개념
소비자 기기에서 공장으로 — 무엇이 달라지는가
레슨 2~4는 스마트 플러그와 스마트워치의 세계였다. 이제 PLC(프로그래머블 로직 컨트롤러), 산업용 스위치, 운전원 워크스테이션, 데이터 히스토리안의 세계로 넘어간다. 이 기기들을 묶어 산업 자동화·제어 시스템(IACS) 이라고 부르고, 여기의 보안을 다루는 국제 규격 시리즈가 IEC 62443이다.
같은 "보안 시험"인데 전제가 크게 다르다.
| 관점 | 소비자 IoT | 산업제어 |
|---|---|---|
| 최우선 속성 | 기밀성·개인정보 | 가용성과 안전 — 멈추면 생산·안전 사고 |
| 수명 | 수년 | 수십 년 |
| 업데이트 | 자동 업데이트 권장 | 공정 중단 없이는 어렵다. 검증 후 계획 정지 때 적용 |
| 시험 행위의 위험 | 기기가 재부팅될 뿐 | 운영 중 스캔이 제어기를 멈출 수 있다 |
| 보안 책임 | 제조사 중심 | 제조사·통합사·운영사가 나눠서 진다 |
네 번째 줄은 시험원에게 실제적인 경고다. 일반 IT에서 무심코 돌리는 공격적인 포트 스캔이 오래된 제어기의 통신 스택을 멈추게 할 수 있다. 그래서 산업제어 부품 시험은 운영 현장이 아니라 시험 환경에서 하고, 운영 현장 점검은 수동적 방법(트래픽 관찰) 위주로 한다.
시리즈 지도 — 누가 어느 파트를 책임지는가
IEC 62443은 번호대가 역할 에 대응한다.
62443-1-x 일반 용어·개념·모델
62443-2-x 정책·절차 자산 소유자(운영사)의 보안 프로그램, 서비스 공급자 요구
62443-3-x 시스템 3-2 위험 평가와 존·컨듀잇 설계 ← 통합사·운영사
3-3 시스템 보안 요구사항과 보안 수준 ← 레슨 6
62443-4-x 부품 4-1 보안 제품 개발 수명주기(프로세스) ← 제조사
4-2 부품 기술 보안 요구사항 ← 이 레슨모듈 25 레슨 6에서 제품을 보는 표준과 일하는 방식을 보는 표준 을 구분했다. 62443은 둘을 한 시리즈 안에 짝으로 둔다. 4-1은 제조사의 개발 프로세스를, 4-2는 그 결과물인 부품의 기술 기능을 본다. 이 둘이 짝이라는 점이 인증 제도에서 그대로 드러난다(뒤에서 다룬다).
일곱 가지 기반 요구사항(FR)
62443의 기술 요구사항은 모두 일곱 가지 기반 요구사항(Foundational Requirement) 아래로 분류된다.
| FR | 이름 | 약어 | 질문 |
|---|---|---|---|
| FR 1 | 식별 및 인증 통제 | IAC | 누구(사람·프로세스·기기)인지 확인하는가 |
| FR 2 | 사용 통제 | UC | 확인된 주체가 허용된 일만 하는가 |
| FR 3 | 시스템 무결성 | SI | 소프트웨어·데이터·통신이 변조되지 않았는가 |
| FR 4 | 데이터 기밀성 | DC | 엿볼 수 없는가 |
| FR 5 | 제한된 데이터 흐름 | RDF | 흘러야 할 곳으로만 흐르는가 |
| FR 6 | 이벤트 적시 대응 | TRE | 사건을 알아채고 대응할 수 있는가 |
| FR 7 | 자원 가용성 | RA | 공격을 받아도 필수 기능이 유지되는가 |
레슨 3의 EN 18031 메커니즘과 비교해 보면 대응이 거의 된다. ACM·AUM은 FR 1·2, SUM·SSM은 FR 3·4, TCM은 FR 5, NMM은 FR 6, RLM은 FR 7에 가깝다. 두 규격 계보는 다르지만 같은 질문을 다른 칸에 적는다. 수출용 산업 기기가 두 체계를 모두 만날 때 대응표를 만들 수 있는 근거다.
보안 수준 SL 1~4 — 공격자로 정의한 눈금
62443의 가장 특징적인 개념이 보안 수준(Security Level) 이다. 모듈 25에서 본 ASIL이 "사고의 심각도"로 등급을 매겼다면, SL은 "어떤 공격자를 막을 수 있는가" 로 등급을 매긴다.
| SL | 막아야 할 대상 |
|---|---|
| SL 1 | 우연하거나 부주의로 생기는 위반 |
| SL 2 | 단순한 수단·적은 자원·일반적인 기술·낮은 동기를 가진 의도적 공격 |
| SL 3 | 정교한 수단·중간 수준 자원·산업제어 특화 기술·중간 동기를 가진 의도적 공격 |
| SL 4 | 정교한 수단·풍부한 자원·산업제어 특화 기술·높은 동기를 가진 의도적 공격 |
SL은 한 숫자로 끝나지 않는다. 쓰임에 따라 세 가지로 나뉜다.
SL-T (Target) 이 존·컨듀잇이 도달해야 할 목표 수준 ← 위험 평가(3-2)가 정한다
SL-C (Capability) 이 부품·시스템이 갖춘 역량 수준 ← 4-2·3-3 시험이 확인한다
SL-A (Achieved) 실제 운영에서 달성된 수준 ← 현장 구성·운영이 만든다그리고 SL은 FR마다 따로 매긴다. 한 부품이 식별·인증(FR 1)은 SL-C 3인데 자원 가용성(FR 7)은 SL-C 2일 수 있다. 그래서 수준은 일곱 칸짜리 벡터로 표현된다. 62443-4-2의 각 FR 절이 "SL-C(IAC) 설명", "SL-C(UC) 설명"처럼 FR 약어를 붙여 시작하는 이유다.
시험소가 부품에 대해 판정하는 것은 SL-C다. SL-A는 현장 구성과 운영에 달려 있어 부품 시험으로 말할 수 없다. 성적서에 "SL 3 달성"이라고 쓰면 무엇을 판정했는지 모호해진다. "FR 1~7 각각의 SL-C" 로 적어야 한다.
4-2의 구조 — CCSC, CR, RE
CCSC — 공통 부품 보안 제약. 부품이 규격에 적합하려면 먼저 만족해야 하는 네 가지 전제다.
| CCSC | 요지 |
|---|---|
| CCSC 1 필수 기능 지원 | 보안 기능이 제어·안전 같은 필수 기능을 방해하지 않아야 한다 |
| CCSC 2 보완 대책 | 부품이 요구를 직접 충족하지 못하면 시스템 차원의 보완 대책을 문서화한다 |
| CCSC 3 최소 권한 | 필요한 최소 권한만 부여할 수 있어야 한다 |
| CCSC 4 소프트웨어 개발 프로세스 | 부품이 62443-4-1 을 따르는 프로세스로 개발되어야 한다 |
CCSC 1이 산업제어답다. 계정 잠금은 보안 기능이지만, 비상 상황에서 운전원 계정이 잠겨 설비를 멈추지 못하면 안전 사고가 된다. 보안 기능이 필수 기능을 막는지 가 시험 항목이 된다. CCSC 4는 4-2가 4-1과 짝이라는 것을 규격 문장으로 박아 둔 것이다.
CR — 부품 요구사항. 번호는 CR FR번호.일련번호 다. 목차에서 몇 개를 뽑아 보면
어떤 결의 요구인지 감이 온다.
| CR | 제목(요지) | FR |
|---|---|---|
| CR 1.1 | 사람 사용자의 식별과 인증 | 1 |
| CR 1.7 | 패스워드 기반 인증의 강도 | 1 |
| CR 1.11 | 인증 실패 시도 처리 | 1 |
| CR 2.8 | 감사 대상 이벤트 | 2 |
| CR 2.13 | 물리 진단·시험 인터페이스의 사용 | 2 |
| CR 3.4 | 소프트웨어와 정보의 무결성 | 3 |
| CR 3.14 | 부팅 과정의 무결성 | 3 |
| CR 4.3 | 암호 사용 | 4 |
| CR 5.1 | 네트워크 분할 | 5 |
| CR 7.1 | 서비스 거부 방어 | 7 |
| CR 7.6 | 네트워크·보안 설정 | 7 |
| CR 7.7 | 최소 기능 | 7 |
CR 2.13(물리 진단·시험 인터페이스)은 레슨 3의 GEC-5(불필요한 외부 인터페이스 없음)와 같은 문제를 다른 말로 한다. 계보가 달라도 디버그 포트는 어디서나 결함 이다.
RE — 요구사항 강화. 각 CR은 요구사항 본문, 근거와 보충 지침, 요구사항 강화(RE), 보안 수준 의 네 칸으로 서술된다. 기본 요구가 낮은 SL을 채우고, RE가 붙을수록 높은 SL에 대응한다. 어떤 CR과 RE 조합이 SL 1~4 중 어디에 필요한지는 부속서 B의 대응표 에 정리되어 있다. 시험 설계는 이 표에서 시작한다. 목표 SL-C가 정해지면, FR별로 시험해야 할 CR + RE 목록이 기계적으로 결정된다.
목표: FR 1 에서 SL-C 2
→ 부속서 B 에서 FR 1 행을 읽는다
→ SL 2 칸에 표시된 CR 1.x 기본 요구 + 해당 RE 목록을 뽑는다
→ 그 목록이 FR 1 의 시험 항목 범위다부품 유형별 요구 — SAR·EDR·HDR·NDR
4-2는 부품을 네 유형으로 나누고, 공통 CR 외에 유형에 따라 달라지는 요구 를 따로 둔다.
| 접두어 | 부품 유형 | 예(부속서 A) | 유형 특화 요구의 예 |
|---|---|---|---|
| SAR | 소프트웨어 애플리케이션 | 운전 화면 소프트웨어 | 모바일 코드, 악성코드 방어 |
| EDR | 임베디드 기기 | PLC, 지능형 전자장치(IED) | 물리 진단 인터페이스, 업데이트 지원, 물리 변조 저항, 신뢰 루트 프로비저닝, 부팅 무결성 |
| HDR | 호스트 기기 | 운전원 워크스테이션, 데이터 히스토리안 | 업데이트 지원, 악성코드 방어, 부팅 무결성 |
| NDR | 네트워크 기기 | 스위치, VPN 종단 장치 | 무선 접근 관리, 신뢰할 수 없는 네트워크 경유 접근, 존 경계 보호, 사람 대 사람 통신 제한 |
같은 요구 번호가 유형별로 접두어만 바꿔 나타난다. 예를 들어 "부팅 과정의 무결성"은 공통 CR 3.14로 있고, EDR 3.14·HDR 3.14·NDR 3.14로 유형별 요구가 다시 있다. 시험 대상이 어느 유형인지부터 확정 해야 시험 항목 목록이 닫힌다. 복합 기기(예: 네트워크 기능이 있는 PLC)는 두 유형의 요구를 모두 본다.
시험 설계 — CR 하나를 풀어 보기
CR 1.11(인증 실패 시도 처리)을 PLC(EDR)에 대해 시험한다고 하자.
| 단계 | 내용 |
|---|---|
| 요구 확인 | 연속 실패 횟수 제한과 그 이후의 처리(잠금 또는 지연) |
| CCSC 1 교차 확인 | 잠금이 비상 운전을 막지 않는가 — 로컬 비상 조작 경로가 별도로 있는가 |
| 인터페이스 전수 | 엔지니어링 도구 연결, 웹 진단 페이지, 산업용 프로토콜의 인증 기능 각각 |
| 경계값 | 허용 횟수 N−1, N, N+1회 실패 |
| 복구 | 잠금 해제 조건(시간·관리자 조작)과 그 경로의 인증 |
| 시험 안전 | 시험 환경에서만 수행. 운영 중 기기 대상 금지 |
두 번째 줄이 소비자 기기 시험에는 없던 칸이다. 보안 요구와 필수 기능 요구가 충돌하는 지점을 같은 시험 항목 안에서 확인한다. 모듈 25 레슨 8의 과제 3(안전과 보안의 충돌 찾기)을 산업제어에서 되풀이하는 셈이다.
인증 제도와 연결 — 4-1과 4-2가 왜 짝인가
62443-4-2 적합성을 제3자가 인증하는 대표적인 제도로 ISASecure 가 있다. 이 제도의 구조가 CCSC 4를 그대로 보여준다.
SDLA 제조사의 개발 수명주기가 62443-4-1 에 적합 ← 프로세스 인증
CSA 부품이 62443-4-2 에 적합 (애플리케이션·호스트·네트워크 기기)
EDSA 임베디드 기기 대상 인증
└─ CSA·EDSA 는 SDLA 로 인증된 프로세스로 개발됐을 것을 전제로 한다IEC의 적합성 평가 체계(IECEE)에서도 62443-4-2를 대상으로 한 인증이 운영된다. 국내에서도 KOLAS 인정범위에 62443-3-3·4-1·4-2를 넣은 시험기관이 생겼다. 어느 경로든 시험소가 내놓는 핵심은 같다. 목표 SL-C별 CR·RE 목록, 각 항목의 판정, 그리고 CCSC 충족 근거 다.
4-1의 성숙도 수준(ML 1~4)도 알아 둘 만하다. ML은 프로세스가 얼마나 문서화되고 반복· 측정되는가 를 본다. 흔한 오해가 "ML이 높으면 SL도 높다"는 것인데, 규격상 두 개념 사이에 정해진 대응은 없다. 다만 높은 SL-C를 목표로 하는 부품을 낮은 성숙도의 프로세스로 개발하면 그 역량을 꾸준히 유지 하기 어렵다는 것이 실무 권고다.
실무에서 왜 필요한가
산업제어 보안 시험에서 가장 흔한 실패는 수준을 한 숫자로 말하는 것 이다. 발주 사양서에 "SL 2 이상"이라고만 적히면, 제조사는 FR 1만 SL 2로 맞추고 FR 7은 SL 1로 두어도 "SL 2 부품"이라고 주장할 수 있다. QA가 사양서 리뷰 단계에서 FR별 SL-T 벡터 를 요구하면 이 모호함이 사라진다. 모듈 25 레슨 1에서 "어느 등급인가"가 확정되지 않으면 견적이 불가능하다고 했던 것의 산업제어판이다.
두 번째 실패는 CCSC 2(보완 대책)를 면책 조항처럼 쓰는 것 이다. 부품이 요구를 충족하지 못할 때 "시스템에서 보완하면 된다"고 적는 것은 허용되지만, 그 보완 대책이 무엇인지와 그 대책을 누가 구현할 책임을 지는지 가 문서에 없으면 레슨 6의 시스템 통합 단계에서 구멍이 된다. 제조사 QA가 보완 대책을 사용자 설명서의 보안 설정 가이드 로 넘겨 주는 것이 이 요구의 실질이다.
시험소 쪽에서는 시험 안전이 곧 품질이다. 시험 중 기기가 멈춘 것이 결함 발견인지 시험 방법 오류인지 를 구분하려면, 부하·스캔 강도와 기기 상태를 함께 기록해야 한다. 모듈 32 레슨 4의 원자료 설계가 여기서 사고 분석의 근거가 된다.