보안 내재화 중심의 OT 산업보안 강화 방안
OT Industrial Security Enhancement Focused on Security-by-Design
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
4차 산업 혁명과 함께 산업제어시스템 (Industrial Control System, ICS) 환경이 분산화, 초연결화, 지능화되면서 산업 운영 관리를 전담하는 OT(Operational Technology) 산업보안의 중요도가 커지고 있다. ICS 환경에서 보안 침해의 파급력과 우리나라 산업과 경제에 제조업이 차지하는 비중이 커짐에 따라 OT 산업보안 강화가 시급함을 알 수 있다. 종래의 산업제어시스템은보안을 내재화하여 설계되지 않았고, 수명 주기가 20년 이상인 노후화되고 자동 패치하기 어려운 시스템이다. 그리고 IT와 OT가 융합되는 디지털 혁신으로 인해 사이버 자산과 물리적 자산의공격 표면이 커졌고, 외부 ICS 제조사와 SI(System Integrator)사에 원격 액세스를 제공해야 해서위험성이 더욱 커짐에 따라 종래 방식의 한계점을 극복할 수 있는 견고한 보안 체계가 요구되었다. 최근 발생한 OT 보안 사고는 IT 취약점에서 시작되는 경우가 많았다. 종래 OT 환경은 에어갭 (Air gap) 기반의 망분리로 외부 공격이 제한적이지만, IT망 시스템과 연결됨에 따라 IT망 침해가 발생한 후에 OT망의 피해로 이어질 수 있기 때문이다. 본 논문에서는 OT 산업이 지니는 주요 보안 취약점 및 보안 공격 표면과 종래의 OT 보안 산업 정책을 분석하고, 이상징후를 사전에탐지할 수 있는 보안 내재화 기반의 센서를 활용한 OT 산업보안 체계를 강화할 수 있는 기술적방안과 정책을 제안한다.
Abstract
As the Industrial Control System (ICS) environment becomes decentralized, hyperconnected, and intelligent with the 4th Industrial Revolution, the importance of industrial security in the OT (Operational Technology) area dedicated to industrial operation management is increasing. Looking at the ripple effect of security breaches on the ICS environment and the share of manufacturing in Korea's industry and economy, it can be seen that enhancing OT industrial security is very important. The conventional industrial control system is not designed to internalize security, and is an aging system with a life cycle of 20 years or more and difficult to automatically patch. And due to the digital innovation that converges IT and OT, the attack surface of cyber assets and physical assets has increased, and the risk of external ICS manufacturers and SI (System Integrator) has been increased due to providing remote access system. A robust security system that can overcome these limitations is required. The recent OT security incidents mainly started with IT vulnerabilities. The OT environment is generally a closed network, and external attacks are limited due to network separation through an air gap. In this paper, we analyze the major security vulnerabilities and security attack surfaces of the OT industry, as well as the conventional OT security industry policies, and propose technical measures and policies using the security-by-designed sensors that can detect abnormal symptoms in advance to enhance the OT industry security system.
참고문헌 (29)
- 강수영, "위협모델링과 공통평가기준을 활용한 인포테인먼트의 안전한 업데이트 보안요구사항 분석", 정보보호학회논문지, 29(3), pp.613~628 (2019), 한국정보보호학회[DOI]
- 권오민, "디지털 전환 사회의 융합 보안 규제 개선 연구", 법이론실무연구, 7(4), pp.75~103 (2019), 사단법인 한국법이론실무학회
- 김슬기, "사이버보안 전문가 양성을 위한 연구", 한국정보통신학회논문지, 21(6), pp.1137~1142 (2017), 한국정보통신학회[DOI]
- 김우년, "산업 제어시스템 보안성 평가제도 동향", 정보보호학회지, 29(2), pp.5~15 (2019)
- 김일환, "초연결사회에서 개인정보보호법제 정비방안에 관한 연구", 성균관법학, 29(3), pp.35~74 (2017), 법학연구원[DOI]
- 박민정, "General Data Protection Regulation(GDPR) 시행에 따른 정보보호담당관(DPO)의 국내 정착 방안에 대한연구", 한국통신학회논문지, 43(2), pp.427~438 (2018), 한국통신학회[DOI]
- 반길주, "미·중 전략적 경쟁 시대 경제안보의 부상과 한국의 전략적 선택지", 전략연구, 29(2), pp.297~330 (2022), (사) 한국전략문제연구소[DOI]
- 심재윤, "스마트 팩토리 망에서 DPI와 자기 유사도 기술 기반의 OPC-UA 프로토콜 게이트웨이 융합 보안 기술", 정보보호학회논문지, 26(5), pp.1305~1311 (2016), 한국정보보호학회[DOI]
- 유하랑, "기술유출 피해규모 추정을 위한 핵심요인 도출연구", 석사, pp.2020
- 이응규, "ICT 공급망 공격 사례 연구", 정보화연구, 16(4), pp.383~396 (2019), 한국엔터프라이즈아키텍처학회[DOI]
- 이준호, "산업안보 개념 정립에 따른 국가 핵심기술 확대 필요성 연구", 한국산업보안연구, 11(1), pp.327~349 (2021), 한국산업보안연구학회[DOI]
- 일본 경제안전보장추진법의 주요 내용과 우리의 대응 과제, "전현희", KIET, ~, pp.2022(4) (2022)
- 정세윤, "한국통신학회지(정보와통신)", 한국통신학회지(정보와통신), 35(1), pp.12~20 (2017)
- 정소원, "해시를 활용한 사이버킬체인 기반의 사물인터넷 보안 정책", 디지털융복합연구, 16(9), pp.179~185 (2018), 한국디지털정책학회[DOI]
- 정재승, "중소기업 기술유출 및 기술인력 방지제도에 관한 연구", 통상정보연구, 17(3), pp.133~152 (2015), 한국통상정보학회[DOI]
- 조용순, "2019년 개정 영업비밀보호법 및 산업기술보호법에 대한 검토:민․형사적 구제를 중심으로", 시큐리티연구, (61), pp.333~352 (2019), 한국보안관리학회[DOI]
- 최동준, "제어 네트워크의 프로토콜을 이용한 보안 위협 연구", 한국전자거래학회지, 25(2), pp.99~108 (2020), 한국전자거래학회[DOI]
- 한국인터넷진흥원, "스마트공장 보안모델" (2021)
- 한은혜, "IT와 OT의 연계 증가에 따른 보안 취약점 개선 방안", 정보보호학회지, 30(5), pp.55~60 (2020)
- Choi, S., "Probabilistic attack sequence generation and execution based on MITRE ATT&CK for ICS datasets", 2021 Cyber Security Experimentation and Test Workshop (CSET), pp.41~48 (2021)
- Increasing sophistication of attacks and evolving threat landscape powering global industrial cybersecurity, Outlook 2022, "Frost & Sullivan", ~ (2022)
- "Industrial network market shares 2020 according to HMS Networks" (2020)[URL]
- "IEC 62443-4-2:2019, Security for industrial automation and control systems-Part 4-2: Technical security requirements for IACS components", ~ (2019)
- NIST, "SP 800-82 Rev. 3 (Draft), Guide to Operational Technology (OT) security", ~ (2022)
- Scoring 50 years of US industrial policy, 1970-2020, "PIIE", ~ (2021)
- A SANS 2021 survey: OT, "ICS cybersecurity", Sans, 2021
- 산업통상자원부, "법률 제17163호, 산업기술의 유출방지 및 보호에 관한 법률", ~ (2020)
- 산업통상자원부, "법률 제17907호, 중대재해 처벌 등에 관한 법률", ~ (2022)
- 산업통상자원부, "법률 제 18813호, 국가첨단전략산업 경쟁력 강화 및 보호에 관한 특별조치법", ~ (1881)