IEC 62443-3-3
IEC 62443-3-3의 정의부터 핵심개념, 표준이 다루는 제어시스템, 일곱 개 영역으로 짜인 요구사항 구조, 보안 능력등급이 정해지는 방식, 주체별 활용 관점까지 차례로 소개합니다.
구성
62443-3-3이란?
문서 개요
| 정식 명칭 | Part 3-3: System security requirements and security levels |
|---|---|
| 문서 지위 | IS(정식 국제표준) |
| 주요 대상 | , , |
| 적용 범위 | 산업자동화·에 적용되며, 일곱 개 요구사항 영역별로 이 갖추어야 할 기술적 요구사항과 그 요구사항을 어느 수준까지 갖추었는지를 나타내는 보안 능력등급을 범위로 합니다. |
| 목적 | 이 갖추어야 할 보안 요구사항을 등급별로 정해 두어, 와 가 자신의 제품과 서비스로 가 정한 보안 목표등급을 충족할 수 있는지 확인할 수 있게 하는 것이 목적입니다. |
62443-3-3의 핵심개념
시스템 요구사항과 요구사항 강화
System Requirement · Requirement Enhancement
시스템 요구사항은 이 갖춰야 할 보안 기능을 정한 기본 조항입니다. 요구사항 강화는 기본 조항 위에 요구 수준을 높이는 추가 조항이며, 기본 조항과 강화를 어떻게 조합하느냐에 따라 시스템이 도달하는 보안 능력등급이 정해집니다.
의 세 가지 유형
Target · Capability · Achieved Security Level
- 보안 목표등급(SL-T)
- 위험 평가 결과 이 이나 시스템에는 이 정도 보안이 필요하다고 정한 목표 수준입니다.
- 보안 능력등급(SL-C)
- 시스템이나 제품을 제대로 구성했을 때 별도의 보완 없이 스스로 갖출 수 있는 수준입니다.
- 보안 달성등급(SL-A)
- 설계를 마치거나 설치를 끝낸 시스템이 실제로 어느 수준에 이르렀는지 평가한 결과입니다.
이 표준이 정하는 것은 의 보안 능력등급입니다.
62443-3-3이 다루는 제어시스템
시스템은 낱개 장치가 아니라 결합된 전체입니다
제어기, 조작용 화면, 네트워크 장비, 소프트웨어처럼 따로 만들어진 제품들이 하나의 공정을 제어하도록 연결되고 구성된 결과가 시스템입니다. 이 표준이 시스템이라고 부를 때는 이렇게 결합된 전체를 가리키며, 그 안에 들어간 제품 하나하나는 컴포넌트라고 부릅니다.
평가 대상 전체는 으로 나뉘고, 은 로 이어집니다
을 매기기 위해 평가 대상으로 정한 전체 범위를 이 표준은 고려 중인 시스템이라고 부릅니다. 이 전체는 몇 개의 으로 나뉘고, 각 안에 시스템과 컴포넌트가 들어 있으며, 과 은 로 이어집니다.
- (zone)
같은 을 하거나 같은 장소에 있거나 같은 네트워크에 속한 것들을 하나로 묶어 경계를 그은 단위입니다. 한 안에는 여러 컴포넌트가 결합된 시스템이 있을 수도 있고, 낱개 컴포넌트만 있을 수도 있습니다.
- (conduit)
둘 이상의 을 잇는 을 묶은 단위입니다. 하나의 에 속한 들은 같은 보안 요구사항을 적용받습니다.
위 그림처럼 회사 업무망, 업무망과 제어망 사이를 분리하는 완충 , 운전원이 공정을 지켜보는 통제 센터, 공정을 실제로 제어하는 , 안전 기능을 맡는 이 각각 하나의 이 되고, 안에는 제어기·조작 화면·워크스테이션 같은 컴포넌트와 그것들이 결합된 시스템이 놓입니다. 을 어떻게 나눌지는 설비의 네트워크 구조와 위험 평가 결과에 따라 정해지므로 공장마다 다르며, 보안 목표등급도 이렇게 나눈 과 마다 따로 정해집니다.
의 보안 목표등급은 그 안의 시스템과 컴포넌트가 함께 충족합니다
에 보안 목표등급이 정해지면, 그 등급에 해당하는 요구사항을 안의 시스템과 컴포넌트가 모두 지켜야 합니다. 요구사항은 시스템이 어떤 기능을 갖추어야 하는지를 정한 것이므로, 그 기능을 어느 요소가 맡든 관계없이, 해당 요구사항이 적용되는 내 모든 대상에서 예외 없이 충족될 때 그 요구사항을 충족한 것으로 봅니다.
따라서 에 들어가는 제품 하나하나가 보안 목표등급의 모든 요구사항을 만족할 필요는 없습니다. 특정 요소가 충족하지 못하는 요구사항은 다른 요소가 대신 충족할 수 있으며, 그럼에도 충족되지 않는 요구사항은 물리적 통제나 별도 장비와 같은 으로 보강합니다.
62443-3-3의 요구사항 구조
공통 제약사항
요구사항 영역
FR 1 — 식별 및 인증 통제
기본 요구사항 13개 · 강화 요구사항 11개
접근하려는 주체가 누구인지 확인하기 전에는 시스템 접근을 허용하지 않는 영역입니다. 사람이든 소프트웨어든 든 시스템에 접근하는 모든 주체의 을 먼저 확인하고, 그 확인 수단이 우회되거나 도용되지 않도록 관리하는 것이 핵심입니다.
보안 능력등급이 정해지는 방식
등급은 요구사항 영역마다 따로 매겨집니다
하나의 시스템이 어떤 영역에서는 높은 등급을, 다른 영역에서는 낮은 등급을 가질 수 있습니다. 그래서 등급은 하나의 값이 아니라 일곱 개 영역의 순서대로 나열한 일곱 개의 값으로 표기됩니다.
표기 예시
등급마다 충족해야 할 조항이 정해져 있습니다
각 조항에는 기본 조항이 있고, 그 위에 요구사항 강화가 붙어 있는 경우가 있습니다. 각 항목이 어느 등급부터 필요해지는지는 조항마다 정해져 있으며, 아래는 그 방식을 두 개의 조항을 예로 들어 나타낸 것입니다.
| 등급 1 | 등급 2 | 등급 3 | 등급 4 | |
|---|---|---|---|---|
| 요구사항 A 기본 조항 | ✓ | ✓ | ✓ | ✓ |
| 강화 1 | ✓ | ✓ | ✓ | ✓ |
| 강화 2 | ✓ | ✓ | ✓ | ✓ |
| 강화 3 | ✓ | ✓ | ✓ | ✓ |
| 요구사항 B 기본 조항 | ✓ | ✓ | ✓ | ✓ |
| 강화 1 | ✓ | ✓ | ✓ | ✓ |
- 등급 1
요구사항 A의 기본 조항만 충족하면 되고, 요구사항 B는 이 등급에서 요구되지 않습니다.
- 등급 2
요구사항 A에 강화 1을 더하고, 요구사항 B의 기본 조항이 필요해집니다.
- 등급 3
요구사항 A는 강화 2까지, 요구사항 B는 강화 1까지 충족해야 합니다.
- 등급 4
요구사항 A는 강화 3까지 모두 충족해야 하며, 요구사항 B는 등급 3과 같습니다.
어떤 영역에서 특정 등급에 이르려면 그 영역에서 해당 등급에 표시된 조항을 모두 충족해야 하며, 높은 등급은 낮은 등급의 요구사항을 모두 포함합니다.
62443-3-3의 관점별 활용
- 운영 관점
산업자동화·을 소유하고 운영하는 주체입니다. 이 표준은 가 62443-2-1에 따른 보안 프로그램을 운영하고 있음을 전제로 합니다. 는 위험 평가로 정한 각 의 보안 목표등급이 시스템에 어떤 요구사항을 뜻하는지 이 표준으로 확인하여 시스템을 만드는 쪽에 요구하고, 만들어진 시스템이 그 요구를 충족하는지, 그리고 운영 중에도 여전히 충족하는지를 정기적으로 확인할 때 이 표준의 시스템 요구사항을 기준으로 활용할 수 있습니다.
- 시스템 설계 관점
여러 제품을 결합해 하나의 으로 만들고, 시스템이 요구된 등급에 맞게 구성되도록 책임지는 주체입니다. 보안 목표등급에 이르기 위해 시스템 설계가 충족해야 할 요구사항을 확인하고, 제품마다 갖춘 보안 능력등급을 비교해 어떤 제품으로 시스템을 구성할지 판단하는 데 이 표준을 활용할 수 있습니다.
- 제품 개발 관점
하드웨어나 소프트웨어 제품을 만드는 제조자입니다. 는 자신의 제품이 시스템의 보안 목표등급을 충족하는 데 어떤 보안 기능을 갖추고 있는지 평가하고, 그 결과를 제품의 보안 능력등급으로 제시하는 데 이 표준을 활용할 수 있습니다.