IEC 62443

구성

IEC 62443-1

일반(General)

• 개념 모델, 용어 등 일반적인 사항 규정

IEC 62443-1-1

Terminology, concepts and models

• ISA-62443 문서들에 사용되는 용어, 개념과 모델 소개
• 범용 사이버보안 요소들 중 산업 자동화 및 제어 시스템 (IACS: Industrial Automation and Control Systems)에 적용 가능한 부분과, 오직 IACS에서만 적용 가능한 개념과 모델에 대해서 정의
• 7개 FR(Foundational requirements) 정의: 식별 및 인증(FR1), 사용제어(FR2), 시스템 무결성(FR3), 데이터 기밀성(FR4), 데이터 제한성(FR5), 응답성(FR6), 자원가용성(FR7)

IEC 62443-1-2

Master glossary of terms and abbreviations

• 사용하는 용어와 약어의 마스터 용어집 정의
• 용어의 정의가 필요하다고 식별되면, IEC 및 ISO를 통해 해당 용어가 정의되어 있는지 확인해서, 관련이 있는 IEC 또는 ISO에 대한 정의가 있는 경우, 용도가 적합한 지 확인한 후 사용 여부를 결정하고,
• 기존 정의가 적합하지 않거나 해당 용도와 일치하지 않는 경우 대체 용어 고려 및 마스터 용어집에 추가 정의를 제안.
• 마스터 용어집에서 확인된 용어 및 신규 또는 대체 정의는 용어집에 포함될 수 있도록 IEC와 공유.
• 사용된 정의를 다시 설명하는 주석이 붙을 수 있음.

IEC 62443-1-3

System security compliance metrics

• IACS에 대한 우선 순위가 높은 시스템 사이버 보안 적합성 측정 기준을 정의
• 적합성 측정 항목
  • a) IEC 62443 시리즈의 다른 부분에 명시된 IACS 요구 사항을 준수하는지 측정
  • b) 안전한 IACS 제품 및 서비스 개발 관리
  • c) 시스템의 배치 수명 전반에 걸쳐 사용자 지정 서비스 품질을 모니터하고 관리
  • d) 시스템, 하위 시스템 및 구성 요소가 서비스에서 제거될 때 보안 처분 확인
  • e) 법규 준수 기관에서 사용할 시스템 측정 제공

IEC 62443-1-4

IACS security lifecycle and use-case

• IACS 보안 라이프사이클을 정의하고 실증 사례 설명
• 이 작업은 시리즈의 일부로 제안되었지만 아직까지 개발이 시작되지 않음

IEC 62443-1-5

IACS Protection levels

• 현재 개발 예정 중

IEC 62443-2

정책과 절차(Policy & Procedure)

• 산업제어시스템을 보유하는 조직의 보안 정책과 절차에 대해 규정

IEC 62443-2-1

Establishing an IACS security program

• IACS 사이버 보안 관리 시스템(CSMS: Cyber Security Management System)을 구축하는 데 필요한 요소를 정의하고, 이 요소를 개발하는 방법에 대한 지침 제공
• ISO/IEC 27001 및 27002에서 정의한 보안표준과 IACS 사이버 보안 관리에 대한 일관성을 유지하기 위해 작성.
• IACS와 일반 비즈니스 및 정보 기술 시스템 간 중요한 차이점 정의.
• IACS의 사이버 보안 위험이 HSE(Health, Safety and Environmental)에 영향을 미칠 수 있는 개념 소개

IEC 62443-2-2

Implementation guidance for an IACS security management system

• IACS 보안관리시스템의 구현 지침
• 설계 및 구현 후 보안관리시스템 운영 방안 기술
• 현재 개발 작업 진행 중

IEC 62443-2-3

Patch management in the IACS environment

• IT 기반과 다른 IACS 보안 환경에서 패치 관리를 위한 특수한 요구사항
• IACS 구축 완료 후, 패치 관리 단계상에서 자산 소유자와 IACS 제품 공급자에 대한 요구사항 기술
• 각 자산 소유자 및 제품 공급자 간 보안 패치에 관련된 정보 교환 시 활용 가능한 데이터 형식 제공

IEC 62443-2-4

Installation and maintenance requirements for IACS suppliers

• IACS 공급 업체의 설치 및 유지관리 요구사항

IEC 62443-3

시스템(System)

• 시스템 통합을 위한 산업제어시스템에 대한 보안기능 요구사항을 규정하고, 산업제어시스템의 위험을 줄이기 위해 필요한 강도를 가진 기본적인 요구사항(FR1 ~ FR7)을 선택하여 설계 및 구현 실시

IEC 62443-3-1

Security technologies for IACS

• IACS에 효과적으로 적용할 수 있는 다양한 사이버보안 도구, 완화 대응책, 기술에 대한 현재 평가(assessment) 제공
• 제어 시스템 중심의 사이버보안 기술의 여러 범주와 해당 범주에서 사용할 수 있는 제품 유형, 자동화된 IACS 환경에서 이러한 제품을 사용하는 데 따른 위협 및 취약점에 관련된 장·단점, 사이버보안 기술 제품 및 대책을 사용하기 위한 예비 권장사항 및 지침 등

IEC 62443-3-2

Security levels for zones and conduits

• 영역과 전송로에 대한 보안 수준
• IACS에 대한 시스템 구성(SuC: System under Consideration)을 정의하고, SuC를 구역으로 분할해서 위험을 평가하고, 보안 수준 목표(SL-T)를 수립하고, 보안 요구사항을 문서화하기 위한 요구사항을 정의

IEC 62443-3-3

System security requirements and security levels

• 시스템 보안 요구사항과 보안 수준
• IEC 62443-2-1에서 제시한 보안 프로그램이 수립되어 있다는 전제 하에 62443-2-1에서 요구하는 위험 평가 핵심 단계에서 실제로 필요한 서비스 및 기능을 식별

IEC 62443-3-4

Product development requirements

• 현재 개발 예정 중

IEC 62443-4

구성요소(Component)

• 산업제어시스템을 구성하는 제어기기, 장비, 애플리케이션의 보안을 취급하는 장비 업체를 위한 보증 요구사항과 기능 요구사항 규정

IEC 62443-4-1

Product development requirements

• 보안개발생명주기(SDL: Secure Development Lifecycle)를 정의하며 그에 따른 요구사항을 기술함
• 제품 공급자는 본 표준을 준수하는 프로세스를 통해 제품을 개발하고, 제품은 단일 부품이 될 수도 있고, 여러 부품으로 이루어진 시스템이 될 수도 있음

IEC 62443-4-2

Technical security requirements for IACS components

• IEC 62443-1-1에 기술된 7개 기초 요구사항 (FR)과 관련된 상세한 기술 제어 시스템 구성요소에 대한 요구사항(CR)을 제공

IEC 62443-4-3

Network devices

• 현재 개발 예정 중

IEC 62443-4-4

Application, data and functions

• 현재 개발 예정 중

참고 문헌

• 중소기업스마트공장 안전과보안, 건국대학교 한근희