IEC 62443-2-4:2023

IEC 62443-2-4

IEC 62443-2-4의 정의부터 적용 대상인 두 서비스 제공자, 핵심개념, 요구사항의 구조, 62443-2-4를 활용한 계약 체결까지 차례로 소개합니다.

규제 유형

표준

소관

국제전기기술위원회

구성

62443-2-4란?

IEC 62443-2-4는 산업 자동화·제어시스템의 구축과 유지보수를 맡는 서비스 제공자가 자산소유자에게 제공할 수 있어야 하는 보안 절차, 즉 서비스 제공자 보안 프로그램의 요구사항을 정한 정식 국제표준입니다. 시스템을 구축하고 유지보수하는 업체가 어떤 보안 절차를 갖춰야 하는지를 다루는 표준입니다.

문서 개요

정식 명칭	Part 2-4: Security program requirements for IACS service providers
문서 지위	IS(정식 국제표준)
주요 대상	통합 , 유지보수 ,
적용 범위	을 구축하고 유지보수하는 과정에서 가 제공할 수 있어야 하는 보안 절차 요구사항입니다.
목적	가 갖추어야 할 보안 절차를 공통의 기준으로 정해, 는 필요한 절차를 확인하고 요구할 수 있게 하고, 는 자신의 을 만들고 개선할 수 있게 하는 것을 목적으로 합니다.

62443-2-4의 주요 적용 대상

62443-2-4의 주요 대상은 두 서비스 제공자입니다. 하나의 동일한 요구사항 집합이 두 제공자에게 똑같이 적용되지만, 활동하는 단계와 작업의 성격이 달라 같은 표준을 서로 다른 관점에서 활용합니다.

통합과 유지보수, 두 관점의 비교

	통합	유지보수
활동 시기	구축 단계입니다. 구축을 시작할 때부터 시스템이 운영을 시작하는 시점까지 활동합니다.	운영 단계입니다. 시스템의 운영 책임이 에게 이전되는 이후부터, 의 지원이 필요한 동안 활동합니다.
주요 활동	설계, 설치, 설정, 시험, 시운전을 거쳐 시스템을 에게 인계합니다.	패치와 백신 갱신, 장비 업그레이드와 교체·이전, 변경 관리, 비상 대응 계획 관리를 수행합니다.
표준의 활용	구축과 설정, 시운전, 과정의 보안 절차에 62443-2-4의 요구사항을 활용합니다.	운영 중인 시스템의 보안을 유지하고 갱신하는 절차에 62443-2-4의 요구사항을 활용합니다.
요구사항 적용	두 제공자에게 동일한 하나의 요구사항 집합이 적용됩니다. 이행하는 방식은 서로 다를 수 있습니다.

62443-2-4의 핵심개념

62443-2-4의 요구사항 체계는 네 가지 개념 위에 세워져 있습니다. 요구사항 전체를 하나로 묶는 틀이 보안 프로그램이고, 개별 요구사항은 기본과 강화의 층위로 서술되며, 그 이행 수준은 성숙도로 평가되고, 산업별 적용 범위는 프로파일로 조정됩니다. 따라서 이 네 개념은 요구사항이 어떻게 정의되고, 평가되고, 적용되는지를 이해하는 출발점이 됩니다.

SPSecurity Program

가 에게 제공할 수 있는 보안 서비스의 묶음과, 이를 뒷받침하는 정책·절차 전체를 가리킵니다.

BR·REBase Requirement · Requirement Enhancement

기본 요구사항과 강화 요구사항

기본 요구사항은 모든 의 바탕이 되는 요구사항으로, 일반적 수준에서 서술되어 이행 방식에 폭넓은 재량을 허용합니다. 강화 요구사항은 기본 요구사항을 더 구체적이고 엄격하게 만들어, 더 정교한 절차와 더 엄격한 적용으로 보안을 강화합니다.

MLMaturity Level

성숙도

요구사항을 수행하는 절차가 얼마나 체계적으로 갖춰져 있는지를 나타내는 1~4단계의 평가 수준입니다. 서비스 분야의 성숙도 평가 모델을 바탕으로 하며, 요구사항마다 따로 평가합니다.

요구사항의 선별 적용 체계

모든 요구사항이 모든 산업과 환경에 적용되는 것은 아닙니다. 산업 분야별로 필요한 요구사항만 골라 부분집합으로 정해 쓸 수 있게 한 장치가 입니다.

62443-2-4의 요구사항 구조

요구사항은 기능영역으로 나뉘어, 인력 배치부터 백업·복원까지 구축·유지보수 보안의 전 영역을 다룹니다. 각 요구사항은 바탕이 되는 기본 요구사항과, 이를 더 엄격하게 만드는 강화 요구사항의 층위로 구성됩니다.

의

인력 배치

기본 요구사항 7건 · 강화 요구사항 4건

는 보안 수칙을 모르는 인력의 행동에서 비롯되는 경우가 많습니다. 보안 책임을 알고 신뢰할 수 있는 인력만 업무에 투입되도록 관리하는 영역입니다.

62443-2-4를 활용한 계약 체결

자산소유자와 서비스 제공자는 계약을 맺을 때 62443-2-4를 공통 기준으로 사용합니다. 어떤 보안 절차를 어떻게 제공할지가 견적요청서에서 시작해 협상과 합의를 거쳐 정해지며, 두 역할은 이 과정에서 각자의 일을 맡습니다.

의 역할

보안 정책과 요구사항을 담은 견적요청서를 발행해 계약 절차를 시작합니다. 협상을 거쳐 어떤 절차를 제공받을지 과업 문서에 합의하고, 이행의 제약과 조건을 지정할 수 있습니다.

의 역할

견적요청서에 응답하고 협상에 참여해, 어떤 절차를 어떻게 제공할지 와 합의합니다. 합의한 절차의 구체적인 책임은 계약에 담기거나 계약에서 참조됩니다.

그림에서 상자를 누르면 설명이 여기 나옵니다.

가 보안 요구사항이나 이행 방법을 지정하지 않는 경우도 있습니다. 이때에는 가 62443-2-4에 정의된 절차를 기준으로 수행 방안을 스스로 정하거나 제안하여 진행합니다.

참고

제·개정 이력

2015-06-30

발행

2017-08-24

개정

2023-12-15

개정

규제별 요약