선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 더욱이, 스마트그리드가 현재 실제적으로 구현되어 있는 시스템이 아니고, 개념모델차원이라는 점에서 발생 가능한 보안 위협이나 취약성은 존재하지만 실질적인 위험도 및 자산중요도(자산가치) 등의 산정은 어렵다. 따라서, 본 논문에서는 문헌연구를 통해 이미 잘 알려진 스마트그리드 특히 소비자 영역에서의 보안 위협 및 취약점들을 정리하였다.
- 본 논문에서 산정한 피해비용은 초안단계의 결과로서, 연구의 목적은 추정된 피해규모를 기반으로 스마트그리드 구현에 필요한 보안투자의 범주를 가늠해보는데 있다. 따라서, 본 논문의 결과는 많은 가정과 예상되는 상황설정만으로 도출한 것으로서, 보안사고가 발생한 이후의 실제 상황을 분석하여 피해규모를 산정하는 기존 연구들의 결과와는 달리, 단지 피해의 가능성과 규모를 짐작해 보는 데에 목적이 있다.
- 본 논문에서 산정한 피해비용은 초안단계의 결과로서, 연구의 목적은 추정된 피해규모를 기반으로 스마트그리드 구현에 필요한 보안투자의 범주를 가늠해보는데 있다. 따라서, 본 논문의 결과는 많은 가정과 예상되는 상황설정만으로 도출한 것으로서, 보안사고가 발생한 이후의 실제 상황을 분석하여 피해규모를 산정하는 기존 연구들의 결과와는 달리, 단지 피해의 가능성과 규모를 짐작해 보는 데에 목적이 있다.
- 본 논문에서는 스마트그리드 소비자단을 구성하는 AMI를 주요자산(essential assets)으로 분류하고, 이에 대한 사이버보안 위협 및 취약점을 분류하여(잘 알려진 정보 기반), 공격 및 피해 시나리오를 구성한 후 이를 기반으로 사이버보안 위협이 발생하였을 경우를 가정하여 예상되는 피해비용을 산출해봄으로써, 사이버보안 관점에서의 스마트그리드 보안투자 의사결정 지원을 위한 보안경제성 모델연구의 필요성에 대해 논의해 보고자 한다.
- 본 연구에서는 대표적으로 정보보안 차원에서의 보안경제성 연구로 자주 인용되고 있는 Gordon&Loeb[6], Cavusoglue 등[7] Bodin 외[8], Kumar 외[9], RAND Corporation[10] 등을 검토하고 스마트그리드에 대한 사이버공격 시나리오에 기반한 피해비용 산정을 위한 산식을 도출하였다.
- 본 연구에서는 위험관리 프로세스에 따라 스마트그리드 사이버 공격 및 피해 시나리오에 기반한 위험 분석의 필요성을 제시하고, 잘 알려진 AMI 대상 위협 및 취약점을 분석해 보고 위험분석을 위한 위협 시나리오의 개발 가능성을 검토해 보고자 하였다.
- 이 모델은 기업이나 조직이 최적의 사이버 보안을 구축하기 위해 투자해야 하는 최소한의 비용 규모를 파악하는데 목적이 있으며, 사이버 공격 방지를 위한 조직의 직·간접 비용은 물론 공격으로 인한 잠재적인 손실, 공격 대상이 되는 정보의 가치와 공격 성공 가능성을 종합적으로 파악하였다.
- 2015년부터는 미래창조과학부 주관으로 사물인터넷 실증사업으로서 스마트그리드 보안 실증사업이 진행되고 있으며, 2017년 완료될 예정이다. 이 사업은 신규 보안기술의 개발이 아니라 기존에 개발된 기술을 적용하여 실증하고 개선하는데 그 목적이 있다[39]. 이와 같이, 스마트그리드의 보안성 확보를 위한 기술개발 및 실증사업이 진행되고 있는 상황에서 본 논문에서 도출한 보안피해비용 산정사례는 향후 스마트그리드 보안투자 관련 의사결정을 지원하는 기반이 될 수 있을 것으로 기대된다.
- RAND Corporation[10]은 보안위협으로부터 오는 리스크를 줄이는 동시에 효과적인 보안예산 투자방안을 제시하였다. 이 연구에서는 휴리스틱 모델을 개발하였는데, 이 모델은 사이버 보안 리스크 관리에 필요한 종합적인 비용을 체계적으로 보여주고 있다. 외부 공격을 차단하기 위한 보안툴이나 프로그램 성능을 평가하는데 주력했던 기존 모델들과는 달리, Rand Corporation의 휴리스틱 모델은 리스크 관리에 대한 투자수익이나 투자 대비 리스크 감소 등 비즈니스적인 측면에 초점을 맞추고 있다.
가설 설정
- NESCOR[27]의 AMI. 1(Mass MeterDisconnect) 시나리오는 전압 및 주파수를 변조하여 고객과의 연결을 차단하고 전력을 손실시키는 상황을 가정한다. 제시된 AMI에 대한 상세 공격 시나리오와 그의 피해범주(영향력) 및 예상되는 피해규모와 복구상황은 다음과 같다.
- 금번 사고로 인해 스마트 미터기는 전체의10%가 피해를 입었지만 스마트 미터기들을 관장하는 DCU에 대해서는 피해가 없었다고 가정하였다. 2차 피해비용은 비즈니스 손실로서 사고가 발생하고 복구하기까지의 2일간 한국전력 입장에서 각 가구당 전력사용량 체크가 불가능하였다고 가정하여 이를 손실로 잡았다(DCU에서 가구당 전력사용량을 지속적으로 업데이트하여 저장하지만, 고객 입장에서의 전력사용불가로 인한 피해배상비용 차원에서 한국전력에서 요금감면을 시행하였음을 가정). 이와 함께, 전력사용불가로 인해 발생하였을 수 있는 가구당 피해(냉장고 등의 사용불가로 인한 2차적인 피해)에 대한 배상비용으로 1일 35,000원씩 20만가구에 지급함을 가정하였다.
- 1차 피해비용은 피해를 입은 스마트 미터기 전량을 교체하는 비용을 포함하였다. 금번 사고로 인해 스마트 미터기는 전체의10%가 피해를 입었지만 스마트 미터기들을 관장하는 DCU에 대해서는 피해가 없었다고 가정하였다. 2차 피해비용은 비즈니스 손실로서 사고가 발생하고 복구하기까지의 2일간 한국전력 입장에서 각 가구당 전력사용량 체크가 불가능하였다고 가정하여 이를 손실로 잡았다(DCU에서 가구당 전력사용량을 지속적으로 업데이트하여 저장하지만, 고객 입장에서의 전력사용불가로 인한 피해배상비용 차원에서 한국전력에서 요금감면을 시행하였음을 가정).
- 5만원으로 추산하였는데, 이는 상수도공급중단에 대한 피해보상사례를 기반으로 도출하였다[33]. 다섯째, 전력은 국가자원이며 한국의 경우 민간기업들이 경쟁하는 미국시장과는 달리 한국전력 단독시장으로 볼 수 있어 사이버공격에 따른 일시적인 기업손실액은 발생하지 않는다고 가정하였다. 또한, 사이버공격과 기업매출액과의 관계에 대한 기존 연구에서도 보안사고 발생으로 인해 단기적인 매출손실은 기록할 수 있으나 장기적인 영향은 미미한 수준으로 나타난 것을 감안하였다[34][35].
- 첫째, 현재 전국에 보급된 스마트 미터는 200만 개이며[29], 이 중 금번 공격으로 인해 피해를 입은 스마트 미터는 전체의 10%이다. 둘째, 피해를 입은 스마트 미터에 대해 전체 교체 없이 SW 수정만으로 재사용이 가능할 수도 있지만, 본 연구에서는 피해를 입은 스마트 미터전량을 교체한다고 가정하였다. SW 수정을 할 경우, 수정에 필요한 인력비용 등이 산정되어야 하는데, 이는 DCU에 대한 수정비용에 기반하여 추정할 수 있다.
- 현재에는 1차 피해비용을 중심으로 구성하였는데, 향후에는 2차 및 3차(이미지 손상 및 주가하락 비용 등) 피해에 대해서도 충분히 고려함으로써 보다 현실성을 높여 나가야 할 것이다. 셋째, 시장현황에 대한 실측데이터의 확보가필요하다. 시장 참여자들에 대한 심층인터뷰 등을 통해 시장상황에 대한 보다 현실적인 분석이 필요하며, 스마트그리드 관련 시스템의 보급현황 등에 대한 실제 데이터를 활용하는 현실적인 모델개발이 필요하다.
- 3차 피해비용은 간접비용으로서 각종 법정비용 및 추가적인 투자비용이다. 여기서는 아직까지 고객정보유출은 확인되지 않았기 때문에 개인정보유출로 인한 피해배상금액은 산정하지 않았지만, 사고조사와 포렌식이 진행중임을 가정하여 해당비용을 포함하였다. 또한, 추가적인 보안컨설팅 비용도 포함하였다.
- 2차 피해비용은 비즈니스 손실로서 사고가 발생하고 복구하기까지의 2일간 한국전력 입장에서 각 가구당 전력사용량 체크가 불가능하였다고 가정하여 이를 손실로 잡았다(DCU에서 가구당 전력사용량을 지속적으로 업데이트하여 저장하지만, 고객 입장에서의 전력사용불가로 인한 피해배상비용 차원에서 한국전력에서 요금감면을 시행하였음을 가정). 이와 함께, 전력사용불가로 인해 발생하였을 수 있는 가구당 피해(냉장고 등의 사용불가로 인한 2차적인 피해)에 대한 배상비용으로 1일 35,000원씩 20만가구에 지급함을 가정하였다. 3차 피해비용은 간접비용으로서 각종 법정비용 및 추가적인 투자비용이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.