Information Security Management System Evaluation Criteria with availability for Korean Smart Grid

한국형 스마트 그리드의 가용성을 고려한 정보보호 관리체계 평가 기준 제안

Abstract

Smart Grid, which maximize the efficiency of energic utilization by applying Information and Communication Technology to Power Grid, requires high availability. Attacks, such as DDoS, which cause suspension of service and lead to social disruptions have recently been increasing so that systematic management over availability becomes more important. In this paper, we presents a new evaluation criteria of Korean Smart Grid by comparing availability assessment items of international standards specified in management system and then overcome the limitations of availability evaluation of existing information security management system.

스마트 그리드는 전력망에 정보통신 기술을 이용하여 에너지 이용 효율을 극대화 하는 것으로 고가용성을 요구한다. 최근 DDos공격 등 서비스중단을 통한 사회적 혼란을 야기하는 공격이 증가되고 있어 가용성에 대한 체계적인 관리가 요구된다. 한국형 스마트 그리드의 정보보호 관리체계 평가에 대해 본 논문은 가용성을 중심으로 하는 국제표준을 비교하여 새로운 평가항목을 제시하여 기존 정보보호 관리체계가 갖는 가용성 평가의 한계를 극복한다.

I. 서론

최근의 정보보안의 대표적인 사고는 서비스의 가용성을 저해시켜 사회적 혼란을 일으키는데 목적을 두고 있다. 2009년 7월 7일 좀비 PC를 이용하여 금융회사 및 공공사이트 등 국내 주요 사이트에 DDos(Distributed Denial of Service)공격을 가해 서비스 중단을 초래했으며, 3·4DDos공격(2011), 3·20대란(2013)까지 공격이 다발적으로 발생되었고 일부 PC의 경우 HDD의 자료가 삭제되는 등 심각한 시스템 가용성의 문제가 발생하였다.

전력·석유·가스 등의 에너지 분야 시설 및 도로·열차·항공·항만 등의 교통시스템, 상수도·하수도·댐 등의 수자원 분야의 기반시설은 정보통신기술이 집약된 제어시스템에 의해 운영 및 관리되고 있다. 제어시스템은 국가운영의 기반이 되는 산업시설의 상태를 실시간으로 모니터링하고 제어함으로써 국가기반시설들이 안전하게 운영되도록 지원하는 중추신경계로 볼 수 있다. 제어시스템은 별도의 프로토콜을 사용하고 필요시 암호화하여 처리하는 등의 통제가 이루어지고 있으며 국내의 경우 인터넷과 분리된 망을 사용하도록 통제하는 등 강력한 통제를 받고 있으나, 2010년 스턱스넷 (Stuxnet)악성코드에 의해 이란의 핵시설이 공격 받으면서부터 제어 시스템 또한 안전한 환경이 아니라는 것이 입증되었다.

스마트 그리드는 제어시스템을 비롯하여 정보통신기술의 융합으로 전력사용자와 전력공급자 사이에서 양방향 통신을 하기 때문에 시스템간의 접점이 증가되고 통신망과 통신양이 늘어나는 등 가용성에 대한 위협이 증대되었고 시스템 중단시의 파급력은 더 커지고 있다.

미국의 스마트 그리드의 목표는 노후된 전력설비의 교체로 비롯되었지만, 한국형 스마트 그리드는 에너지 및 환경위기에 대응하고 지식 기반 사회를 견인하기 위함임으로 IT기술을 이용한 악의적인 시스템중단과 재해에 따른 시스템중단 위협을 고려하여 평가기준이 필요하다.

앞서 언급한 바와 같이 가용성의 중요성은 점점커지고 있어 ISO(International Organization for Standardization)에서는 업무연속성 관리체계인 BCMS(Business Continuity Management System)가 2011년 국제표준으로 채택되었고 ICT에 대한 업무연속성 가이드라인도 2012년 국제표준으로 채택되었고 NIST(National Institute of Standards and Technology)에서는 2010년 5월 800-34(Contingency Planning Guide for Federal Information Systems)를 제정하였다.

우리나라는 대표적인 정보보호 관리체계인 K-ISMS(Information Security Management System)의 경우 기존의 IT시스템에 대한 일반적인 정보보호 평가도구이지만 주로 정보유출을 방지하기 위한 기밀성에 초점을 맞추고 있고, 기밀성에 대한 항목이 추상적인 표현이거나 포괄적인 내용이기 때문에 가용성이 가장 우선시 되는 스마트 그리드에 적용하여 가용성 부분을 보증하는 데에는 한계가 있다.

본 논문의 목적은 국내 정보보호 관리체계인 K-ISMS를 기반으로 하되 다른 국제표준의 가용성 통제항목과의 분석을 통한 도출된 항목을 채용하여 한국형 스마트 그리드에 적용될 정보보호 관리체계를 제안하고자 한다. 공공·행정기관을 대상으로 하는 G-ISMS의 경우 [Table 1.] 과 같이 2014년부터 K-ISMS로 통합될 예정이고 스마트 그리드가 공공·행정과 민간으로 나누는데 무리가 따르므로 본 논문에서는 다루지 아니한다.

Table 1. Combine G-ISMS with ISMS

II. 배경

2.1 K-ISMS

정보통신망 이용촉진 및 정보보호 등에 관한 법률에 의해 한국인터넷진흥원이 개발하고 국내에서 개발, 운영하고 있는 대표적인 정보보호 관리체계 인증 제도로써 2012년 2월 17일부터 정보통신서비스제공자 중 법률에서 정한 사업자는 의무적으로 인증을 받도록 하고 있다. 3·20사이버테러 이후 정부종합대책의 일환으로 미래창조과학부에서는 금융, 교육, 의료기관으로 확대할 것을 준비 중에 있다. 정보보호 관리체계 인증 기준은 정보보호관리과정(5단계, 12개 통제항목)과 정보보호대책(13개 분야, 92개 통제항목)의 두 가지로 구성되어 104개의 통제항목으로 평가가 이루어진다. 평가를 받는 조직은 104개의 통제 항목 중 해당되는 영역에 대해 평가를 받는다.

 Table 2. Valuation criteria of K-ISMS

2.2 ISO/IEC 27001

국제표준인 ISO/IEC 27001:2005는 대표적인 정보보보 관리체계(ISMS) 평가기준으로써 11개 분야, 39개 통제목적, 133개의 통제항목으로 구성되어 있으며 정보보호 관리체계가 PDCA(Plan - Do - Check - Act)의 사이클로 관리되고 있는지 평가가 이루어진다. 평가받는 조직은 K-ISMS와 같이 해당되는 업무영역에 한하여 평가가 이루어지게 된다. 현재 ISO/IEC JTC 1/SC 27에서 모바일 텔레워킹 통제항목 추가 및 위험평가 방법의 변경 등 전체적인 통제항목을 수정하는 개정이 진행 중이며 2013년 07월 FDIS(Final Draft Internal Standard)로 통과되었고 문제가 없으면 IS(Internal Standard)로 확정되어 개정될 예정이다. 본 논문에서는 2005버전으로 다룬다.

2.3 ISO22301

ISO22301:2011는 사업연속성관리체계(BCMS)의 국제표준으로 영국표준협회(BSI : British Standards Institution)에서 제정된 BS25999가 발전되어 2012년 5월 TC223(ISO에서 사업연속성 관리 분야를 논의하는 모임)에 의해 국제표준이 되었다. 적용범위는 다른 국제표준과 마찬가지로 민간/공공/비영리 등 광범위하게 적용이 가능하며, 조직의 프로세스가 이해관계자의 요구사항(지원, 파트너관리, 법규준수, IT가용성, 사고복구 등)을 PDCA사이클로 관리되고 있는지에 대해 초점을 맞추고 있다. ISO27031 제정에 영향을 주었고 우리나라에서는 주로 높은 가용성이 요구되는 금융권에서 인증을 추진/획득하고 있다.

2.4 ISO/IEC 27031

ISO/IEC 27031:2012는 ICT환경의 사업연속성 가이드라인(IRBC : Information and communication technology Readiness for Business Continuity)으로써 2011년 3월 ISO/IEC 27001을 제정한 SC(Standard committee)27에 의해 국제표준으로 제정되었다. IRBC는 사고예방, 사고감지, 대응, 복구, 개선을 원칙으로 하며 인력, 설비, 기술, 데이터, 프로세스, 공급자를 구성요소로 정의하고 있다. [Fig.1.]와 같이 IRBC는 BCMS 프로그램의 일부분으로 구성되어 있으며, ISMS 프로그램을 보완하고 뒷받침하는 관리 시스템이다.

Fig.1. PDCA model of IRBC

III. 가용성 평가항목

3.1 비교분석

2장에서 소개된 국내·외 표준은 각각의 적용대상과 목적에 따라 가용성 평가항목과 내용에 차이가 있다.

K-ISMS를 기반으로 각 표준별 가용성 평가항목의 비교 평가를 위하여 K-ISMS의 통제항목 중 스마트 그리드 환경에서 이행되지 않을 경우 서비스가 중단되는 등 가용성에 직접적인 영향을 미치거나 사업연속성을 위한 계획 및 유지관리에 필요한 항목인 가용성 정책/역할/책임, 사고대응 정책/역할/책임/테스트/조사/분석, 사고예방/처리/모니터링/보고, 백업 및 기타 보안조치 항목을 가용성 통제항목(17개)으로 정하고 다른 표준과 비교를 수행한다.[Table 3]

Table 3. Availability control items of K-ISMS

각 통제항목별 내용을 비교하였을 때 완전히 만족할 경우는 ‘충족‘으로, K-ISMS의 통제목표나 통제대상 일부가 부족하였을 경우 ’부분충족‘으로, 전혀 만족하지 못하였을 경우 ’미충족‘으로 구분한다.

3.2 K-ISMS, ISO27001

K-ISMS의 가용성 평가 수준을 평가하기 위하여 정보보호 관리체계의 국제표준인 ISO27001의 가용성 통제항목을 비교분석한 결과 [Table 4]와 같이 ISO 27001의 가용성 평가기준 10개 항목 모두 K-ISMS의 평가기준으로 충족(O)되고 있음을 확인하였다.

Table 4. Compare ISO27001 with K-ISMS

3.3 K-ISMS, ISO22301

K-ISMS의 가용성 평가 수준을 평가하기 위하여 BCMS인 ISO22301의 통제항목에 K-ISMS의 가용성 통제항목을 비교분석한 결과 [Table 5]와 같이 충족(O)이 13개, 부분충족이(△) 2개, 미충족(X)이 10개가 발견되어 K-ISMS로 가용성을 평가하는데 한계가 있음을 확인하였다.

Table 5. Compare ISO22301 with K-ISMS

3.4 K-ISMS, ISO27031

K-ISMS이 IRBC의 가용성 평가의 수준을 파악하기 위하여 ISO27031의 통제항목에 K-ISMS의 가용성 통제항목을 비교분석한 결과 [Table 6]과 같이 충족 (O)이 10개, 부분충족이(△) 15개, 미충족(X)이 27개가 발견되어 K-ISMS로 가용성을 평가하는데 한계가 있음을 확인하였다.

Table 6. Compare ISO27031 with K-ISMS

IV. 평가기준 도출 및 제안

4.1 방법론

평가기준을 도출하는 방법은 [Fig.2]와 같이 ISMS는 국내 K-ISMS와 국제표준인 ISO27001로 구성되어 있고, BCMS와 IRBC가 가용성에 대한 표준으로 제정되어 있으며 서로 파생되거나 지원하는 구조를 갖추고 있으므로 국내 표준인 K-ISMS의 가용성 평가기준에 국제표준인 ①ISO27001의 가용성 평가기준과 비교, ②IRBC의 가용성 평가기준과 비교, ③BCMS의 가용성 평가기준을 비교하여 충족되지 않는 항목들에 대하여 추가 평가 기준 후보군을 도출하고, 한국형 스마트 그리드의 가용성 위협을 식별하여 추가 평가 기준 후보군 가운데 가용성위협에 해당하는 항목을 선별하여 최종 평가 기준으로 도출한다.

Fig.2. Method for draw a valuation basis

4.2 추가 평가 기준 후보군

K-ISMS의 가용성 평가 기준과 ISO27001의 가용성 평가기준, BCMS, IRBC의 평가기준을 비교하여 추가 평가 기준 후보군으로 하되 중복되는 항목은 제외한다.[Table 7]

Table 7. Candidate of additional valuation activities

4.3 가용성 위협 도출

한국형 스마트 그리드의 가용성 위협을 도출하기 위해 [Table 8]과 같이 지능형전력망 정보의 보호조치에 관한 지침(지식경제부고시 제2012-129호)과 주요 정보통신기반시설 취약점 분석 평가 점검항목(안전행정부고시 제2012-54호)에서 가용성과 관련된 통제항목을 선별하였다.

Table 8. Threat of Korean Smart Grid in Availability

4.4 최종 평가 기준 도출

4.2장의 추가 평가 기준 후보군에서 4.3에서 도출된 스마트 그리드의 가용성 위협 항목을 그룹핑 하여 정리하면 K-ISMS의 구성요소 이외에 추가적으로 평가받아야 할 가용성 평가 항목이 도출된다.[Table 9]

Table 9. Additional valuation basis

기존 ISMS평가 기준에 최종 평가 추가 항목을 추가하면 최종 평가 기준이 된다. 각 항목의 세부 평가기준과 방법은 각각의 표준에서 정의하는 것을 따른다.

도출된 최종 평가 기준은 스마트미터, Concentrator, 각종 송배전 시설, EMS, EV, 과금 등 스마트 그리드와 관련된 모든 시스템에 적용하여 평가할 수 있다. 관련하여 자산의 한 종류로 스마트미터를 대상으로 하였을 경우 스마트 미터의 가용성 사고발생시 커뮤니케이션의 부재여부, 복구대응 계획에 스마트 미터를 문서화 하여 반영여부, 관련자에게 인식교육을 하였는지 등을 확인 할 수 있다.

V. 평가 기준 검증

4장에서 도출된 최종 평가 기준은 지능형전력망 정보의 보호조치에 관한 지침(지식경제부고시 제2012-129호)과 주요정보통신기반시설 취약점 분석 평가 점검항목(안전행정부고시 제2012-54호)의 가용성 관련된 기준을 [Table 10]과 같이 모두 충족하므로 정당성이 입증된다.

Table 10. Valuation basis mapping table

VI. 결론

본 연구는 국가기반시설인 스마트 그리드를 대상으로 스마트 그리드의 가용성 측면의 위협을 고려한 정보 보호 평가방법을 제시한 것으로 기존 정보보호 평가제도인 K-ISMS와 ISO27001의 평가항목의 한계를 극복한다.

본 연구는 발전사, 거래소, 제어망 사업자 등 스마트그리드와 관련된 모든 사업자에게 적용시킬 수 있으며, ISMS 인증을 취득한 후 가용성 확보를 목적으로한 BCMS 혹은 IRBC의 인증을 추가로 취득할 필요가 없도록 설계되어 있어 중복에 따른 업무 불편을 최소화 할 수 있다.