규제별 요약

Industrial communication networks — IT security for networks and systems

IEC 62443의 이해

산업 제어시스템의 보안을 다루는 국제표준 시리즈 IEC 62443 시리즈의 정의부터 필요성, 구성, 주요 대상, 파트 간 관계까지 차례로 소개합니다.

규제 유형
표준
소관
국제전기기술위원회

IEC 62443 시리즈란?

공장과 설비를 움직이는 산업 제어시스템의 보안을 다루는 국제표준 시리즈입니다.

산업 제어시스템은 공장 현장의 제어 장비만을 뜻하지 않습니다. 산업 공정을 안전하고 안정적으로 운영하는 데 영향을 주는 제어 장비와 소프트웨어, 그리고 이를 운영하고 관리하는 사람까지 모두 포함합니다.

이러한 산업 제어시스템의 보안을 체계적으로 다루기 위해 국제자동화학회 ISA와 국제전기기술위원회 IEC가 함께 개발한 국제표준이 IEC 62443 시리즈입니다.

IEC 62443이 하나의 시리즈로 만들어진 이유

산업 제어시스템의 보안은 시스템을 운영하는 기업 혼자서는 이룰 수 없습니다. 장비를 만드는 기업과 시스템을 구축·유지보수하는 기업이 각자의 자리에서 보안을 갖추어야 하므로, IEC 62443은 여러 역할을 아우르는 하나의 시리즈로 만들어졌습니다.

IEC 62443 시리즈의 필요성

산업 제어시스템은 사이버 공격이 물리적 피해로 직결되는 시스템입니다. 정보 보호를 중심으로 설계된 일반 IT 보안 방식만으로는 안전과 설비 보호라는 산업 제어시스템 고유의 보안 요구를 충분히 다룰 수 없습니다.

보안 관점 비교: 일반 IT 시스템 VS 산업 제어시스템

항목일반 IT 시스템산업 제어시스템
보안 피해의 성격정보 유출과 금전적 손실이 중심입니다.사람의 안전, 환경, 설비, 제품 품질까지 피해가 미칩니다.
보안 우선순위정보의 기밀성이 최우선입니다.사람과 설비의 안전이 최우선입니다.
보안 조치보안 위협 시 시스템 운영을 중단합니다.안전 기능과 제어 기능은 끊기면 안 되므로, 보안 조치가 이를 방해하지 않게 설계합니다.

운영 환경 비교: 일반 IT 시스템 VS 산업 제어시스템

항목일반 IT 시스템산업 제어시스템
고장 형태어떤 형태로 고장이 날지 일정하지 않습니다.정해진 동작만 반복하므로 고장 형태를 미리 예측할 수 있습니다.
처리 시간다소 늦어져도 결과가 같으면 크게 문제되지 않습니다.명령이 정해진 시간 안에, 매번 같은 시간에 실행되어야 합니다.
시스템 중단점검을 위해 서비스를 잠시 멈추기도 합니다.잠깐의 중단도 생산 차질이나 안전사고로 이어질 수 있습니다.
변경과 패치필요할 때 비교적 자유롭게 바꾸고 패치합니다.공정 안전에 영향이 없는지 더 엄격하게 검토하고 승인받아야 합니다.
점검 주기자주 점검하고 업데이트합니다.한 번 점검하면 다음 점검까지 기간이 훨씬 깁니다.
장비 수명교체 주기가 비교적 짧습니다.수십 년까지 쓰기도 해서, 제조사 지원이 끝난 장비가 현장에 남아 있는 경우가 많습니다.

산업 제어시스템을 위한 보안 표준, IEC 62443

이러한 차이 때문에 일반 IT 보안 방식을 그대로 적용할 수 없으며, 산업 제어시스템의 특성에 맞춘 전용 보안 표준이 필요합니다. IEC 62443은 이러한 요구에 대응하기 위해 마련된, 산업 제어시스템을 위한 국제 보안 표준 시리즈입니다.

IEC 62443 시리즈의 주요 대상

IEC 62443은 제품을 만드는 기업, 시스템을 구축하는 기업, 유지보수하는 기업, 시스템을 소유하고 운영하는 기업처럼 산업 제어시스템에 관여하는 모든 조직을 위한 표준입니다.
자산 소유자시스템 운영

산업 제어시스템을 소유하고 운영하는 조직입니다.

관련 파트

제품 공급자시스템/제품 생산

제어시스템에 들어가는 장비와 소프트웨어를 만들고 지원하는 조직입니다.

관련 파트

통합 서비스 제공자시스템 통합

제어시스템을 설계하고, 설치하고, 구성하고, 시험하여 자산 소유자에게 인도하는 조직입니다.

관련 파트

유지보수 서비스 제공자시스템 유지보수

운영 중인 제어시스템을 점검하고 지원하는 조직입니다.

관련 파트

IEC 62443 시리즈의 구성

IEC 62443 시리즈의 문서들은 다루는 주제에 따라 그룹으로 구성됩니다. 시리즈 전체에 공통되는 개념을 다루는 일반 그룹, 조직의 보안 정책과 절차를 다루는 정책·절차 그룹, 시스템 수준의 요구사항을 다루는 시스템 그룹, 개별 제품 개발의 상세 요구사항을 다루는 컴포넌트 그룹이 기본 네 그룹이며, 여기에 프로파일 그룹과 평가 그룹이 더해집니다.
  1. 1일반

    시리즈 전체에 공통으로 쓰이는 용어와 개념, 보안 모델을 다룹니다.

    상세보기
  2. 2정책·절차

    조직이 어떤 보안 체계를 만들고 어떻게 운영해야 하는지를 다룹니다.

    상세보기상세보기
  3. 3시스템

    제어시스템 전체를 하나로 보고, 어디에 얼마나 보안이 필요한지 정하는 위험평가와 시스템이 갖출 기술 요구사항을 다룹니다.

    상세보기
  4. 4컴포넌트

    시스템을 이루는 개별 제품을 안전하게 개발하는 절차와, 제품이 갖출 기술 요구사항을 다룹니다.

    상세보기상세보기
  5. 5프로파일

    특정 산업이나 용도에 필요한 요구사항만 골라 정리한 맞춤형 기준을 담기 위한 그룹입니다. 아직 발행된 문서는 없습니다.

    발행 문서 없음
  6. 6평가

    다른 파트의 요구사항을 제대로 충족했는지 평가하는 방법을 다룹니다.

파트 이름의 IS는 국제표준, TS는 기술사양서, TR은 기술보고서, PAS는 공개사양서를 뜻합니다. 국제표준으로 확정된 문서와 달리 나머지는 지침이나 참고 성격이 강합니다.

IEC 62443 시리즈의 파트 간 관계

자산 소유자의 보안 프로그램 요구사항을 정의한 62443‑2-1로부터 파생된 5개의 파트는 62443‑2-1의 요구사항을 이어받아 각각의 영역을 더 상세하게 정의합니다. 각 파트들은 서로의 내용을 참조하며 하나의 체계를 이루고, 62443‑1-1의 용어와 개념을 따릅니다.
62443-2-1 → 62443-2-3 요구사항 파생62443-2-1 → 62443-2-4 요구사항 파생62443-2-1 → 62443-3-2 요구사항 파생62443-2-1 → 62443-3-3 요구사항 파생62443-2-1 → 62443-4-1 요구사항 파생62443-3-3 → 62443-4-2 요구사항 파생62443-2-1 → 62443-1-1 직접 참조62443-2-3 → 62443-4-1 직접 참조구축 단계 패치 적용62443-2-4 → 62443-2-3 직접 참조위험평가 지원62443-2-4 → 62443-3-2 직접 참조목표 보안 수준 기준62443-3-3 → 62443-3-2 직접 참조4-1 개발 절차를 전제62443-3-3 → 62443-4-1 직접 참조목표 보안 수준 기준62443-4-2 → 62443-3-2 직접 참조4-1 개발 절차를 전제62443-4-2 → 62443-4-1 직접 참조등급 산정에 참조62443-2-2 → 62443-2-1 직접 참조62443-2-2 → 62443-2-3 직접 참조62443-2-2 → 62443-2-4 직접 참조62443-2-2 → 62443-3-2 직접 참조62443-2-2 → 62443-3-3 직접 참조62443-2-2 → 62443-4-1 직접 참조62443-2-2 → 62443-4-2 직접 참조62443-1-1용어, 개념, 모델62443-1-162443-2-1보안 프로그램 수립62443-2-162443-2-3제어시스템 환경의 패치 관리62443-2-362443-2-4서비스 제공자의보안 프로그램 요구사항62443-2-462443-3-2시스템 설계를 위한 보안 위험평가62443-3-262443-3-3시스템 보안 요구사항과 보안 수준62443-3-362443-4-1제품 보안 개발 생명주기 요구사항62443-4-162443-4-2컴포넌트의 기술 보안 요구사항62443-4-262443-2-2보안 프로그램 등급62443-2-2
출처 : ISAGCA Quick Start Guide

62443-2-1 자산소유자의 보안 프로그램 요구사항의 확장

62443‑2-1은 자산 소유자가 갖추어야 할 보안 프로그램의 요구사항을 정합니다. 보안 프로그램은 시스템을 운영하는 기업 단독으로 완성할 수 없기 때문에, 제품 개발, 시스템 구축 및 운영 등의 영역에서 62443‑2-1의 요구사항을 확장하여 더 상세하게 정한 파트가 필요합니다.

  • 위험평가

    제어시스템의 보안 위험을 평가하는 절차를 정한 파트입니다.

  • 시스템 보안 요구사항과 보안 수준

    위험평가로 정한 목표 수준에 맞는 시스템을 구축할 때 따르는 기술 요구사항입니다. 보안 프로그램이 요구하는 수준을 시스템이 실제로 갖추었는지 확인하는 기준이 됩니다.

  • 서비스 제공자 요구사항

    시스템을 구축하고 유지보수하는 업체가 자산 소유자의 보안 프로그램에 맞춰 무엇을 제공할 수 있어야 하는지 정합니다.

  • 제품 개발 절차

    자산 소유자가 요구하는 보안이 제품을 만드는 단계에서부터 갖추어지도록, 제품 공급자의 개발 절차를 정합니다.

  • 패치 관리

    보안 프로그램의 운영 활동 가운데 패치 관리 절차를 따로 상세하게 정합니다. 운영 중인 시스템의 취약점을 줄이는 데 쓰입니다.

62443‑3-3 시스템 보안 요구사항의 개별 제품 단위 확장

IEC 62443‑3-3은 여러 장비와 소프트웨어가 하나로 연결된 제어시스템 전체가 갖추어야 할 기술적 보안 요구사항을 정합니다. 시스템은 결국 개별 제품으로 이루어지므로, 시스템 수준의 요구사항이 제품 수준에서는 어떤 보안 능력으로 뒷받침되어야 하는지 정해져야 합니다.

  • 컴포넌트 보안 요구사항

    62443‑3-3의 시스템 요구사항을 개별 제품 단위로 옮겨 정한 파트입니다.