instrumentation & control 디지털 계측제어계통의 보안 특성 …디지털i&c...

Instrumentation &

Control

Instrumentation &

Control

- 1/22 -제11회 기술정보회의

디지털 계측제어계통의 보안 특성

적용 및 규제 방향

2006.04.062006.04.06

한국원자력안전기술원한국원자력안전기술원

제제1111회회 기술정보회의기술정보회의 Session 8Session 8

Instrumentation &

Control

Instrumentation &

Control


순순 서서

현황 및 필요성현황 및 필요성

사 례사 례

적용 대상적용 대상

적용 개념적용 개념

보안 위험도 평가와 보안 정책 수립보안 위험도 평가와 보안 정책 수립

규제 방향규제 방향

결 론결 론

Instrumentation &

Control

Instrumentation &

Control


원전 계측제어계통 디지털화의 가속

그에 따른 안전성 검증 및 평가기술 도출 : S/W 확인 및 검증, H/W 기기검증 등

데이터 통신 기술의 적용, 그에 따른 정보의 공유 및 효율성 증대

안전과 비안전계통간, 발전소 I&C와 외부와의 통신망 연결에 따른 영향 가능성

Cyber Security의 중요성 급부상

논리적이고 지능적이고 계획적인 위협으로부터 고유기능 수행이 영향을 받아서는 안 된다.

원전 계측제어계통 디지털화의 가속

그에 따른 안전성 검증 및 평가기술 도출 : S/W 확인 및 검증, H/W 기기검증 등

데이터 통신 기술의 적용, 그에 따른 정보의 공유 및 효율성 증대

안전과 비안전계통간, 발전소 I&C와 외부와의 통신망 연결에 따른 영향 가능성

Cyber Security의 중요성 급부상

논리적이고 지능적이고 계획적인 위협으로부터 고유기능 수행이 영향을 받아서는 안 된다.

디지털 기술과 설계 개념의 변화디지털 기술과 설계 개념의 변화

1. 1. 현황현황 및및 필요성필요성

안전관련 디지털 계측제어계통이 외부의 위협으로부터 기능이 상실됨을 방지

디지털 I&C의 보안관련 설계, 운영, 평가기술의 정립이 필요

미국의 NRC 등에서는 이미 관련 요건(정보의 보안 측면)을 수립

Reg. Guide 1.152 rev. 2에서 시스템의 수명주기 동안 보안 특성을 반영하도록 규정

안전관련 디지털 계측제어계통이 외부의 위협으로부터 기능이 상실됨을 방지

디지털 I&C의 보안관련 설계, 운영, 평가기술의 정립이 필요

미국의 NRC 등에서는 이미 관련 요건(정보의 보안 측면)을 수립

Reg. Guide 1.152 rev. 2에서 시스템의 수명주기 동안 보안 특성을 반영하도록 규정

디지털 I&C 계통 보안 중요성 및 필요성 대두디지털 I&C 계통 보안 중요성 및 필요성 대두

Instrumentation &

Control

Instrumentation &

Control


1. 1. 현황현황 및및 필요성필요성 –– 계속계속

I&C 계통 설계 추세I&C 계통 설계 추세

비안전계통

PLC

Server

안전계통

PLC Panel

Panel Storage

PSTN

ExternalAdministrative

디지털 기기를 적용한 설계

네트워크를 통한 정보 공유

범용 S/W 적용 시도

Instrumentation &

Control

Instrumentation &

Control


타 시스템과의 연계

- 개방된 포트와 서비스

- Dial-up Modems

- 발전소 외부와의 네트워크 연결

적합하지 않은 하드웨어 및 소프트웨어 구성(Configuration)

운영체제의 특성

물리적 접근

인적 및 사회공학적 접근

타 시스템과의 연계

- 개방된 포트와 서비스

- Dial-up Modems

- 발전소 외부와의 네트워크 연결

적합하지 않은 하드웨어 및 소프트웨어 구성(Configuration)

운영체제의 특성

물리적 접근


디지털 I&C 계통의 잠재적 보안 취약성디지털 I&C 계통의 잠재적 보안 취약성

1. 1. 현황현황 및및 필요성필요성 -- 계속계속

문서화되지 않은 코드 (바이러스, 웜, Trojan Horse, Bomb 등)

운영체제 취약성의 악용

자동화된 tool 등에 의한 사용자 ID 및 패스워드 취득 (sniffing)

IP 주소 등의 속임 (Spoofing)

서비스 중단 (Denial of Service, packet flooding)

개방된 포트와 서비스의 비인가된 사용


문서화되지 않은 코드 (바이러스, 웜, Trojan Horse, Bomb 등)

운영체제 취약성의 악용

자동화된 tool 등에 의한 사용자 ID 및 패스워드 취득 (sniffing)

IP 주소 등의 속임 (Spoofing)

서비스 중단 (Denial of Service, packet flooding)

개방된 포트와 서비스의 비인가된 사용


Cyber 공격의 유형Cyber 공격의 유형

Instrumentation &

Control

Instrumentation &

Control


Confidentiality Functionality

Integrity Vs. Openness

Availability Expandability

Confidentiality Functionality

Integrity Vs. Openness

Availability Expandability

Cyber Security를 위한 개념 수립이 필요Cyber Security를 위한 개념 수립이 필요

Cyber Security 구조가 이루고자 하는 목적과 의도를 파악

Cyber Security를 위한 위험도 분석

Cyber Security에 대한 제반 사항의 문서화된 정책 수립

Cyber Security 구조가 이루고자 하는 목적과 의도를 파악

Cyber Security를 위한 위험도 분석

Cyber Security에 대한 제반 사항의 문서화된 정책 수립

보안 위험도 평가 및 보안 정책 수립이 필요보안 위험도 평가 및 보안 정책 수립이 필요

디지털 I&C 계통의 보안(Security)에 관한 기술을 분석

안전기능 수행에 영향이 없도록 디지털 I&C 계통이 설계, 운영, 평가되어야 함

디지털 I&C 계통의 보안(Security)에 관한 기술을 분석

안전기능 수행에 영향이 없도록 디지털 I&C 계통이 설계, 운영, 평가되어야 함

1. 1. 현황현황 및및 필요성필요성 -- 계속계속

Instrumentation &

Control

Instrumentation &

Control


2003년 미국 Davis-Besse 원전2003년 미국 Davis-Besse 원전

2. 2. 사례사례 (1) (1) 침해침해 사례사례

부지 내 네트워크에 대량의 데이터가 전송 행정망과 원전 전용망에 영향

외부와 연결된 네트워크를 통해 MS-SQL 서버의 취약점을 공격

안전변수지시계통(SPDS)과 발전소 공정컴퓨터의 운전이 정지

보안 요구사항에 대한 무시, 보안 특성에 대한 인식 부족

외부 연결 네트워크 서비스에 대한 문서화

보안 패치

발전소 네트워크와 사내 네트워크 사이에 방화벽 설치

발전소 네트워크로의 데이터에 대한 감시 및 필터링

적절한 주기의 패치 및 감사

Instrumentation &

Control

Instrumentation &

Control


The design shall permit the administrative control of access to safety system equipment.

These administrative controls shall be supported by provisions within the safety systems,

By provision in the generating station design, or by a combination thereof.

The design shall permit the administrative control of access to safety system equipment.

These administrative controls shall be supported by provisions within the safety systems,

By provision in the generating station design, or by a combination thereof.

IEEE Std. 603, 5.9 Control of AccessIEEE Std. 603, 5.9 Control of Access

Annex. E Communication IndependenceAnnex. E Communication Independence

IEEE Std. 7-4.3.2 Annex. EIEEE Std. 7-4.3.2 Annex. E

디지털 컴퓨터-기반 계측제어계통의 소프트웨어 검토에 관한 지침

소프트웨어 수명주기 각 활동에 보안 특성이 반영

디지털 컴퓨터-기반 계측제어계통의 소프트웨어 검토에 관한 지침

소프트웨어 수명주기 각 활동에 보안 특성이 반영

KINS/G-001 부록 13KINS/G-001 부록 13

2. 2. 사례사례 (2) (2) Existing Regulations and GuidanceExisting Regulations and Guidance

Instrumentation &

Control

Instrumentation &

Control


Reg. Guide 1.152 Rev. 2 (2006)

Criteria for Use of Computers in Safety Systems of Nuclear Power Plants

Reg. Guide 1.152 Rev. 2 (2006)


2. 2. 사례사례 (3) (3) 기준기준 및및 지침지침 분석분석

Computer-based systems must be secure from electronic vulnerabilities.

Should include physical access control, modems, connectivity to external

networks, data links, open ports, etc.

Security of computer-based system software relates to the ability to

prevent unauthorized, undesirable, and unsafe intrusions throughout the

life cycle of the safety system.

The security of computer-based system is established through

Designing the security features that will meet licensee’s security requirements in

the systems

Developing the systems without undocumented codes

Installing and maintaining those systems in accordance with the station

administrative procedures and the licensee’s security program.

Instrumentation &

Control

Instrumentation &

Control


Reg. Guide 1.152 Rev. 2 (2006)


Reg. Guide 1.152 Rev. 2 (2006)


2. 2. 사례사례 (3) (3) 기준기준 및및 지침지침 분석분석 -- 계속계속

-정확하고, 정밀하고, 완전함을 보장

-Scanning

-상용 OS 경우 제약사항이 존재

-코드, DB, 관련 기기에서 실행 가능한형태로 변환

-H/W, S/W 구성과 설치를 모두 포함

구현단계

-문서화되지 않은 코드, 악성코드 등이포함되지 않음을 보장

-문서화되지 않은 기능 또는 어플리케이션 포함되지 않음을 보장

-계통의 보안 요건은 설계 명세에 보안형상항목으로 변환

-Cyber security의 정성적 위험도 분석을 통한 접근 제어(물리적, 논리적)

설계단계

-문서화되지 않은 코드, 악성코드 등이포함되지 않음을 보장

-문서화되지 않은 기능 또는 어플리케이션 포함되지 않음을 보장

-보안의 기능적 성능과 계통 구성 정의

-모든 계통의 V&V는 보안요건을 포함

-COTS 사용시 취약성 명시

요건단계

-계통의 보안 역무 기술

-보안 평가 수행을 통한 계통의 보안 요건 수립

-원격접근 불가 및 단방향 통신

개념단계

개발 활동계통 특성

DG-1130과의 큰 차이

Instrumentation &

Control

Instrumentation &

Control


Reg. Guide 1.152 Rev. 2 (2006)


Reg. Guide 1.152 Rev. 2 (2006)


2. 2. 사례사례 (3) (3) 기준기준 및및 지침지침 분석분석 –– 계속계속

-안전계통의 수정을 개발절차로 간주되어 확인되고 검증되어야 함

-이동되는 계통이 안전계통 보안요건을 만족함을 확인

-품질보증, 사고대응, 감사 및 평가를 수립 및 수행

유지보수단계

-계통의 보안이 의도대로인지를 보장

-보안 운영환경에서 계통의 변경에 대한 영향을 평가운영단계

-현재의 안전계통 보안 기능의 대체 또는 제거의 영향에 대한 평가

-하드웨어와 데이터, 디스크 파괴, 완전한 덮어쓰기 등을 고려폐기단계

-디지털 계통 보안 프로그램 보유

-보안 평가 수행

-계통 및 발전소에 대한 특정 보안 수준의 수립

-목표된 환경에서 설치되고 시험되는지확인

-보안 요건에 계통에 적절히 반영되었는지 확인

설치

점검

인수시험단계

-보안 특성의 정확한 구현

-계통의 H/W, 통신, 비인가된 경로의시험

-계통의 보안 요건이 통합실행, 허용시험 등에 의해 검증되는지 확인

-계통의 보안 취약성에 대한 위험도 및신뢰성 확인

시험단계

개발 활동계통 특성

Instrumentation &

Control

Instrumentation &

Control


4개의 원전 사업자, NRC 및 National Lab (PNNL) 참여

발전소의 cyber security 평가 방법을 도출하기 위한 연구 수행

4개의 원전 사업자, NRC 및 National Lab (PNNL) 참여

발전소의 cyber security 평가 방법을 도출하기 위한 연구 수행

Assessment of plant cyber securityAssessment of plant cyber security

발전소의 필수 디지털 자산(Critical Digital Assets, CDA)을 선정 (네트워크, 시스템 구성 등)

각 CDA에 대한 cyber 취약성 도출

취약성의 악용에 대한 결과 분석

위험도 평가 및 위험도 완화 전략 수립

발전소의 필수 디지털 자산(Critical Digital Assets, CDA)을 선정 (네트워크, 시스템 구성 등)

각 CDA에 대한 cyber 취약성 도출

취약성의 악용에 대한 결과 분석

위험도 평가 및 위험도 완화 전략 수립

방법론방법론

네트워크, 소프트웨어, 하드웨어 구성 등에 대한 평가 수행

대부분의 CDA는 원자로 운전 또는 안전에 영향이 없었음

Cyber security 프로그램이 부족함

수명주기 동안의 cyber security 특성 적용이 부족함

네트워크, 소프트웨어, 하드웨어 구성 등에 대한 평가 수행

대부분의 CDA는 원자로 운전 또는 안전에 영향이 없었음

Cyber security 프로그램이 부족함

수명주기 동안의 cyber security 특성 적용이 부족함

결과결과

2. 2. 사례사례 (4) (4) NRC StudiesNRC Studies

Instrumentation &

Control

Instrumentation &

Control


3. 3. 적용적용 대상대상

TOE (Target of Evaluation)

비안전계통

PLC

Server

안전계통

PLC Panel

Panel Storage

PSTN

ExternalAdministrative

안전관련 Digital I&C System

비안전관련 Digital I&C System

연계 네트워크

Instrumentation &

Control

Instrumentation &

Control


3. 3. 적용적용 대상대상 –– IAEA GuidanceIAEA Guidance와와 비교비교

S

L I E

Zone 1 : Electro-technical systems and Instrumentation & Control

디지털 원자로보호계통, 디지털 공학적안전설비작동계통, 디지털 제어계통

Zone 2 : Process-computing systems

발전소 감시계통, 발전소 경보계통, 발전소 컴퓨터계통

Zone 3 : Administrative computer systems

Zone 4 : External Systems

Zone 1 : Electro-technical systems and Instrumentation & Control

디지털 원자로보호계통, 디지털 공학적안전설비작동계통, 디지털 제어계통

Zone 2 : Process-computing systems

발전소 감시계통, 발전소 경보계통, 발전소 컴퓨터계통

Zone 3 : Administrative computer systems

Zone 4 : External Systems

Application of the Zone-modelApplication of the Zone-model

Subzone 1B

Subzone 1A

Zone 1

Zone 2IT System

Zone 2

Subzone3A

Zone 3

Subzone 4B

Subzone 4B

Zone 4

Subzone3C

Subzone3B

Remote Access

NPP IT Systems

KINS의Cyber Security

적용 대상

IAEA Guidance on the Security of Computer Systems at Nuclear Facilities

Instrumentation &

Control

Instrumentation &

Control


해당 정보가 허가 받지 않은 사람 또는 기기에게 노출되는 것을 금지

해당 정보는 오직 허용된 대상만이 접근 가능

비인가된 대상에게는 노출되어서는 안 된다.

해당 정보가 허가 받지 않은 사람 또는 기기에게 노출되는 것을 금지

해당 정보는 오직 허용된 대상만이 접근 가능

비인가된 대상에게는 노출되어서는 안 된다.

기밀성 (Confidentiality)기밀성 (Confidentiality)

소프트웨어 수명주기 동안 소프트웨어의 노출 가능성

노출에 따른 문서화되지 않은 기능 또는 코드의 포함 가능성

네트워크 프로토콜의 연결성 공격

ISO/OSI의 모든 7계층에서 Information Leakage 가능함을 악용

소프트웨어 수명주기 동안 소프트웨어의 노출 가능성

노출에 따른 문서화되지 않은 기능 또는 코드의 포함 가능성

네트워크 프로토콜의 연결성 공격

ISO/OSI의 모든 7계층에서 Information Leakage 가능함을 악용

4. 4. 보안보안 특성특성 적용을적용을 위한위한 개념개념

소프트웨어 수명주기 동안 해당 소프트웨어가 외부에 노출되지 않도록 관리되고 평가

문서화되지 않은 기능 또는 코드로부터 노출되지 않음을 보장하는 관리 프로그램 수립

패스워드 관리 (암호화 등을 통한)

네트워크 프로토콜 및 하드웨어의 연결성 평가 접근제어

소프트웨어 수명주기 동안 해당 소프트웨어가 외부에 노출되지 않도록 관리되고 평가

문서화되지 않은 기능 또는 코드로부터 노출되지 않음을 보장하는 관리 프로그램 수립

패스워드 관리 (암호화 등을 통한)

네트워크 프로토콜 및 하드웨어의 연결성 평가 접근제어

개념

가능성

대응

Against Unauthorize

d Disclosure

Instrumentation &

Control

Instrumentation &

Control


정보 또는 소프트웨어가 완전하고 진짜라는 것을 보장

비인가자를 통해 수정되거나, 만들어지거나, 제거되지 않도록 정보가 적절히 보호됨을 보장

실수 혹은 고의적인 변경을 방지하기 위한 조치가 수립

정보 또는 소프트웨어가 완전하고 진짜라는 것을 보장

비인가자를 통해 수정되거나, 만들어지거나, 제거되지 않도록 정보가 적절히 보호됨을 보장

실수 혹은 고의적인 변경을 방지하기 위한 조치가 수립

무결성 (Integrity)무결성 (Integrity)

4. 4. 보안보안 특성특성 적용을적용을 위한위한 개념개념 -- 계속계속

소프트웨어 수명주기 동안 소프트웨어의 허가 받지 않은 변경 가능성

문서화되지 않은 기능 또는 코드가 포함될 가능성

네트워크를 통해 전송된 정보가 변경될 가능성

소프트웨어 수명주기 동안 소프트웨어의 허가 받지 않은 변경 가능성

문서화되지 않은 기능 또는 코드가 포함될 가능성

네트워크를 통해 전송된 정보가 변경될 가능성

소프트웨어 수명주기 동안 소프트웨어의 허가 받지 않은 변경이 없도록 관리

문서화되지 않은 기능 또는 코드가 포함되지 않음을 보장하는 관리 프로그램 수립

네트워크를 통해 전송된 정보의 완전성 및 정확성 평가

라우팅 제어 등을 통한 연결 무결성 확인

소프트웨어 수명주기 동안 소프트웨어의 허가 받지 않은 변경이 없도록 관리

문서화되지 않은 기능 또는 코드가 포함되지 않음을 보장하는 관리 프로그램 수립

네트워크를 통해 전송된 정보의 완전성 및 정확성 평가

라우팅 제어 등을 통한 연결 무결성 확인

개념

가능성

대응

Against Unauthorize

d Modification

Instrumentation &

Control

Instrumentation &

Control


정당한 사용자가 언제든지 정보와 서비스를 이용할 수 있음을 보장

대상 시스템이 수행할 수 있는 기능성을 보장하는 정도

정당한 사용자가 언제든지 정보와 서비스를 이용할 수 있음을 보장

대상 시스템이 수행할 수 있는 기능성을 보장하는 정도

가용성 (Availability)가용성 (Availability)

4. 4. 보안보안 특성특성 적용을적용을 위한위한 개념개념 -- 계속계속

알려진 취약성에 대하여 주기적인 보안 패치를 수행하지 않음으로 인해 발생 가능한

서비스 중단 (Denial of Service : DoS)

침해 여부를 확인하지 못한 채 시스템 운영

침해 후 대처방법의 부재

알려진 취약성에 대하여 주기적인 보안 패치를 수행하지 않음으로 인해 발생 가능한

서비스 중단 (Denial of Service : DoS)

침해 여부를 확인하지 못한 채 시스템 운영

침해 후 대처방법의 부재

주기적인 보안 패치를 위한 관리 프로그램 수립

네트워크에 대한 주기적 감시 및 로그(log)

시스템의 이중화

침해 후 (즉시) 복구를 위한 기술 및 절차의 수립

주기적인 보안 패치를 위한 관리 프로그램 수립

네트워크에 대한 주기적 감시 및 로그(log)

시스템의 이중화

침해 후 (즉시) 복구를 위한 기술 및 절차의 수립

개념

가능성

대응

Against Disruption of A

ccess

Instrumentation &

Control

Instrumentation &

Control


ToE의 잠재적인 보안 취약성을 도출하기 위한 보안 위험도 평가 수행

적절한 보안 정책(Security Policy) 및 보안 절차의 수립을 위한 척도

ToE의 잠재적인 보안 취약성을 도출하기 위한 보안 위험도 평가 수행

적절한 보안 정책(Security Policy) 및 보안 절차의 수립을 위한 척도

보안 위험도 평가 (Risk Assessment)보안 위험도 평가 (Risk Assessment)

위험의 심각도 및 가능성 수준을 정의

시스템과 계통의 안전성에 미치는 영향(매우위험, 위험, 중간, 낮은위험 등)의 분류

침해의 가능성(매우 빈번함, 빈번함, 가끔 일어남, 낮음 등)의 분류

각 대상에 대한 Cyber Security 취약성 및 평가항목의 도출

S/W 수명주기 동안 문서화되지 않은 기능 또는 코드가 포함되지 않음을 보장할 수 있도록 평가

시스템에 물리적, 논리적인 접근에 대한 평가 수행

하드웨어 및 소프트웨어의 각 수명주기에 걸쳐 보안 위험도 평가를 수행

위험의 심각도 및 가능성 수준을 정의

시스템과 계통의 안전성에 미치는 영향(매우위험, 위험, 중간, 낮은위험 등)의 분류

침해의 가능성(매우 빈번함, 빈번함, 가끔 일어남, 낮음 등)의 분류

각 대상에 대한 Cyber Security 취약성 및 평가항목의 도출

S/W 수명주기 동안 문서화되지 않은 기능 또는 코드가 포함되지 않음을 보장할 수 있도록 평가

시스템에 물리적, 논리적인 접근에 대한 평가 수행

하드웨어 및 소프트웨어의 각 수명주기에 걸쳐 보안 위험도 평가를 수행

방법론방법론

5. 5. 보안보안 위험도위험도 평가평가 및및 보안보안 정책정책 수립수립

Instrumentation &

Control

Instrumentation &

Control


디지털 I&C의 보안 목표를 정의

체계적인 방법에 의한 Cyber Security 계획을 포함

반드시 보호되어야 하는 자원(Target of Evaluation)을 정의

침해 예방, 보안 운영 및 관리, 절차, 침해 대응, 감사(audit), 보고, 교육 등 제반 사항에 대한

개념과 방향을 수립

보안 위험도 평가 수행을 위한 프로그램 수립

보안 사항이 계통의 안전성 또는 신뢰성에 중대한 영향이 미치는지 여부에 대한 고려가 필요

디지털 I&C의 보안 목표를 정의

체계적인 방법에 의한 Cyber Security 계획을 포함

반드시 보호되어야 하는 자원(Target of Evaluation)을 정의

침해 예방, 보안 운영 및 관리, 절차, 침해 대응, 감사(audit), 보고, 교육 등 제반 사항에 대한

개념과 방향을 수립

보안 위험도 평가 수행을 위한 프로그램 수립

보안 사항이 계통의 안전성 또는 신뢰성에 중대한 영향이 미치는지 여부에 대한 고려가 필요

보안 정책보안 정책

보안 정책에 부합하는 세부 표준 및 절차의 수립

보안 기술의 평가 및 시험을 위한 절차

주기적인 관리, 평가, 감사 등을 위한 세부사항 수립

보안 정책에 부합하는 세부 표준 및 절차의 수립

보안 기술의 평가 및 시험을 위한 절차

주기적인 관리, 평가, 감사 등을 위한 세부사항 수립

보안 절차 수립보안 절차 수립

5. 5. 보안보안 위험도위험도 평가평가 및및 보안보안 정책정책 수립수립 -- 계속계속

Instrumentation &

Control

Instrumentation &

Control


디지털 I&C 계통에 대한 Cyber Security의 목적과 방향을 수립

Cyber Security의 평가 대상 선정 (계통과 계통의 S/W, H/W 구성, 통신 프로토콜, 포트 등)

Cyber Security Requirements의 수립

각 계통에 대한 Cyber Security Level

보안 위험도 평가 및 분석

보안 심각도 수준 분석

보안 가능성 수준 분석

세부적인 취약성 및 평가 항목의 도출

설계 및 운영을 위한 문서화된 Cyber Security Policy, Cyber Security 절차 등의 수립

기술적 사항, 운영 및 관리적 사항의 도출

Cyber Security Policy 및 절차

품질보증 프로그램, 안전성분석보고서 등

보안 특성을 적용한 설계 수행 및 운영

디지털 I&C 계통에 대한 Cyber Security의 목적과 방향을 수립

Cyber Security의 평가 대상 선정 (계통과 계통의 S/W, H/W 구성, 통신 프로토콜, 포트 등)

Cyber Security Requirements의 수립

각 계통에 대한 Cyber Security Level

보안 위험도 평가 및 분석

보안 심각도 수준 분석

보안 가능성 수준 분석

세부적인 취약성 및 평가 항목의 도출

설계 및 운영을 위한 문서화된 Cyber Security Policy, Cyber Security 절차 등의 수립

기술적 사항, 운영 및 관리적 사항의 도출

Cyber Security Policy 및 절차

품질보증 프로그램, 안전성분석보고서 등

보안 특성을 적용한 설계 수행 및 운영

디지털 계측제어계통에 대한 Cyber Security디지털 계측제어계통에 대한 Cyber Security

6. 6. 규제규제 방향방향

Instrumentation &

Control

Instrumentation &

Control


디지털 계측제어계통의 Cyber Security 특성 적용을 위한 방향 제시

- 사례 및 기술 분석

- 보안 특성의 적용 대상을 구분

- 보안 특성 적용을 위한 기본 개념을 제시 (C.I.A)

- 보안 위험도 평가와 보안 정책의 수립 필요성 제시

지속적인 연구 및 조사를 통해 상세한 규제 방향을 제시할 예정

Backfit, 상세 기술적 사항 및 방법론에 대한 논의 필요

디지털 계측제어계통의 Cyber Security 특성 적용을 위한 방향 제시

- 사례 및 기술 분석

- 보안 특성의 적용 대상을 구분

- 보안 특성 적용을 위한 기본 개념을 제시 (C.I.A)

- 보안 위험도 평가와 보안 정책의 수립 필요성 제시

지속적인 연구 및 조사를 통해 상세한 규제 방향을 제시할 예정

Backfit, 상세 기술적 사항 및 방법론에 대한 논의 필요

Cyber Security of Digital I&C in NppsCyber Security of Digital I&C in Npps

7. 7. 결결 론론

Instrumentation &

Control

Instrumentation &

Control


질의

instrumentation & control 디지털 계측제어계통의 보안 특성 …디지털i&c...

Documents