IEC 62443-4-1: 산업용 제품의 보안 개발 수명 주기

IEC 62443-4-1이란?

IEC 62443-4-1:2018, Security for industrial automation and control systems, Part 4-1: Secure product development lifecycle requirements(산업 자동화 및 제어 시스템 보안, 4-1부: 보안 제품 개발 수명 주기 요구 사항)는 2018년 1월에 발행되었습니다. 표준 자체의 적용 범위에 따르면, 이 표준은 "산업 자동화 및 제어 시스템에 사용되는 제품의 보안 개발을 위한 프로세스 요구 사항을 규정"합니다. 표준이 정의하는 수명 주기는 보안 요구 사항 정의, 보안 설계, 보안 구현, 검증 및 확인, 결함 관리, 패치 관리, 제품 지원 종료를 포괄합니다.

이 표준은 제품의 개발자와 유지 관리자, 즉 컨트롤러, 임베디드 기기, 네트워크 장비, 호스트 소프트웨어, 애플리케이션을 만드는 제품 공급업체에 적용됩니다. 제품의 통합업체나 사용자에게는 적용되지 않으며, 이들에게는 시리즈의 다른 부가 있습니다. ISA는 이 시리즈를 ISA/IEC 62443으로 발행합니다.

이 표준은 기술적 보안 기능이 아니라 프로세스 요구 사항, 정책, 절차를 설명합니다. 구성 요소에 대한 기술 요구 사항은 IEC 62443-4-2에 있습니다.

IEC 62443-4-1의 8가지 프랙티스

요구 사항은 8가지 프랙티스로 묶이며, 각 프랙티스에는 요구 사항 ID 앞에 붙는 짧은 약어가 있습니다. ISA Global Cybersecurity Alliance에 따르면 요구 사항은 총 47개입니다.

프랙티스	요구 사항	다루는 내용
1. 보안 관리(SM)	SM-1 ~ SM-13	보안 프로세스의 계획과 운영: 책임, 전문성, 개발 환경 보안, 개인 키, 외부 제공 및 서드파티 구성 요소, 프로세스 검증, 지속적 개선
2. 보안 요구 사항 명세(SR)	SR-1 ~ SR-5	제품 보안 컨텍스트, 위협 모델, 제품 보안 요구 사항과 그 검토
3. 설계 기반 보안(SD)	SD-1 ~ SD-4	보안 설계 원칙, 심층 방어 설계, 설계 검토, 설계 모범 사례
4. 보안 구현(SI)	SI-1 ~ SI-2	보안 구현 검토와 보안 코딩 표준
5. 보안 검증 및 확인 테스트(SVV)	SVV-1 ~ SVV-5	요구 사항 테스트, 위협 완화 테스트, 취약점 테스트, 침투 테스트, 테스터 독립성
6. 보안 관련 이슈 관리(DM)	DM-1 ~ DM-6	제품의 보안 이슈 접수, 검토, 평가, 대응, 공개
7. 보안 업데이트 관리(SUM)	SUM-1 ~ SUM-5	보안 업데이트의 적격성 확인, 문서화, 적시 제공
8. 보안 지침(SG)	SG-1 ~ SG-7	심층 방어, 하드닝, 안전한 운영, 계정 관리, 폐기에 관한 사용자 문서

프랙티스 6: 보안 관련 이슈 관리(DM)

DM은 PSIRT가 자신의 업무로 인식하는 프랙티스입니다. ISAGCA에 따르면, DM의 프로세스는 심층 방어 전략에 따라 구성된 제품의 보안 관련 이슈를 처리하는 데 사용됩니다. 6개의 요구 사항은 이슈를 보고부터 종결까지 따라갑니다.

• DM-1: 보안 관련 이슈 통지 접수
• DM-2: 보안 관련 이슈 검토
• DM-3: 보안 관련 이슈 평가
• DM-4: 보안 관련 이슈 대응
• DM-5: 보안 관련 이슈 공개
• DM-6: 보안 결함 관리 프랙티스의 정기 검토

쉽게 말해, 보고를 접수하고, 확인하고, 평가하고, 수정하고, 사용자에게 알리고, 프로세스 자체를 검토하는 것입니다.

이 순서는 이름만 다를 뿐 취약점 관리 수명 주기이며, DM-1과 DM-5는 조정된 취약점 공개가 개입하는 지점입니다. 공개는 CSAF 권고문으로 게시할 수 있으며, 영향을 받지 않는 버전에 대해서는 VEX 문서를 함께 제공할 수 있습니다.

프랙티스 7: 보안 업데이트 관리(SUM)

SUM은 DM이 수정을 결정한 지점에서 이어받습니다. ISAGCA의 요약에 따르면, SUM의 프로세스는 제품의 하드웨어, 소프트웨어, 펌웨어에 대한 보안 업데이트가 회귀 테스트를 거쳐 적시에 사용자에게 제공되도록 보장합니다. 5개의 요구 사항은 다음과 같습니다.

• SUM-1: 보안 업데이트 적격성 확인
• SUM-2: 보안 업데이트 문서화
• SUM-3: 종속 구성 요소 또는 운영체제 보안 업데이트 문서화
• SUM-4: 보안 업데이트 제공
• SUM-5: 보안 패치의 적시 제공

SUM-3은 공급망까지 닿는 요구 사항입니다. 제품이 의존하는 구성 요소와 운영체제의 업데이트를 다룹니다. Linux 배포판을 기반으로 한 임베디드 제품이라면, 출시하는 패치의 대부분이 여기에 해당할 수 있습니다.

성숙도 수준

IEC 62443-4-1은 프로세스가 존재하는지가 아니라 얼마나 성숙했는지를 묻습니다. CMMI for Development를 기반으로 한 4단계 성숙도 수준을 사용합니다.

수준	의미
ML1 Initial(초기)	프로세스가 임시방편으로 수행되거나 문서화되어 있지 않음
ML2 Managed(관리)	프로세스가 문서화되어 있으며, 활동이 어떻게 수행되고 관리되는지 설명함
ML3 Defined(Practiced)(정의/실행)	프로세스가 문서화되고, 실행되며, 반복 가능함
ML4 Improving(개선)	성과와 효과성 지표를 활용해 프로세스가 지속적으로 개선됨

ML2와 ML3의 차이는 실행입니다. 문서로 작성된 DM 프로세스는 ML2일 수 있습니다. ML3는 프로세스가 실제로 실행되고 반복되었다는 뜻입니다. 이슈를 접수하고, 평가하고, 종결했으며, 업데이트를 제공했고, 이를 보여 주는 기록이 있어야 합니다.

인증

• ISASecure SDLA. Security Development Lifecycle Assurance 프로그램은 개발 조직의 수명 주기 프로세스를 IEC 62443-4-1에 따라 인증합니다. 평가는 적합성 평가 기관으로 인정받은 공인 SDLA 시험소가 수행합니다.
• 인증 기관과 IECEE CB Scheme. Applus+와 TÜV Rheinland 같은 시험 및 인증 기관은 50개가 넘는 국가에서 적용되는 IECEE CB Scheme을 포함해, 62443-4-1에 따라 공급업체를 평가하고 달성한 성숙도 수준을 명시합니다.

62443-4-1 인증서는 개별 제품이 아니라 공급업체의 개발 프로세스를 대상으로 합니다. 제품은 62443-4-2에 따라 별도로 평가됩니다.

62443-4-1과 시리즈의 다른 부의 관계

• IEC 62443-4-2, IACS 구성 요소의 기술적 보안 요구 사항: 제품이 무엇을 할 수 있어야 하는지를 다룹니다. 4-1은 제품을 어떻게 만들고 유지 관리하는지를 다룹니다.
• IEC 62443-3-3, 시스템 보안 요구 사항과 보안 수준: 시스템 수준에서의 동등한 기술 요구 사항입니다.
• IEC 62443-2-4, IACS 서비스 제공업체를 위한 보안 프로그램 요구 사항: 자산 소유자의 현장에서 제품을 설치하고 유지 보수하며, 공급업체의 보안 업데이트와 지침에 의존하는 통합업체와 유지 보수 제공업체를 대상으로 합니다.

IEC 62443-4-1과 PSIRT 업무의 대응 관계

PSIRT 활동	62443-4-1의 해당 요구 사항
취약점 보고 접수	DM-1
분류 및 분석	DM-2, DM-3
해결	DM-4, SUM-1
권고문과 공개	DM-5, SUM-2
서드파티 구성 요소 패치	SUM-3, 외부 제공 및 서드파티 구성 요소에 관한 SM-9 및 SM-10과 함께
수정 사항 릴리스	SUM-4, SUM-5
지표와 프로세스 검토	DM-6, SM-13

이 대응 관계는 요구 사항 제목을 기준으로 저희가 작성한 것입니다. 표준은 PSIRT를 직접 언급하지 않으며, 같은 업무가 FIRST의 PSIRT Services Framework와 ISO/IEC 30111에 설명되어 있습니다.

DM과 SUM의 증거로서의 SBOM

2018년판 요구 사항 제목에는 SBOM이 언급되지 않습니다. 하지만 산업용 제품의 보안 이슈 중 상당수는 공급업체가 직접 작성하지 않은 구성 요소, 즉 Linux 커널, OpenSSL, BusyBox, 프로토콜 스택 등에 있습니다. 새로운 권고문에 대해 DM-2와 DM-3에 답하려면 영향을 받는 구성 요소가 어떤 제품과 버전에 포함되어 있는지 알아야 합니다. SUM-3 업데이트를 문서화하려면 각 릴리스가 어떤 구성 요소 버전과 함께 출시되었는지 알아야 합니다. ML3에서는 이런 답변을 뒷받침하는 기록이 필요합니다.

수작업으로 작성한 구성 요소 목록이나 소스 트리 스캔은 금세 낡습니다. 릴리스를 만든 빌드에서 나온 SBOM은 빌드 자체가 기록되는 한 낡지 않습니다.

CRACI의 역할

CRACI는 IEC 62443에 따른 어떤 인증도 하지 않으며, 개발 프로세스를 대신 운영하지도 않습니다. CRACI의 기록은 그 일부에 대한 증거로 활용될 수 있습니다. 각 릴리스에 포함된 구성 요소 인벤토리, 그리고 출시된 빌드에 대한 새로운 취약점 모니터링입니다.

CRACI는 Yocto 빌드를 포함한 GitHub Actions 빌드를 CRACI 러너에서 실행하고, 각 작업이 실제로 가져온 패키지를 전이적 종속성, 캐시에서 복원된 패키지, 어떤 잠금 파일에도 나열되지 않는 종속성까지 포함해 기록합니다. 각 SBOM에는 완전성 상태가 표시되며 CycloneDX 또는 SPDX로 내보낼 수 있습니다. 모니터링 중인 SBOM은 지속적으로 재평가되고, 빌드 이력은 과거의 어떤 빌드에 취약한 종속성이 포함되어 있었는지 보여 주며, 인벤토리 보기는 어떤 버전이 어떤 제품에 배포되어 있는지 보여 줍니다. 외부에서 구매한 구성 요소의 공급업체 SBOM도 고객사의 빌드와 함께 모니터링됩니다. 취약점 추적과 PSIRT를 위한 CRACI를 참고하세요.

OEM에 제품이나 구성 요소를 공급하시나요? 공급업체를 위한 SBOM 가이드와 고객이 적용할 가능성이 높은 SBOM 품질 체크리스트를 참조하세요.

IEC 62443-4-1: 자주 묻는 질문

IEC 62443-4-1이란 무엇입니까?

IEC 62443-4-1:2018, Secure product development lifecycle requirements(보안 제품 개발 수명 주기 요구 사항)는 IEC 62443 시리즈 중 산업 자동화 및 제어 시스템에 사용되는 제품을 개발하는 공급업체의 프로세스 요구 사항을 정하는 부분입니다. 보안 요구 사항, 보안 설계, 구현, 검증 및 확인, 결함 관리, 패치 관리, 제품 지원 종료를 다룹니다.

IEC 62443-4-1의 8가지 프랙티스는 무엇입니까?

보안 관리(SM), 보안 요구 사항 명세(SR), 설계 기반 보안(SD), 보안 구현(SI), 보안 검증 및 확인 테스트(SVV), 보안 관련 이슈 관리(DM), 보안 업데이트 관리(SUM), 보안 지침(SG)입니다. 이들을 합쳐 47개의 요구 사항이 있습니다.

IEC 62443-4-1과 62443-4-2의 차이는 무엇입니까?

4-1은 공급업체가 제품을 개발하고 유지 관리하는 프로세스에 관한 것입니다. 4-2는 임베디드 기기, 네트워크 기기, 호스트 기기, 소프트웨어 애플리케이션 같은 구성 요소 자체의 기술적 보안 요구 사항을 정합니다. 공급업체는 일반적으로 개발 프로세스에 대해서는 4-1로, 특정 제품에 대해서는 4-2로 평가받습니다.

IEC 62443-4-1의 어떤 프랙티스가 취약점 관리를 다룹니까?

주로 보안 이슈의 접수, 검토, 평가, 대응, 공개를 다루는 프랙티스 6 보안 관련 이슈 관리(DM-1 ~ DM-6)와, 보안 업데이트의 적격성 확인, 문서화, 적시 제공을 다루는 프랙티스 7 보안 업데이트 관리(SUM-1 ~ SUM-5)입니다. 이것이 PSIRT가 하는 업무입니다.

IEC 62443-4-1의 성숙도 수준은 무엇입니까?

CMMI for Development를 기반으로 한 4단계입니다. ML1 Initial(임시방편 또는 문서화되지 않음), ML2 Managed(문서화된 프로세스), ML3 Defined 또는 Practiced(문서화되고, 실행되며, 반복 가능함), ML4 Improving(성과 지표를 활용해 프로세스를 지속적으로 개선함)입니다.

IEC 62443-4-1 인증은 어떻게 받습니까?

인정받은 인증 기관을 통해 받습니다. ISASecure의 SDLA 프로그램은 공인 시험소를 통해 개발 조직을 IEC 62443-4-1에 따라 인증하며, TÜV Rheinland와 Applus+ 같은 인증 기관은 IECEE CB Scheme을 포함해 달성한 성숙도 수준을 명시한 62443-4-1 인증서를 발급합니다.

IEC 62443-4-1은 SBOM을 요구합니까?

2018년판 요구 사항 제목에는 SBOM이 언급되지 않습니다. 여러 요구 사항이 외부에서 제공된 구성 요소와 종속 구성 요소 및 운영체제의 업데이트를 다루며, 각 릴리스에 포함된 구성 요소의 신뢰할 수 있는 목록은 이를 어떻게 처리하는지 보여 주는 현실적인 방법입니다.