IEC 62443-4-2
IEC 62443-4-2의 정의부터 표준이 다루는 네 유형의 컴포넌트, 핵심개념, 영역과 유형으로 짜인 요구사항 구조, 보안 능력 등급이 정해지는 방식, 주체별 활용 관점까지 차례로 소개합니다.
구성
62443-4-2란?
문서 개요
| 정식 명칭 | Part 4-2: Technical security requirements for IACS components |
|---|---|
| 문서 지위 | IS(정식 국제표준) |
| 주요 대상 | , , |
| 적용 범위 | 을 이루는 입니다. , , , 네 가지 유형에 대해, 일곱 개 기반 요구사항별로 갖춰야 할 기술 요구사항과 의 보안 능력 등급까지를 범위로 합니다. |
| 목적 | 가 정해진 에 해당하는 위협을 완화할 수 있도록, 가 제공해야 할 보안 능력을 규정하는 것을 목적으로 합니다. |
62443-4-2가 다루는 컴포넌트
네 유형 가운데 하나를 선택하면 설명이 표시됩니다.
산업 공정을 직접 감시하거나 제어하도록 설계된 전용 입니다. 여러 프로그램을 설치해 사용하는 컴퓨터와 달리 저장 공간이 작고, 외부에서 접속할 수 있는 통로도 몇 가지로 한정됩니다. 자체를 조작하기보다 외부에서 연결해 설정하고 프로그래밍합니다. 공정에 필요한 동작을 정해진 시간 안에 처리하도록 만들어진 전용 소프트웨어가 탑재됩니다.
62443-4-2의 핵심개념
CR·REComponent Requirement · Requirement Enhancement
요구사항과 요구사항 강화
요구사항은 제품이 갖춰야 할 보안 기능을 정한 기본 조항입니다. 요구사항 강화는 그 위에 더 높은 수준을 더하는 추가 조항이며, 둘을 어떻게 조합하느냐가 제품이 도달할 수 있는 을 결정합니다. 조항 번호는 시스템 단위 보안 요구사항을 정한 62443-3-3의 번호에 맞추어 붙어 있습니다. 대응하는 시스템 요구사항을 찾아갈 수 있게 하려는 것이며, 그래서 번호가 중간에 비거나 순서대로 이어지지 않는 자리가 생깁니다.
SL-CCapability Security Level
보안 능력 등급
보안 능력 등급은 제품이 갖춘 보안 능력의 수준을 0에서 4까지의 값으로 나타낸 것입니다. 일곱 개의 보안 요구사항 영역마다 어느 정도 수준까지 요구사항을 충족했는지에 따라 정해집니다. 이 표준이 정하는 것은 제품이 갖춘 능력입니다. 특정 자리에 필요하다고 설정한 목표 등급이나 운영 중에 실제로 달성된 등급은 이 표준이 다루지 않습니다.
62443-4-2의 요구사항 구조
전체에 적용되는 네 가지 제약사항
아래 요구사항 전체를 읽고 적용할 때 함께 지켜야 하는 제약사항입니다. 개별 조항처럼 충족 여부를 가리는 대상이 아니라, 요구사항을 다루는 방식에 놓인 전제입니다.
- 유지
보안을 위해 적용한 조치가 설비의 을 잃게 해서는 안 됩니다.
- 보완 대책
제품 혼자 충족할 수 없는 요구사항은 시스템이 무엇을 해야 하는지 제품 문서에 기술합니다.
- 최소 권한
사용자에게 필요한 만큼만 권한을 부여하려면 권한이 충분히 세분화되어 있어야 합니다. 제품은 그렇게 나뉜 권한을 에 맞게 부여할 수 있어야 하며, 필요한 경우 누가 무엇을 했는지 개인 단위로 확인할 수 있어야 합니다.
- 개발 프로세스
모든 제품은 62443-4-1이 정한 안전한 개발 절차에 따라 개발하고 지원해야 합니다.
보안 영역과 유형별 요구사항 구성
각 칸의 숫자는 해당 보안 영역에서 그 자리에 정의된 기본 요구사항과 강화 요구사항을 합한 개수입니다. 왼쪽의 영역 이름을 선택하면 아래에 설명이 표시됩니다.
| 공통 요구사항 | 소프트웨어 애플리케이션 | 임베디드 | 호스트 | 네트워크 | |
|---|---|---|---|---|---|
| FR 1 식별 및 인증 통제 | 20 | · | · | · | 4 |
| FR 2 사용 통제 | 18 | 2 | 4 | 4 | 4 |
| FR 3 시스템 | 13 | 1 | 9 | 10 | 9 |
| FR 4 데이터 기밀성 | 5 | · | · | · | · |
| FR 5 데이터 흐름 제한 | 1 | · | · | · | 5 |
| FR 6 이벤트 적시 대응 | 3 | · | · | · | · |
| FR 7 자원 가용성 | 10 | · | · | · | · |
FR 1 식별 및 인증 통제
기본 요구사항 14개 · 강화 요구사항 10개
시스템이나 에 접근을 허용하기 전에 모든 사용자를 확인하는 영역입니다. 여기서 사용자는 사람만이 아니라 소프트웨어와 까지 포함하며, 확인이 완료되기 전에는 접근을 허용하지 않아야 한다는 점이 핵심입니다.
보안 능력 등급이 정해지는 방식
등급은 보안 영역마다 따로 매겨집니다
하나의 제품이 어떤 영역에서는 높은 등급을, 다른 영역에서는 낮은 등급을 갖습니다. 그래서 제품의 보안 능력은 하나의 값이 아니라 일곱 개의 등급 값으로 표기됩니다.
표기 예시
등급마다 충족해야 할 조항이 정해져 있습니다
각 조항에는 기본 요구사항이 있고, 그 위에 요구사항 강화가 추가되어 있는 경우가 있습니다. 각 항목이 어느 등급부터 필요해지는지는 조항마다 정해져 있습니다.
| 등급 1 | 등급 2 | 등급 3 | 등급 4 | |
|---|---|---|---|---|
| 조항 A · 기본 요구사항 | ✓ | ✓ | ✓ | ✓ |
| 강화 1 | ✓ | ✓ | ✓ | ✓ |
| 강화 2 | ✓ | ✓ | ✓ | ✓ |
| 강화 3 | ✓ | ✓ | ✓ | ✓ |
| 조항 B · 기본 요구사항 | ✓ | ✓ | ✓ | ✓ |
| 강화 1 | ✓ | ✓ | ✓ | ✓ |
| 조항 C · 기본 요구사항 | ✓ | ✓ | ✓ | ✓ |
| 강화 1 | ✓ | ✓ | ✓ | ✓ |
- 등급 1
조항 A의 기본 요구사항만 충족하면 됩니다.
- 등급 2
기본 요구사항에 강화 1까지 충족해야 합니다.
- 등급 3
기본 요구사항과 강화 1에 강화 2까지 충족해야 합니다.
- 등급 4
기본 요구사항과 강화 1, 강화 2에 강화 3까지 모두 충족해야 합니다.
62443-4-2의 관점별 활용
- 운영 관점
을 소유하고 운영하는 주체입니다. 제품이 운영에 들어간 뒤 그 을 유지하고 보안 위반에 대응할 책임은 에게 있습니다. 누구에게 어떤 권한을 부여할지와 같이 시스템마다 달라지는 사항은 제조사가 미리 정할 수 없어 가 직접 정하게 되므로, 제품이 그러한 설정을 수용할 수 있는지 확인하는 데 이 표준을 활용할 수 있습니다.
- 시스템 통합 관점
여러 제품을 결합해 하나의 시스템으로 만들고, 각 제품이 요구된 대로 연계되어 작동하도록 책임지는 주체입니다. 시스템에 필요한 보안 수준을 갖추려면 어떤 제품을 선정해야 하는지 판단하는 데 이 표준을 활용할 수 있습니다. 개별 제품에 어느 정도의 보안 능력을 요구할지 정하고, 그 조건에 맞는 제품인지 확인하는 데 사용합니다.
- 제품 개발 관점
하드웨어나 소프트웨어 제품을 만드는 제조자입니다. 목표로 삼은 보안 수준에 필요한 기능을 확인하는 데 이 표준을 활용할 수 있습니다. 제품 안에 반드시 있어야 하는 기능인지, 다른 장비와 연동해 충족해도 되는 기능인지 판단하는 기준으로도 사용합니다.