[논문]중소기업환경에서 적용 가능한 IEC 62443 기반의 개발 보안 생애주기 프로세스 적용 방안 연구

진정하; 박상선; 김준태; 한근희

doi:10.3745/ktccs.2022.11.6.193

[국내논문] 중소기업환경에서 적용 가능한 IEC 62443 기반의 개발 보안 생애주기 프로세스 적용 방안 연구
A Study on Application Methodology of SPDL Based on IEC 62443 Applicable to SME Environment 원문보기

정보처리학회논문지. KIPS transactions on computer and communication systems 컴퓨터 및 통신 시스템, v.11 no.6, 2022년, pp.193 - 204

진정하 (고려대학교 정보보호연구원) , 박상선 (고려대학교 정보보호연구원) , 김준태 (고려대학교 정보보호연구원) , 한근희 (고려대학교 정보보호연구원)

초록
AI-Helper

SME(small and medium-sized enterprise) 환경의 스마트제조 환경에서는 실제 제조라인에서 동작하는 센서(Sensor) 및 액추에이터(Actuator)와 이를 관리하는 PLC(Programmable Logic Controller), 더불어 그러한 PLC를 제어 및 관리하는 HMI(Human-Machine Interface), 그리고 다시 PLC와 HMI를 관리하는 OT(Operational Technology)서버로 구성되어 있으며, 제어자동화를 담당하는 PLC 및 HMI는 공장운영을 위한 응용시스템인 OT서버 및 현장 자동화를 위한 로봇, 생산설비와의 직접적인 연결을 수행하고 있어서 스마트제조 환경에서 보안 기술의 개발이 중점적으로 필요한 영역이다. 하지만, SME 환경의 스마트제조에서는 과거의 폐쇄 환경에서 동작하던 시스템으로 구성되어 있는 경우가 상당하여 인터넷을 통해 외부와 연동되어 동작하게 되는 현재의 환경에서는 보안에 취약한 부분이 존재한다. 이러한 SME 환경의 스마트제조 보안 내재화를 이루기 위해서는, 스마트제조 SW 및 HW 개발 단계에서 IEC 62443-4-1 Secure Product Development Lifecycle에 따른 프로세스 정립 및 IEC 62443-4-2 Component 보안 요구사항과 IEC 62443-3-3 System 보안 요구사항에 적합한 개발 방법론의 도입이 필요하다. 따라서, 본 논문에서는 SME 환경에서의 스마트제조에 보안 내재화를 제공하기 위한 IEC 62443 기반의 개발 보안 생애주기 프로세스에 대한 적용 방안을 제안한다.

Abstract ▼ AI-Helper

In a smart factory environment in a small and medium-sized enterprise (SME) environment, sensors and actuators operating on actual manufacturing lines, programmable logic controllers (PLCs) to manage them, human-machine interface (HMI) to control and manage such PLCs, and consists of operational technology server to manage PLCs and HMI again. PLC and HMI, which are in charge of control automation, perform direct connection with OT servers, application systems for factory operation, robots for on-site automation, and production facilities, so the development of security technology in a smart factory environment is demanded. However, smart factories in the SME environment are often composed of systems that used to operate in closed environments in the past, so there exist a vulnerable part to security in the current environment where they operate in conjunction with the outside through the Internet. In order to achieve the internalization of smart factory security in this SME environment, it is necessary to establish a process according to the IEC 62443-4-1 Secure Product Development Life cycle at the stage of smart factory SW and HW development. In addition, it is necessary to introduce a suitable development methodology that considers IEC 62443-4-2 Component security requirements and IEC 62443-3 System security requirements. Therefore, this paper proposes an application plan for the IEC 62443 based development security process to provide security internalization to smart factories in an SME environment.

주제어

표/그림 (10)

그림 Fig. 1. Structure of the IEC 62443 Series
표 Table 1. IEC 62443-3-1 and ISA 62443-3-1 Comparison
표 Table 2. IEC 62443-3-3 ICS Design Principle
그림 Fig. 2. Deep Security Strategy of Secure Product Development Life Cycle[4]
표 Table 3. CMMI-Development Model Comparison
표 Table 4. IEC 62443-4-2 Define Security Requirements and Security Levels
표 Table 4. (Continued)
그림 Fig. 3. Secure Development Lifecycle with Mapping to Practices of IEC 62443-4-1[16]
그림 Fig. 4. IEC 62443-4-1 based SPDL Process Applicable to Small and Medium-sized Enterprise Environments
그림 Fig. 5. IEC 62443-4-1 based Threat Analysis and Risk Identification Tool Example

참고문헌 (22)

M. K. Gil, "In 2021, the first year of OT security... Cooperation between ICS operators, manufacturers, and security vendors is essential" [Internet], https://www.dailysecu.com/news/articleView.html?idxno110872.
Hugh Taylor, "News Insights: Gangnam Industrial Style: Apt Campaign Targets Korean Industrial Companies - Cyberx" [Internet], https://journalofcyberpolicy.com/2019/12/17/news-insights-gangnam-industrial-style-apt-campaign-targets-korean-industrial-companies-cyberx/.
The White House, "FACT SHEET: President Signs Executive Order Charting New Course to Improve the Nation's Cybersecurity and Protect Federal Government Networks" [Internet], https://www.whitehouse.gov/briefing-room/statements-releases/2021/05/12/fact-sheet-president-signs-executive-order-charting-new-course-to-improve-the-nations-cybersecurity-and-protect-federal-government-networks/.
IEC 62443-4-1:2018, "Security for industrial automation and control systems - Part 4-1: Secure product development lifecycle requirements," Jan. 15, 2018.
IEC Editorial Team, "Understanding IEC 62443" International Electrotechnical Commission News & blogs, Feb. 26, 2021, [Internet], https://www.iec.ch/blog/understandingiec-62443.
IEC TS 62443-1-1:2009, Industrial communication networks - Network and system security - Part 1-1: Terminology, concepts and models, Jul. 30, 2009.
IEC 62443-2-1:2010, Industrial communication networks - Network and system security - Part 2-1: Establishing an industrial automation and control system security program, Nov. 10, 2010.
IEC TR 62443-2-3:2015, Security for industrial automation and control systems - Part 2-3: Patch management in the IACS environment, Jun. 30, 2015.
IEC TR 62443-3-1:2009, Industrial communication networks - Network and system security - Part 3-1: Security technologies for industrial automation and control systems, Jul. 30, 2009.
IEC TR 62443-2-3:2015, Security for industrial automation and control systems - Part 2-3: Patch management in the IACS environment, Jun. 30, 2015.
IEC 62443-3-3:2013, Industrial communication networks - Network and system security - Part 3-3: System security requirements and security levels, Aug. 7, 2013.
IEC 62443-4-2:2019, Security for industrial automation and control systems - Part 4-2: Technical security requirements for IACS components, Feb. 27, 2019.
ISO/IEC/IEEE 24748-1:2018, Systems and software engineering - Life cycle management - Part 1: Guidelines for life cycle management, Nov. 2018.
ISO/IEC/IEEE 15288:2015, Systems and software engineering - System life cycle processes, May 2015.
ISO/IEC/IEEE 12207:2017, Systems and software engineering - Software life cycle processes, Nov. 2017.
Kilian Marty, "How to implement Cyber Security acc. to IEC 62443," CertX, Nov. 12, 2020, https://certx.com/cybersecurity/how-to-implement-cyber-security-acc-to-iec-62443-ep-4-penetrations-tests.
J. J. Ha, J. T. Kim, S. S. Park, and K.h. Han, "A study on threat analysis and risk assessment in a smart manufacturing environment based on IEC 62443," KICS Fall Conference 2021, Nov. 18, 2021.
ISO/SAE 21434:2021, Road vehicles - Cybersecurity engineering, August, 2021
The MITRE Corporation, CVE Program [Internet], https://www.cve.org/.
A. Shostack, "Experiences threat modeling at microsoft," MODSEC@ MoDELS 2008, 35, 2008.
ISO/IEC 29192-2:2019, Information security - Lightweight cryptography - Part 2: Block ciphers, Nov. 2019.
KS X 3246:2016, 128-bit block cipher LEA, Oct. 20. 2016.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증