제품 사이버보안 규격 시험 — IoT·무선기기·산업제어

학습 목표

이 모듈 한 줄 요약 — "법이 요구하고, 규격이 방법을 주고, 시험이 증거를 만든다". 공유기·스마트플러그·공장 제어기처럼 인터넷에 붙은 물건의 보안 시험을 다룬다. 출발점이 규격이 아니라 법이라는 것이 이 모듈의 특징이다 — 법이 "이것을 지켜라" 하고, 규격이 "그러려면 이렇게 하라" 하고, 시험이 "실제로 그렇다" 는 증거를 만든다.

모듈 25 레슨 8에서 자동차 사이버보안이 규격과 법의 두 층으로 움직인다는 것을 봤다. 이 모듈은 같은 구조를 자동차 밖의 연결형 제품 으로 넓힌다. 소비자 IoT 기기와 무선기기, 그리고 공장·발전소의 산업 제어 부품과 시스템이다.

EU 무선기기지침의 사이버보안 조항이 어떻게 EN 18031을 불러냈고 관보의 제한사항이 적합성 평가 경로를 어떻게 가르는지, 2026년 9월부터 신고 의무가 시작된 사이버복원력법이 이 구조를 어디까지 넓히는지를 먼저 지도로 세운다. 그다음 여러 나라 IoT 보안 제도의 공통 기준선인 ETSI EN 303 645를 시험 항목으로 옮기고, EN 18031 세 파트를 자산·메커니즘· 결정 트리·세 가지 평가로 판정하는 법을 실제 공개 성적서의 형식과 함께 익힌다. 마지막으로 IEC 62443의 부품 요구사항(4-2)과 시스템 요구사항(3-3)을 공격자 역량으로 정의한 보안 수준과 존·컨듀잇 모델로 검증한다.

이 모듈을 관통하는 문장은 하나다. 규격을 모두 통과해도 출시할 수 없는 설계가 있고, 부품을 모두 통과해도 뚫리는 시스템이 있다. 시험은 규격 조항의 합이 아니라, 법이 요구하는 결과와 실제 구성 사이의 간극을 드러내는 일이다.

완료 후 할 수 있는 것

• 필수 요구사항·조화 규격·적합성 추정의 관계를 설명하고, RED 3(3)(d)(e)(f)의 보호 대상과 EN 18031 파트를 짝지을 수 있다
• 제품이 RED 위임규정 대상인지 판정하고, 시행결정 2025/138의 제한 조항(패스워드·보호자 통제·금융 업데이트) 해당 여부로 자기적합선언과 NB 평가 경로를 가를 수 있다
• CRA의 신고 의무(24시간·72시간·14일/1개월)와 전면 적용일을 알고, 신고가 출시 전 시험이 아니라 운영 프로세스로 충족된다는 것을 설명할 수 있다
• EN 303 645의 13개 조항군에 증거 유형(기기 시험·문서 검토·운영 기록)을 붙이고, 권고 조항의 사유 기록 의무(5.0-1)를 적용할 수 있다
• TS 103 701의 ICS·IXIT와 개념·기능 평가로 시험을 설계하고, 영국 PSTI·국내 IoT 보안인증과의 대응표를 만들 수 있다
• EN 18031-1의 자산을 식별하고, 11개 메커니즘 31개 요구사항에 결정 트리로 적용 여부를 정해 개념·기능 완전성·기능 충분성의 세 평가로 판정할 수 있다
• 성적서의 P·F·N/A·N/E를 구분해 적고, 파생 모델 성적서에서 재시험할 요구를 차이 항목으로부터 고를 수 있다
• 개인정보 자산을 맥락에 따라 분류하고, 삭제·기록·사용자 알림 메커니즘과 완구·보육 기기의 보호자 통제를 시험할 수 있다
• 금융 기기의 업데이트 보호를 층별 무력화 매트릭스로 시험해 다층 보호 요구에 대한 증거를 만들 수 있다
• IEC 62443의 FR 17과 SL 14, SL-T·SL-C·SL-A를 구분하고, 부속서 B로 목표 SL-C에서 CR·RE 시험 범위를 뽑을 수 있다
• 부품 유형(SAR·EDR·HDR·NDR)과 CCSC를 적용해 보안 기능과 필수 기능의 충돌을 같은 시험 항목에서 확인할 수 있다
• 존·컨듀잇 모델을 그리고 FR별 SL-T와 SL-C의 격차를 표시해, 구성 변경·보완 대책·잔여 위험 수용으로 나누고 존 경계부터 시스템 시험을 설계할 수 있다

채용시장에서의 위치

2025년 8월 RED 위임규정 적용을 전후로 국내 시험기관들이 EN 18031·EN 303 645·IEC 62443 계열로 KOLAS 인정범위를 넓혔고, 수출 제조사들은 인증 대응 조직에 사이버보안 담당을 붙이기 시작했다. 공고에는 "RED 사이버보안(EN 18031) 대응", "IEC 62443 인증 경험", "CRA 대응", "OT 보안 진단"이 나란히 적힌다. 수요처는 세 곳이다 — 시험·인증기관의 시험원, 가전·통신·산업기기 제조사의 인증 대응 QA, 그리고 보안 컨설팅사의 규격 진단 인력이다.

이 영역에서 공급이 부족한 것은 침투 테스트 기술 자체보다 규제 문장과 규격 구조를 시험 설계로 번역하는 능력 이다. 관보의 제한 조항을 읽고 설정 화면 하나가 적합성 평가 경로를 바꾼다고 개발 초기에 말할 수 있는 사람, 결정 트리의 비적용 근거를 평가자가 받아들이는 형태로 쓸 수 있는 사람, 발주 사양서의 "SL 2 이상"을 FR별 SL-T 벡터로 바로잡을 수 있는 사람은 드물다.

산업제어 쪽은 더 얇다. IT 보안 경력자는 가용성과 안전이 우선인 환경의 시험 안전 수칙에 익숙하지 않고, 제어 엔지니어는 보안 규격 구조에 익숙하지 않다. 두 언어를 모두 쓰는 사람은 발전·수처리·제조 설비 프로젝트에서 곧바로 핵심 인력이 된다.

면접에서 힘을 갖는 답변은 "EN 18031 시험을 해봤다"가 아니라 "어느 지점에서 경로가 바뀌거나 판정이 흔들렸고, 그것을 어떻게 문서와 시험 설계로 막았는가" 다. 패스워드 생략 옵션을 요구사항 리뷰에서 걸러 NB 일정을 없앤 이야기, 파생 모델에서 부품 버전 차이로 GEC-1을 재시험한 이야기, 공용 계정 하나가 시스템 FR 1을 SL 1에 묶어 둔 것을 격차 표로 드러낸 이야기가 이 모듈의 성숙도를 보여준다.