[논문]산업 제어시스템 보안성 평가제도 동향

김우년; 박응기; 김신규; 지윤석

산업 제어시스템 보안성 평가제도 동향 원문보기

情報保護學會誌 = KIISC review, v.29 no.2, 2019년, pp.5 - 15

김우년 (ETRI 부설연구소) , 박응기 (ETRI 부설연구소) , 김신규 (ETRI 부설연구소) , 지윤석 (숭실대학교 IT정책경영학과)

초록
AI-Helper

산업 제어시스템 보안 취약점 발견의 증가, 사이버보안 사고로 인한 정전과 같은 물리적 피해 발생, 4차 산업혁명으로 확산되는 스마트공장 및 스마트시트의 산업 제어시스템 네트워크 연계 증가 등으로 인해 산업 제어시스템에 대한 보안위협이 급증하고 있으며, 이에 대한 보안대책이 요구되고 있다. 본 논문에서는 산업 제어시스템 구성요소에 대한 보안 내재화를 유도하고, 산업 제어시스템의 도입, 운영, 유지보수 과정에서 사이버보안을 고려할 것을 요구하는 산업 제어시스템 보안성 평가제도의 동향에 대해서 설명한다. 구체적으로는 미국, 일본, 프랑스 등의 국가기관, ISA, IEC, UL 등과 같은 국제 표준화 기구, $T{\ddot{U}}V$ $S{\ddot{U}}D$, exida와 같은 글로벌 시험기관, GE와 같은 제조사에서 실시하고 있는 산업 제어시스템 보안성 평가제도를 설명하고, 평가제도를 분류하여 특성을 파악할 수 있도록 제시하였다.

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

2003년부터 미국을 중심으로 산업 제어시스템에 대한 보안성 평가가 실시된 이래 일본, 프랑스 등의 국가기관이 주도하는 산업 제어시스템 보안성 평가 제도뿐만 아니라, 표준화 단체, 글로벌 시험기관, 제조사에서 실시하는 다양한 제도들이 운영 중이다. 따라서 본 논문에서는 산업 제어시스템 대상의 보안성 평가제도를 설명하고, 그 특징을 분석하고자 한다. 이를 통해 국내산업 제어시스템 관련 제조사는 자사의 구성요소에 대한 보안성 평가기준을 설계에 반영하여 보안성이 향상된 제품을 개발하는데 활용하고, 국내 시험기관은 글로벌 시험기관과의 협력을 통해 관련 시험기술을 확보하는데 활용하며, 국내 운영기관은 산업 제어시스템을 구축하는 단계에서부터 보안 요구사항을 반영하는데 활용할 수 있도록 하고자 한다.
본 논문은 산업 제어시스템 보안취약점 발견의 증가, 산업 제어시스템 사이버보안 사고로 인한 정전, 물리적피해 발생, 4차 산업혁명을 계기로 확대되고 있는 산업제어시스템의 네트워크 연결로 인한 보안위협 증가 등으로 인해 필요성이 증가하고 있는 산업 제어시스템 보안성 평가에 대해 설명하였다. 2003년부터 미국을 중심으로 산업 제어시스템에 대한 보안성 평가가 실시된 이래 일본, 프랑스 등의 국가기관이 주도하는 산업 제어시스템 보안성 평가제도 뿐만 아니라, 표준화 단체, 글로벌 시험기관, 제조사에서 실시하는 산업 제어시스템 보안성 평가제도 등 다양한 제도들이 운영중이며 이러한 세부사항은 Ⅲ장에서 제시하였다.
따라서 본 논문에서는 산업 제어시스템 대상의 보안성 평가제도를 설명하고, 그 특징을 분석하고자 한다. 이를 통해 국내산업 제어시스템 관련 제조사는 자사의 구성요소에 대한 보안성 평가기준을 설계에 반영하여 보안성이 향상된 제품을 개발하는데 활용하고, 국내 시험기관은 글로벌 시험기관과의 협력을 통해 관련 시험기술을 확보하는데 활용하며, 국내 운영기관은 산업 제어시스템을 구축하는 단계에서부터 보안 요구사항을 반영하는데 활용할 수 있도록 하고자 한다.

제안 방법

IECEE의 산업 사이버보안 인증은 각 NCB가 인증하고, NCB 소속 시험기관(CBTL: Certification Body Testing Laboratories)이 시험을 수행한다. IEC 62443-2-4:2015 표준의 발급 NCB는 12개, 인정 NCB는 1개, CBTL은 13개가 승인 받았으며, IEC 62443-3-3:2013 표준과 IEC 62443-4-1:2018 표준은 발급 NCB 5개, 인정 NCB 3개, CBTL 5개가 승인 받았다.
NAVV는 산업 제어시스템 네트워크 트래픽을 수집하여, TCP 헤더 분석을 통해 산업 제어시스템 내 통신흐름을 분석함으로써 네트워크에 대한 안전성을 검증하는 것으로 분석 양에 비례하여 소요 시간이 증가하며, Sophia 도구를 활용하여 분석을 자동화하였다.
NSTB 프로그램 중 제어시스템에 대한 사이버 취약점 분석 · 평가는 아이다호 국립연구소에서 주로 수행하였으며, 2011년까지 제조사 구성요소 14개와 제조사 시스템 15개에 대한 실험실 평가, 그리고 8개 시설에 대한 현장평가 등 총 37개 제품 및 시설에 대한 사이버 취약점 평가를 실시하였으며, 일부는 표 2와 같다[3,4].
SDLA 인증은 IEC 62443-4-1 표준을 기반으로 제조사의 제조 프로세스가 보안 요구사항을 만족하는지 확인하고, 제조 프로세스에서 생산된 제품 또는 결과물이 적합한지를 시험한다[9]. EDSA 및 SSA 인증을 받기위해서는 사전에 SDLA 인증을 받아야 하며, EDSA 및SSA 인증과 함께 병렬로 SDLA 인증을 신청할 수도 있다.
UL CAP for IEC 62443 서비스는 IEC 62443-2-4, IEC 62443-3-3, IEC 62443-4-1, IEC 62443-4-2 표준을 기반으로 시험·인증 서비스를 제공하며, 세부 시험 방법으로서 침투 테스트, 취약점분석, 소스코드 분석, 퍼징 시험 등을 수행한다.
시스템 사이버보안 인증은 제조사의 시스템(OEM System)에 대한 인증과 통합 시스템(Integrated System)에 대한 인증이 있다. exida System Security Certification은 IEC 62443-4-1 표준과 IEC 62443-4-2표준을 기반으로 장치에 적용 가능한 사이버보안 요구사항을 시험하며, exida Integrated System Certifi-cation은 IEC 62443-2-4 표준과 IEC 62443-3-3 표준을 기반으로 시스템 통합 사업자에 의해 만들어진 시스템에 대하여 시험한다. 시스템 사이버보안 인증을 받은 제품중 일부는 ISASecure EDSA/SSA/SDLA 인증을 함께 받기도 한다.
아이다호 국립연구소의 제어시스템 취약점 분석 · 평가 절차는 그림 2와 같이 진행되며, 분석 내용의 민감성으로 인해 비공개 협약을 체결하고, 제어시스템과 사이버보안 전문가의 상호 협력을 위해 R&D 협력 협약을 체결 후 진행된다[3]. 분석된 취약점은 제조사에 제공하여 취약점을 패치 할 수 있도록 하고, 운영기관에도 제공하여 발견된 취약점에 대한 보완대책을 수립하도록 하였다.
ACC 인증은 임베디드 장치, 호스트 기반 장치, 제어 애플리케이션, 네트워크 컴포넌트를 대상으로 네트워크 견고성을 시험한다[20]. 시험기준은 대상 그룹별로 두가지 보안수준(Level 1, Level 2)에 따라 Ethernet, ARP, ICMP, IP, UDP, TCP 및 제어 프로토콜에 대해서 프로토콜 퍼징 시험, 알려진 취약점 확인, 트래픽 부하 시험을 수행하여, 제어시스템에서 반드시 확보되어야 할 네트워크 가용성을 평가한다.
장치 및 애플리케이션 사이버보안 인증은 임베디드 제어 장치, 플랫폼 장치, 소프트웨어 애플리케이션에 대해서 IEC 62443-4-1 기반의 사이버보안 엔지니어링 프로세스를 시험하고, IEC 62443-4-2 기반의 사이버보안방어 기술이 포함되었는지를 시험하여 4등급으로 인증한다.

대상 데이터

또한 보안기능 평가는 IEC 62443-4-2 표준 기반의 요구사항을 적용하며, 보안개발 평가는 IEC 62443-4-1 표준을 기반으로 도출된 요구사항을 적용한다. 2019년 3월 현재 34개 제품이 인증을 받았으며, 6개 제품이 Level 2, 28개 제품이 Level 1 인증을 받았으며, Level 3과 Level 4 인증을 받은 제품은 없다.
EDSA 인증은 PLC, DCS Controller, SIS Controller, Field Sensor Device 등[10]의 임베디드 장치를 대상으로 하며, 4개 등급으로 보안수준을 판정한다. EDSA 평가는 그림 4와 같이 네트워크 견고성 시험과 취약점 식별 시험으로 구성된 임베디드 장치 견고성 시험과 보안기능 평가, 보안개발 평가로 구성된다.
0 버전의 기준이 적용되고 있다[9]. SSA 인증을 받은 제품은 2019년 3월 기준으로 1개 제품이 있으며, Level 1 인증을 받았다. SSA의 인증 수준은 IEC 62443-1-1에 정의된 4가지 보안 수준에 따른다.
UL CAP for ICS는 UL 2900-2-2 표준을 기반으로 산업 제어시스템의 구성요소인 네트워크 게이트웨이, I/O 장치, 플랫폼, 대쉬보드 프로세서 등을 대상으로 한다. 해당 서비스에는 시험결과 보고서를 제공하는 시험서비스와 전체 요구사항에 대한 시험 결과를 기반으로 인증서를 제공하는 인증 서비스가 있다[17].

이론/모형

그러나 취약점 식별 시험, 보안기능 평가, 보안개발 평가는 보안등급이 높을수록 더 엄격한 요구사항이 요구된다. 또한 보안기능 평가는 IEC 62443-4-2 표준 기반의 요구사항을 적용하며, 보안개발 평가는 IEC 62443-4-1 표준을 기반으로 도출된 요구사항을 적용한다. 2019년 3월 현재 34개 제품이 인증을 받았으며, 6개 제품이 Level 2, 28개 제품이 Level 1 인증을 받았으며, Level 3과 Level 4 인증을 받은 제품은 없다.
시스템 견고성 시험은 네트워크 견고성 시험, 네트워크 스트레스 시험, 취약점 식별시험의 세부 시험으로 구성된다. 임베디드 장치 보안기능 평가는 IEC 62443-4-2 표준의 요구사항, 시스템 보안기능 평가는 IEC 62443-3-3 표준의 요구사항, 보안개발 평가는 IEC 62443-4-1 표준의 요구사항을 기반으로 한다. 2018년 10월 10일 이후 3.

성능/효과

또한 Ⅳ장에서는 산업 제어시스템을 대상으로 한 보안성 평가제도를 제도 도입주체, 평가 시기, 평가 대상, 평가 기준에 따라 분류하였다. 이를 통해 산업 제어시스템 전 생명주기에 따라 평가를 수행할 수 있고, 임베디드 장치, 호스트 장치, 제어 애플리케이션, 네트워크 컴포넌트 및 이들의 결합으로 구성된 단일 제어시스템에 대한 평가도 가능함을 알 수 있었다. 또한 평가 기준 측면에서는 IEC 62443 표준이 주로 사용되고 있으나 일부 자체적인 기준을 사용하는 평가제도도 있었으며, 이는 국가에서 주도적으로 운영하는 제도인 경우가 많았다.

질의응답

핵심어	질문	논문에서 추출한 답변
	산업 제어시스템이란?	산업 제어시스템은 발전, 가스생산, 석유화학, 상수도 등의 에너지 생산 시설이나 전력 송변전 및 배전, 가스․석유․난방열 등의 공급 시설, 반도체, 자동차 등의 산업 생산 시설을 제어 및 모니터링 하는 시스템이다. NIST 800-82에 따르면 산업 제어시스템은 산업 설비의 변수가 사전 정의된 값을 달성하도록 가이드하고 다루는 시스템인 제어시스템의 여러 유형을 포괄하는 일반적인 용어로 정의하고 있으며 유형에는SCADA(Supervisory Control and Data Acquisition), DCS(Distributed Control Systems), PLC(Progra-mmable Logic Controllers) 등이 포함된다.
	산업 제어시스템 보안위협에 대응하기 위한 관리적 보안대책은?	이와 같이 증가하는 산업 제어시스템 보안위협에 대응하기 위해서는 산업 제어시스템 자체에 보안이 내재되어야 하고, 보안이 고려된 산업 제어시스템이 구축되어야 하며, 운영 및 유지보수 동안에도 산업 제어시스템보안 프로그램에 의해 관리되어야 한다. 이를 위해서다양한 산업 제어시스템 보안관련 표준이 마련되고, 각국가에서는 사이버보안 규제기준이 마련되고 있으며, 이를 기반으로 한 산업 제어시스템 보안성 평가제도가 실시되고 있다.
	산업 제어시스템 보안위협에 대응하기 기술적 보안대책은?	이와 같이 증가하는 산업 제어시스템 보안위협에 대응하기 위해서는 산업 제어시스템 자체에 보안이 내재되어야 하고, 보안이 고려된 산업 제어시스템이 구축되어야 하며, 운영 및 유지보수 동안에도 산업 제어시스템보안 프로그램에 의해 관리되어야 한다. 이를 위해서다양한 산업 제어시스템 보안관련 표준이 마련되고, 각국가에서는 사이버보안 규제기준이 마련되고 있으며, 이를 기반으로 한 산업 제어시스템 보안성 평가제도가 실시되고 있다.

참고문헌 (22)

K. Stouffer, J. Falco, and K. Scarfone, Guide to industrial control systems (ICS) security, NIST SP 800-82 Revision 2, May 2015.
National SCADA Test Bed from https://www.energy.gov/oe/technology-development/energy-delivery-systems-cybersecurity/national-scada-test-bed/
Energy Sector Control Systems Working Group, Roadmap to Achieve Energy Delivery Systems Cybersecurity, Department of Energy, pp.11-16, 2011.
David Kuipers, "Idaho National Laboratory National SCADA Test Bed," Oct. 2010.
Braford Willke and Sean McCloskey, "DHS Cyber Security & Resilience Resources: Cyber preparedness, Risk Mitigation & Incident Response," Feb. 2015.
JIPDEC, Cyber Security Management System Conformity Assessment Scheme for the CSMS Certification Criteria(IEC 62443-2-1:2010) from https://isms.jp/csms /doc/JIP-CSMS120E-10.pdf.
ANSSI, Certification CSPN from https://www.ssi.gouv.fr/administration/produits-certifies/cspn/.
GTCSI, Protection profile of an industrial programmable logic controller version 1.1, July. 2015.
ISASecure from https://www.isasecure.org/en-US.
ASCI, EDSA-100 ISA Security Compliance Institute - Embedded Device Security Assurance - ISASecure certification scheme Version 3.7, Oct.. 2018.
exida for IEC 62443 Cyber Certification from http://www.exida.com/Certification/IEC62443-Cyber-Cert, 2019.
IECEE CB Scheme from https://www.iecee.org/about/cb-scheme, 2019.
CMC TF Cyber Security, OD-2061 IECEE System - Industrial Cyber Security Program, Edition 1.1, Jun., 2018.
UL, Accelerate your cyber readiness with IEC 6 2443 from https://industries.ul.com/wp-content/uploads/sites/2/2017/04/ ULCyber62443_133.01.0317.EN_.EPT_.pdf.
DEKRA Homepage, Cyber Security Testing & Certification, from https://www.dekra-product-safety.com/en/programs/cyber-security.
TUEV NORD Service GmbH Homepage, Certification according to IEC 62443 from https://www.tuev-nord.de/en/company/certification/product-certification/functional-safety/certification-according-to-iec-62443/.
UL, Cybersecurity for Industrial Automation and Control Systems(IACS) from https://industries.ul.com/industrial-systems-and-components/cybersecurity-for-industrial-control-systems-ics.
UL Online Certifications Directory from http://database.ul.com/cgi-bin/XYV/template/LISEXT/1FRAME/index.htm.
TUV SUD Homepage from https://www.tuev-sued-de/topics/information-technology-it/industrialit-security.
Xie F., Peng Y., Zhao W., Gao Y. and Han X., "Evaluating Industrial Control Devices Security: Standards, Technologies and Challenges," IFIP International Conference on Computer Information Systems and Industrial Management, LNCS, vol. 8838, pp. 624-635, 2015.
GE Digital, Achilles System Certification(ASC) from GE Digital FAQ from https://www.ge.com/digital/asset/achilles-system-certification-frequently-ascked-questions
손경호, "산업제어시스템 보안성 평가.인증 동향분석", 정보보호학회지, 24(5), 2014. 10.

원문보기 상세보기

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

산업 제어시스템 보안성 평가제도 동향 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

질의응답

참고문헌 (22)

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

산업 제어시스템 보안성 평가제도 동향 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

질의응답

참고문헌 (22)

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

초록
AI-Helper

AI 본문요약
AI-Helper