• 정보보호학회지
• /
• 제32권5호
• /
• pp.21-25
• /
• 2022

디지털 트랜스포메이션(Digital Transformation)으로 인해 소프트웨어에 대한 의존성이 강화되면서 소프트웨어 공급망의 역할이 커지고 있다. 그러나 안전한 소프트웨어 개발 및 이용을 위한 소프트웨어 공급망 보안 관리는 사실상 어려운 실정이다. 공급망이 복잡해질수록 공급망 공격의 유형은 다각화되는 반면 공급망을 구성하는 공급업체 및 구성요소에 대한 식별 및 취약점 분석은 어려워지기 때문이다. 이에 저자는 국내외 소프트웨어 공급망 보안 관리를 위한 기술 동향에 대한 조사 분석을 수행하고 이를 기반으로 향후 적용할 수 있는 공급망 보안 관리 체계의 발전 방향에 대해 작성하였다.

• 정보보호학회지
• /
• 제32권5호
• /
• pp.7-14
• /
• 2022

2021년에 발생한 일련의 소프트웨어 공급망 공격으로 미국 연방 정부의 사이버보안 개선 정책이 가속됐다. 이중 소프트웨어 구성 정보를 유통하는 SBOM 정책은 SW 구성요소의 투명성을 강화하여, 이를 활용하는 공급자와 수요자의 보안 인식 개선에도 도움을 줄 것이 기대된다. 다만 SBOM으로 공급망 보안 위협을 완화하려면 해결해야 할 기술적 이슈가 있고, SBOM 수집자를 위한 구체적인 가이드도 마련되지 않아 제도 정착에는 시간이 걸린다. SW 공급망 문제는 SW 개발 관행에 대한 지속적인 개선이 요구되며, 글로벌 연쇄 위험으로 결코 혼자서는 해결할 수 없다. 따라서 우리는 실태조사, 실증사업 등을 시작으로 현실에 맞는 정책을 먼저 적용하고, 제도적 조화를 위한 국제협력에도 힘써야 한다.

• 정보보호학회지
• /
• 제32권5호
• /
• pp.15-20
• /
• 2022

소프트웨어 개발이 고도화되고 개발 주기가 점점 짧아짐에 따라 단독으로 소프트웨어를 개발하는 것은 어려워졌다. 소프트웨어 개발의 복잡도가 높아짐에 따라 기업에서 함께 협업하는 여러 공급망 소프트웨어의 결합이 강화되고 이에 따라 소프트웨어 공급망 보안 강화가 함께 이루어져야 한다. 본고에서는 오픈소스 및 관리를 효율적으로 할 수 있도록 오픈소스로 공개된 FOSSLight 도구를 활용한 공급망 보안 관리 방안을 제안한다.

• 정보보호학회지
• /
• 제25권1호
• /
• pp.39-46
• /
• 2015

현대의 자동차는 안전중요(Safety Critical) 시스템이기 때문에 차량의 안전성을 보장하는 것은 물론 초 연결사회를 지향하는 사물인터넷 기술의 발전과 자동차의 스마트화 됨에 따른 자동차 보안문제가 대두됨에 따라 자동차 소프트웨어와 공급망에서의 보증 방안이 필요하다. 본 논문에서는 자동차 소프트웨어의 보안성을 확보하고, 공급망에서의 보안성을 보증하기 위한 자동차 소프트웨어&공급망 보증(A-SSCA, Automotive-Software& Supply Chain Assurance)을 위한 보안쟁점 및 고려사항을 제시하고자 한다.

• 정보보호학회지
• /
• 제26권1호
• /
• pp.54-60
• /
• 2016

기업들의 생산 공정이 세분화되면서 하나의 디지털 기기는 여러 단계의 공급망을 통해 원자력 발전소 외부에서 제작된 후 공급된 기기들과 소프트웨어의 조합으로 최종 완성품이 제작된다. 이러한 공정 과정을 거치는 다양한 나라, 회사에서 제작된 수많은 부품들과 소프트웨어의 조합은 어느 하나의 단계에서 발생한 의도되거나 의도되지 않은 결함 또는 사이버 위험을 포함한 최종제품이 될 가능성을 가지고 있으며 실제로 공급망을 위협하는 사례가 발생하기도 하였다. 이러한 결과로 공급망을 통한 사이버공격의 보안 위험 사례를 관리하는 것이 디지털화가 급격하게 진행되고 있는 원자력발전소와 같은 주요기반시설의 안전과 보안을 유지하는데 고려해야하는 중요한 요소가 되고 있다. 본 논문에서는 공급망을 통한 사이버보안 위험 사례와, 원자력발전소 디지털 자산 공급망 위험관리를 위한 해외 사례를 살펴보고자 한다.

• 정보보호학회논문지
• /
• 제32권1호
• /
• pp.123-140
• /
• 2022

최근 다양한 도시문제로 세계적으로 국가와 기업에서 스마트시티 개념을 도입한 문제 해결 연구가 진행 중이다. 스마트시티는 도시의 ICT를 융합하고 도시의 모든 구성요소를 네트워크로 연결하여 데이터를 수집·전달하며, 다양한 IoT 제품이나 서비스로 구성된 공급망으로 이뤄져 있다. 스마트시티의 여러 사이버 보안 위협 및 공급망(Supply-Chain) 위협 증가는 불가피하며, 이에 대응하기 위해 공급망 보안 정책 등 프레임워크 수립과 더불어, 제로 트러스트(Zero-Trust) 관점에서 데이터 연계에 따른 각 데이터 제공자·서비스 등의 인증과 적절한 접속통제가 필요하다. 이를 위해 국내에서도 스마트시티 보안 위협을 위한 스마트시티 보안모델이 개발되었으나, 공급망 보안과 제로 트러스트와 관련된 보안 요구사항은 부족한 실정이다. 본 논문에서는 해외 스마트시티 보안 동향을 살펴보고, 정보보호 및 개인정보보호 관리체계(ISMS-P)와 국제표준으로 등록된 ICT 공급망 보안에 대한 보안 요구사항을 비롯해, Zero-Trust 관련 기술을 국내 스마트시티 보안모델에 적용하기 위한 보안 요구사항을 제시하고자 한다.

• 디지털융복합연구
• /
• 제20권2호
• /
• pp.9-20
• /
• 2022

공급망 공격은 주요기반시설을 타겟하여 피해 규모가 크고 공공 안전 및 국가안보를 위협하는 요소로 진화하고 있다. 이에 사이버안보 전략 및 정책 수립 시 공급망 위험관리를 명시하여 보안성을 제고하고 있으며, 2021년 미(美) 바이든 행정부가 발표한 국가 사이버안보 강화를 위한 행정명령에서는 소프트웨어 공급망 보안 강화를 위한 지침 중 일부로 SBOM을 언급하였다. 정부 차원에서 SBOM을 의무화하여 공급망 보안 검증 도구로 활용한다면, 향후 국내 조달체계에도 영향을 받을 수 있으며 정책 시행 경과에 따라 국내 공급망 보안 체계 수립 시에도 참고 가능할 것으로 보인다. 이에 따라 본 논문에서는 소프트웨어 공급망 보안 강화 방안으로써 SBOM 정책을 추진 중인 국가를 선정하여 관련 사례를 중점으로 분석하였다. 또한, 국외 SBOM 정책 동향의 비교·분석을 통하여 국내 SBOM 도입 시 기술, 정책, 법률측면에서의 활용 방안을 고찰하였다. 향후 공급망 무결성·투명성 검증 도구로 SBOM의 활용 가치가 기대되는바 SBOM에 대한 국제적 표준화 정립 및 정책 개발에 관한 지속적인 동향 파악과 표준 형식 개발 연구가 요구된다.

• 정보보호학회논문지
• /
• 제32권2호
• /
• pp.309-327
• /
• 2022

전(全) 산업 분야에서 ICT 융합화가 진행되고 공급망의 글로벌 생태조성이 가속화됨에 따라, 공급망 위험 또한 지속적으로 증가하고 있다. 특히, ICT 제품의 공급망은 관리해야 할 기술적·환경적 요인들이 매우 복잡하여, 전체 생명주기에 걸친 투명한 관리가 어렵다. 이에 미국·영국·EU 등 세계 주요국과 국제연합은 ICT 제품 공급망 대상의 사이버 공급망 보안 관련 연구와 정책을 수행·수립 중이다. 우리나라도 2019년 발표한 국가사이버안보전략의 기본계획 내에 주요 ICT 장비의 공급망 보안을 위한 관리체계를 구축하는 등 현안으로써 추진하고 있으나, 국가·공공기관을 위한 조직·기관 수준의 정책은 아직 부재한 상황이다. 본 논문에서는 미국의 사이버 공급망 보안 관리체계를 검토하여, 사이버 공급망 보안 관점의 우리나라 국가 정보보안 기본지침 보완방안을 제시한다. 이는 국내 정보보안 분야에서 도입 가능한 사이버 공급망 조치사항의 참고 자료가 될 것으로 기대한다.

• 정보보호학회논문지
• /
• 제30권6호
• /
• pp.1189-1206
• /
• 2020

최근 ICT 기업은 제품과 서비스들을 직접 설계, 개발, 생산, 운용, 유지 보수, 폐기 등을 직접 수행하지 않고 이를 외부에 위탁하거나, 외주업체가 담당하는 경우가 많아지고 있다. 위탁과 재위탁되는 과정에서 제품 및 서비스에 대한 취약점 관리 어려움 등으로 이로 인해 발생하는 공격 또한 증가하는 추세이다. 이에 대응하기 위해 해외에서는 ICT 공급망 보안 위험관리를 위한 기준과 제도를 만들어 운영 중이며, 다양한 사례 연구를 진행하고 있다. 또한, SBOM(Software Bill of Materials)등 기술적으로 공급망 보안 문제를 해결하려는 연구도 진행하고 있다. ISO 등 국제표준화기구에서도 ICT 공급망 보안을 위한 기준과 프레임워크도 만들어졌다. 본 논문에서는 미국, EU 등 주요 국가와 국제표준으로 개발된 ICT 공급망 보안기준과 제도를 비교 분석하여 국내 실정에 적합한 ICT 공급망 보안 관리 항목을 제시하고 ICT 공급망 보안제도 수립을 위한 사이버 보안 프레임워크의 필요성을 설명한다.

• 정보보호학회지
• /
• 제32권5호
• /
• pp.27-34
• /
• 2022

2021년 5월 12일, 미(美) 바이든 행정부는 소프트웨어 공급망 보안 강화를 위한 대통령 행정명령 14028을 발표하였다. 이후 연방정부에 납품하는 핵심 소프트웨어에 대해 SBOM(Software bill of materials) 제출이 의무화됨에 따라, 2021년 하반기부터 소프트웨어 공급망 관리를 위한 다양한 솔루션이 빠르게 개발되고 있다. 하지만 활발한 연구 및 산업화가 이루어지고 있는 글로벌 정세와 달리, 국내 산업은 상대적으로 더딘 실정이다. 이에 따라 본 논문에서는 소프트웨어 공급망 및 SBOM 관리를 제공하고 있는 글로벌 기업과 해당 솔루션에 대해 소개한다. 향후 국내 시장도 소프트웨어 공급망 보안 강화를 위해 SBOM 관리 의무화가 예상되는바 관련 솔루션의 개발 연구가 요구된다.