는 IT제품을 각종 보안 위협에 감염 시킨 채 공급하는 것을 의미한다. 이 위협이 가능한 이유는, 오늘날 대부분의 IT제품들이 제조될 때, 전 세계의 부품업체들로부터 가격대성능비가 좋은 부품을 구매하거나, 또는 생산을 아웃 소싱할 수 있다.
IT제품의 보안 위협이 보안 위험으로 될 가능성이 높은 과정은 무엇인가?
오늘날 디지털 시대에 사용되는 IT제품들이 최종 완제품이 되기까지, 그리고 최종 사용자에게 인도되어 사용되기까지 과정을 보안 통제 관점에서 살펴보면, 여러 과정을 거치는 동안 보안 위협에 노출될 가능성이 매우 높다는 것을 알 수 있다. 제품 생산자의 입장에서는 좀 더 좋은 제품을 좀 더 낮은 가격으로 생산하기 위하여, 부품 수급에서부터 단위 모듈, 그리고 조립에 이르기까지 많은 과정에서 전 세계의 관련 업체들과 협력하게 되고, 따라서 이 과정에서 보안 위협이 보안 위험으로 될 가능성은 매우 높다고 하겠다. 이미 ISO에서는 이러한 공급자망의 보안 위협에 대한 보안 프레임워크로써 ISO 28000:2007 Specification for security management systems for the supply chain[1] 이라는 표준안을 오랜 검토 끝에 제정하였음에도 불구하고, 부품에서부터 완제품까지, 그리고 소비자에게 제품이 인도되어 사용될 때 까지 여러 단계에서 약한 연결고리(weak link)에 대한 보안 위협 및 위험들이 끊임없이 나타나고 있다.
공급자망을 통한 보안위협이 가능한 이유는 무엇인가?
공급자망을 통한 보안위협은 광의적 의미의 보안 위협으로써, 네트워크에 접속되는 IT제품을 각종 보안 위협에 감염 시킨 채 공급하는 것을 의미한다. 이 위협이 가능한 이유는, 오늘날 대부분의 IT제품들이 제조될 때, 전 세계의 부품업체들로부터 가격대성능비가 좋은 부품을 구매하거나, 또는 생산을 아웃 소싱할 수 있다. 그리고 제품의 조립 또한 인건비가 저렴한 제 3국가에서 조립하여 공급하거나, 또는 물류 또한 아웃소싱함으로써, 생산에서부터 최종소비자가 IT제품을 구매하여 사용할 때까지, 단일 보안 통제하가 아닌, 보안 통제가 결여된 여러 단계를 거침으로써, 보안 위협에 쉽게 노출될 가능성이 있다는 것이다. 이렇게 공급된 IT제품은 최종사용자가 IT제품을 사용하는 경우 보안 위협에 바로 노출될 수 있다.
참고문헌 (17)
ISO 28000:2007, http://www.iso.org/iso/catalogue_detail?csnumber44641, ISO
※ AI-Helper는 부적절한 답변을 할 수 있습니다.