CISA, OT 제품 보안을 강화하기 위한 무료 가이드 배포

CISA Launched A Free Guide to Enhance OT Products Security

CISA Launched A Free Guide to Enhance OT Products Security

 

CISA and US and International Partners Publish Guidance on Priority Considerations in Product Selection for OT Owners and Operators

CISA and US and International Partners Publish Guidance on Priority Considerations in Product Selection for OT Owners and Operat

 

• 발표 배경
  • 미국 사이버보안 및 인프라 보안국(CISA)은 중요 인프라에 대한 증가하는 사이버 위협에 대응하기 위해 운영 기술(OT) 보안을 강화할 수 있는 가이드를 발표
  • 가이드 제목: "Secure by Demand: Priority Considerations for OT Owners and Operators when Selecting Digital Products"
  • 제품 선택 및 배치 과정에서 보안 강화를 위한 주요 고려사항을 제공
• OT 보안 필요성
  • 중요 인프라: 에너지, 교통, 상하수도와 같은 중요 인프라가 OT 시스템에 의존
  • 취약성 문제: 약한 인증, 제한적인 로깅, 구식 프로토콜 등으로 인해 사이버 공격 표적이 됨
  • 보안 설계 강화 필요성: 초기 설계 및 개발 단계에서 보안을 통합해 공공 안전과 사회적, 경제적 안정성을 확보해야 함
• 가이드 주요 내용
  • 12가지 주요 보안 요소
    1. 구성 관리(Configuration Management)
       • 시스템 설정 및 복구 능력의 보안 관리
       • 무결성 확인 및 신속한 복구 가능성 제공
    2. 기본 로깅(Baseline Logging)
       • 보안 및 안전 이벤트를 기록하는 기본 내장 로깅 기능
    3. 오픈 스탠다드(Open Standards)
       • 상호 운용성과 공급업체 종속 방지를 위한 개방형 표준 지원
    4. 소유권(Ownership)
       • 운영자가 시스템을 완전 통제할 수 있도록 지원
    5. 데이터 보호(Data Protection)
       • 데이터의 무결성과 기밀성을 보장
    6. 기본 보안(Secure by Default)
       • 기본 설정에서부터 보안을 내장하여 취약점 제거
    7. 보안 통신(Secure Communications)
       • 암호화된 통신으로 시스템의 무결성 검증
    8. 보안 제어(Secure Controls)
       • 악의적 명령에 대한 저항 및 안전 유지
    9. 강력한 인증(Strong Authentication)
       • MFA 및 역할 기반 접근 제어로 비인가 접근 제한
    10. 위협 모델링(Threat Modeling)
        • 제품 설계 시 위협 벡터 분석 및 대응 방안 포함
    11. 취약점 관리(Vulnerability Management)
        • 취약점 식별 및 패치 프로세스 구축
    12. 업그레이드 및 패치 도구(Upgrade and Patch Tooling)
        • 간단하고 안전한 패치 및 업그레이드 프로세스
• 글로벌 협력 및 법적 규제
  • 글로벌 프레임워크
    • EU의 Cyber Resilience Act와 같은 국제 규제와의 정렬
    • 미국 NSA, FBI, 영국 NCSC 등 여러 글로벌 기관 협력
  • Secure by Design 원칙
    • 제조사가 보안 기능을 설계와 개발 초기 단계에서 통합하도록 권장
• 보안 권고
  • 운영자 권장사항
    • OT 제품 구매 시 제조사의 보안 설계 원칙 및 국제 표준 준수 여부를 평가
    • CISA와 같은 기관의 가이드를 활용해 중요 인프라의 보안 강화
  • 공급업체 권장사항
    • Secure by Design 원칙 준수와 ISA/IEC 62443 및 NIST 사이버보안 프레임워크 채택
  • 보안 강화 노력
    • 장기적으로 적응 가능한 보안 시스템을 구축하고 최신 보안 위협에 대응
• 결론
  • OT 보안은 국가 및 글로벌 차원의 협력이 필수적
  • Secure by Design 원칙은 중요 인프라의 보안을 위한 핵심 전략