C-19 운영체제, 응용프로그램, 펌웨어 등에 대한 안정성이 확인된 최신 버전의 소프트웨어 사용 및 기술지원이 종료된 제품 미사용

가이드라인 원문

항목	내용
항목코드	C-19
점검내용	제어시스템 구성요소의 운영체제, 응용프로그램, 펌웨어 등이 안정성이 확인된 최신 버전 S/W 사용 여부및해당S/W의기술지원종료여부점검
점검대상	점검대상및판단기준
판단기준	양호: 제어시스템구성요소가사용하는운영체제,응용프로그램,펌웨어등이기술지원이종료되지않은 최신제품을사용하는경무
판단기준	취약: 제어시스템구성요소가사용하는운영체제,응용프로그램,펌웨어등이기술지원이종료되었거나, 최신버전이아닌경무
조치방법	제어시스템구성요소가사용하는운영체제, 응용프로그램,펌웨어등이기술지원이종료되지않은최신 버전업데이트설정

운영체제, 응용프로그램, 펌웨어 등에 대해 안정성이 확인된 최신 버전의 소프트웨어를 사용하고 기술지원이 종료된 제품을 미사용하는 것은 제어시스템의 안정적인 운영을 위한 필수적인 보안 활동입니다.

기술지원이 종료된 소프트웨어는 새로운 취약점이 발견되어도 조치가 불가능하며, 이로 인해 지속적인 보안 위협에 노출됩니다.

이 항목은 제어시스템에서 사용하는 운영체제, 응용프로그램, 펌웨어 등이 기술지원이 종료되지 않은 최신 버전으로 운용하도록 하여 안정적인 제어시스템 운영이 가능하도록 하기 위함입니다.

보안 위협 시나리오:

기술지원 종료 제품의 취약점
- 기술지원이 종료된 S/W에 취약점 발견 시 조치 불가능
- 해당 취약점의 지속적 노출
- 악성코드 감염 및 침해 사고 발생
Microsoft Windows 7 지원 종료 사례
- ‘20. 1. 24. 이후 Microsoft Windows 지원 종료
- 업데이트, 문제 관련 기술지원, 보안업데이트 미수행
- 지속적인 보안 위협 노출
보안 업데이트 중단
- 새로운 취약점에 대한 패치 제공 안 함
- 알려진 취약점 악용 가능성 증가

Step 1) 최신 버전 사용 여부 확인

제어시스템 구성요소 현황을 통해 제어 H/W, 정보시스템, 네트워크 장비에서 사용하는 운영체제, 펌웨어가 제조사에서 제공하는 최신 버전이 맞는지 확인하고, 제어 S/W가 제조사에서 제공하는 최신 버전이 맞는지 확인합니다.

제조사에서 제공하는 최신 버전이 아닌 경우, 이에 대한 사유(제조사 공식 의견)가 안정성 확보이며, 해당 버전이 취약점이 없는 경우 양호한 것으로 판단 가능

Step 2) 기술지원 종료 여부 확인

Step 1)에서 확인한 버전이 제조사에 확인하여 기술지원 종료 예정이 없는지 확인합니다.

제어시스템에서 사용하는 운영체제, 펌웨어, 응용프로그램 등이 기술지원 종료 예정일 경우, 이에 대한 대응방안(업데이트 일정 수립, 별도 기술지원 계약 등) 수립을 권고

운영체제, 응용프로그램, 펌웨어 등에 대해 안정성이 확인된 최신 버전의 소프트웨어를 사용하고 기술지원이 종료된 제품을 미사용하여 제어시스템의 안정적인 운영을 보장해야 합니다.