Part 2-1: Security program requirements for IACS asset owners

IEC 62443-2-1

IEC 62443-2-1의 정의부터 적용 원칙, 핵심개념, 요구사항 구조, 보안 프로그램의 도입·운영 흐름, 파생되는 문서까지 차례로 소개합니다.

규제 유형

표준

소관

국제전기기술위원회

구성

62443-2-1이란?

IEC 62443-2-1은 산업 자동화·제어시스템을 운영하는 조직, 즉 자산소유자가 시스템 보안을 위해 갖춰야 할 규칙과 절차, 다시 말해 보안 프로그램의 요구사항을 정한 정식 국제표준입니다. 보안 프로그램을 만들고 실행하고 유지하며 지속적으로 개선하는 데 필요한 요구사항을 담고 있습니다.

문서 개요

정식 명칭	Part 2-1: Security program requirements for IACS asset owners
문서 지위	IS(정식 국제표준)
주요 대상
적용 범위	운영 중인 시스템에 대한 의 정책·절차 요구사항입니다.
목적	보안 위험을 완전히 없애는 것이 아닌, 조직이 감수할 수 있는 수준까지 완화하는 것이 목적입니다. 위험과 비용의 균형을 맞춘 현실적인 보안을 지향합니다.

62443-2-1의 적용 원칙

62443-2-1은 네 가지 원칙에 따라 적용 범위와 요구사항 이행방법이 정해집니다.

흔한 오해 1보안 장비부터 도입해야 한다?
원칙
정책·절차 중심
보안 장비 도입 같은 기술로만 요구사항을 충족해야 하는 것은 아닙니다. 규칙을 정하고 점검하고 교육하는 절차적 방법, 잠금장치·출입통제 같은 물리적 방법으로도 충족할 수 있습니다.
흔한 오해 2모든 요구사항을 전부 충족해야 한다?
원칙
선별 적용
87개 요구사항을 전부 이행하는 것이 아닙니다. 우리 시스템이 어떤 보안 위험에 노출되어 있고 어떤 환경에서 운영되는지에 따라, 해당하는 요구사항만 선별 적용합니다.
흔한 오해 3정해진 수행 방법이 있다?
원칙
요구사항 수행 방식의 자율성
요구사항은 무엇을 갖출지만 정하고, 어떻게 수행할지는 정하지 않습니다. 요구사항을 수행하는 조직의 상황에 적합한 방식을 통하여 자율적으로 수행합니다.
흔한 오해 4오래된 설비는 보안 요구사항을 충족할 방법이 없다?
원칙
대체 조치 허용
가 더 이상 나오지 않는 오래된 설비처럼 요구사항을 그대로 적용할 수 없는 경우가 있습니다. 이때는 위험을 낮추는 다른 보안조치로 대신할 수 있습니다.

62443-2-1의 핵심개념

62443-2-1에서 중요하게 다루는 네 가지 개념입니다. 요구사항 구조와 도입·운영의 내용이 이 개념을 바탕으로 전개됩니다.

SPSecurity Program

보안 담당자를 지정하고, 지켜야 할 규칙을 세우고, 정기적으로 점검하는 것처럼 조직이 시스템 보안을 위해 수행하는 활동과 그 기반 전체를 가리킵니다. 한 번 갖춘 뒤에도 계속 실행하며 개선해 나갑니다.

SPESecurity Program Element

요소

을 구성하는 8개의 요소입니다. 조직 운영, 자산 관리, 네트워크, 장비, 데이터, 사용자 접근, 사고 대응, 백업·복구로 나뉘며, 87개 요구사항이 이 8개 요소 아래에 나누어 제시됩니다.

MLMaturity Level

각 요구사항을 얼마나 잘 이행하고 있는지를 나타내는 1~4단계의 평가 수준입니다. 하고 있는지 여부만이 아니라, 얼마나 체계적으로 하고 있는지를 봅니다.

보완통제

대체 보안조치

요구사항을 그대로 수행할 수 없을 때 보안 위험을 낮추기 위해 적용하는 대체 조치입니다. 패치가 지원되지 않는 오래된 장비를 별도 망으로 분리해 보호하는 것이 그 예입니다.

62443-2-1의 요구사항 구조

보안 프로그램은 8개의 SPE로 구성됩니다. 조직 체계와 구성원 교육부터 네트워크·장비·데이터 보호, 사용자 접근 통제, 사고 대응과 백업·복구까지 운영 보안의 전 영역을 다룹니다.

의

조직 보안

요구사항 11개

조직이 시스템의 위험에 걸맞은 보안을 갖추고 대응할 준비가 되도록 하는 영역입니다. 보안의 책임 체계와 구성원의 역량을 조직 차원에서 갖춥니다.

자산소유자 관점 보안프로그램 도입 및 운영

자산소유자가 보안 프로그램을 처음 도입해 운영에 이르기까지의 흐름입니다. 도입 결정부터 위험평가, 요구사항 선별과 수행을 거쳐 보안 프로그램을 확정하고, 이후에는 평가·검토·재평가를 반복하며 프로그램을 운영해 나갑니다.

그림에서 상자를 누르면 설명이 여기 나옵니다.

62443-2-1에서 파생되는 파트

62443-2-1의 요구사항을 수행하는 과정에서 다섯 개 파트가 파생됩니다. 패치 관리, 서비스 조달·계약, 위험평가 방법, 시스템 보안수준, 보안 개발 절차의 관점에서 각 파트로 이어집니다.

62443-2-3
패치 관리
제어시스템 환경의 패치 관리. 를 검증하고 설치하는 요구사항을 실제로 어떻게 수행할지 안내하는 문서입니다. 62443-2-1의 패치 관리 요구사항을 이행할 때 참조합니다.
62443-2-4
서비스 조달·계약
의 요구사항. 유지보수, 시스템 통합 같은 서비스를 맡기는 업체가 지켜야 할 보안 요구사항을 정한 문서입니다. 서비스를 계약할 때는 부속서 A의 대응표를 통해 62443-2-1의 요구사항이 이 표준의 보안 요구사항으로 연결됩니다.
62443-3-2
위험평가 방법
시스템 설계를 위한 보안 위험평가. 62443-2-1은 적용할 요구사항을 선별하고 위험을 감수할 수 있는 수준까지 낮추기 위해 위험평가를 요구합니다. 이 위험평가를 수행하는 구체적인 절차와 방법이 이 표준에 수록되어 있습니다.
62443-3-3
시스템 보안수준
시스템 보안 요구사항과 보안 수준. 시스템의 위험수준을 완화하기 위해 적용하는 기술적 보안조치와 보안수준을 정한 정식 표준입니다. 시스템이나 제품을 조달할 때는 부속서 A의 대응표를 통해 62443-2-1의 요구사항이 이 표준의 보안 요구사항으로 연결됩니다.
62443-4-1
보안 개발 절차
제품 보안 개발 생명주기 요구사항. 제품이 안전한 개발 절차를 거쳐 만들어졌는지를 확인하는 기준이 되는 문서입니다. 62443-2-1의 안전한 개발·지원 요구사항을 이행할 때 참조합니다.

참고

제·개정 이력

2010-11-10

발행

2024-08-07

개정

규제별 요약

구성

62443-2-1이란?

62443-2-1의 적용 원칙

정책·절차 중심

선별 적용