C-16 제어시스템에 대한 최신 업데이트, 보안패치를 안전하게 적용하기 위한 제조사 협력방안, 테스트방안 등의 절차 수립

가이드라인 원문

상세 설명

1. 항목 개요

제어시스템에 대한 최신 업데이트, 보안패치를 안전하게 적용하기 위한 절차를 수립하는 것은 향후 새로운 보안 취약점이 발견되었을 때 신속하고 안전하게 대응하기 위한 필수적인 보안 활동입니다.

일반적인 IT 환경과 달리 제어시스템은 높은 가용성을 요구하는 특징이 있어, 업데이트 및 보안 패치가 신속하게 이루어지지 않는 경우가 많습니다. 따라서 체계적인 절차 수립이 필수적입니다.

2. 왜 이 항목이 필요한가요?

이 항목은 최신 발견된 보안취약점에 대해 이를 조치할 수 있는 업무절차가 수립되어 있는지 점검하여 향후 새로운 보안 취약점이 발견되었을 때 대응할 수 있는지 확인하기 위함입니다.

보안 위협 시나리오:

1. 알려진 취약점 악용

   • 알려진 취약점이 존재하는 제어시스템 대상 침해 시도
   • 자동화된 악성코드 감염 위험

2. 대응 절차 미수립

   • 취약점 발견 시 신속한 대응 불가능
   • 업데이트 및 보안 패치 지연에 따른 보안 위협 노출

3. 가용성 요구와 보안의 균형

   • 높은 가용성 요구로 인한 업데이트 지연
   • 업데이트 및 보안 패치가 이루어질 때까지의 위협 완화 필요

3. 점검 대상

• 전체 제어시스템 구성요소
• 소프트웨어, 시스템(OS), 장비 등

4. 판단 기준

• 양호: 제어시스템 업데이트 및 보안패치 적용절차가 수립된 경우
• 취약: 제어시스템 업데이트 및 보안패치 적용절차가 수립되지 않은 경우

5. 점검 방법

공통 점검 절차

Step 1) 업데이트 및 보안패치 적용 방안 확인

제어시스템 구성요소의 납품 계약 문서, 기타 유지보수 계약 문서 등을 통해 업데이트 및 보안패치 적용 방안이 수립되어 있는지 확인합니다.

Step 2) 업데이트 및 보안패치 가능 여부 확인

수립된 보안패치 적용 방안에 따라 제어시스템 구성요소의 업데이트 및 보안패치가 가능한지 확인합니다.

6. 조치 방법

업데이트 및 보안패치 절차 수립

1. 제조사 협력방안 마련

   • 제조사와의 협력 절차 수립
   • 업데이트 제공 및 지원 범위 명시
   • 유지보수 계약에 보안패치 조항 포함

2. 테스트방안 수립

   • 테스트베드 또는 시험환경에서의 검증 절차
   • 영향성 검토 및 승인 절차
   • 롤백 계획 수립

3. 업무절차 문서화

   • 취약점 발견 시 보고 절차
   • 업데이트 적용 승인 절차
   • 테스트 및 적용 절차
   • 사후 검증 절차

4. 위협 완화 방안 적용

   • 업데이트 지연 시 위협 완화 대책
   • 보안 패치 적용 전 임시 조치 방안

7. 조치 시 주의사항

• 일반적인 경우 영향 없음
• 제어시스템의 높은 가용성 요구 고려
• 업데이트 전 반드시 테스트 환경에서 검증
• 운영 중인 시스템에 영향이 없도록 철저한 사전 준비

8. 참고 자료

• NIST SP 800-82: Guide to Industrial Control Systems Security
• IEC 62443: Industrial Communication Networks - Network and System Security

요약

제어시스템에 대한 최신 업데이트, 보안패치를 안전하게 적용하기 위한 제조사 협력방안, 테스트방안 등의 절차를 수립하여 새로운 보안 취약점 발견 시 신속하고 안전하게 대응할 수 있도록 해야 합니다.