설계를 사이버 보안 요구 사항에 맞추는 방법

최근 몇 년 동안 사물인터넷(IoT)은 빠르게 발전하고 있으며, 소비자와 기업들은 점점 더 많은 IoT 기기를 채택하고 있습니다. 그러나 이는 또한 IoT 기기가 해커 공격의 표적이 되는 결과를 초래하여 IoT 기기의 보안 문제가 소비자와 기업들에게 중요한 관심사가 되었습니다. 이 기사는 현재 IoT 애플리케이션이 직면하고 있는 과제, 관련 법적 규제, 그리고 Arrow Electronics와 ST Microelectronics에서 제공하는 솔루션을 소개합니다.

통계 데이터에 따르면, 현재 IoT 기술이 직면한 주요 과제는 IoT 기기 개발자들이 적절히 보안되지 않은 제품을 서둘러 개발하는 데서 비롯됩니다. 또 다른 과제는 데이터 분석 전문가의 부족으로 인해 기업들이 IoT의 이점을 완전히 누리지 못한다는 점입니다. 또한, 시장에는 공격에 취약한 IoT 제품들이 과도하게 존재하며, 소비자들이 펌웨어 업데이트를 꺼리는 상황과 결합되어 IoT 보안은 중대한 도전에 직면하고 있습니다.

해커들이 IoT 기기의 취약점을 악용하여 사용자 계정을 노출시키는 사례가 자주 보고되고 있습니다. 사용자 데이터는 종종 사기 그룹의 손에 들어가며, 이들은 이를 사용해 소비자를 금융 사기로 속이는데 이용합니다. 더욱이 일부 IoT 기기는 해커에게 침해당해 프라이버시 침해로 이어집니다. 침해된 카메라를 통해 사용자의 삶이 침범당하는 상황은 마치 '트루먼 쇼(The Truman Show)'의 한 장면을 연상시키는 듯합니다.

IoT 장치가 대량의 데이터를 전송하고 처리함에 따라 민감한 정보를 포함할 수 있으므로 IoT 시스템의 보안과 사용자 개인정보 보호를 보장하는 것이 중요한 과제가 됩니다. 악의적인 공격, 데이터 유출, 무단 접근과 같은 위험이 해결되어야 합니다.

사이버 보안의 부재는 개인, 조직, 그리고 전체 사회에 영향을 미치는 심각한 문제들로 이어질 수 있습니다. 여기에는 데이터 유출, 재정적 손실, 비즈니스 평판 손상, 인프라에 대한 위협, 랜섬웨어, 국가 안보 위험 등이 포함됩니다. 이러한 문제를 해결하기 위해, 조직과 개인 모두는 정기적인 소프트웨어 업데이트, 강력한 비밀번호 사용, 다단계 인증 도입, 주기적인 보안 검토, 보안 인식을 높이기 위한 직원 교육 등 사이버 보안 조치를 강화해야 하며, 이를 통해 비용이 많이 드는 데이터 및 지적 재산(IP) 유출, 회사 평판 손상, 시장 출시 지연, 심지어 소송 및 벌금까지도 방지할 수 있습니다. 또한, 정부는 관련 규제와 정책을 장려하고, 기업과 조직이 사이버 보안 시스템을 강화할 수 있도록 권장하고 감독해야 합니다.

현재 조직과 산업의 정보 보안을 보장하기 위한 지침 원칙을 제공하고자 하는 수많은 사이버 보안 표준과 규정이 존재합니다. 다양한 국가와 지역에서는 해당 사이버 보안 표준을 개발하였으며, 여기에는 유럽 연합이 주도하는 ETSI EN 303 645, 미국이 주도하는 UL 2900-1 표준, CTIA 및 IoXt와 같은 IoT 기기 인증 기관이 포함됩니다.

유럽 전기통신표준협회(ETSI)에서 도입한 주목할 만한 표준 중 하나는 EN 303 645입니다. 이는 소비자 IoT 장치에 적용되는 최초의 글로벌 사이버 보안 표준입니다. 이 표준은 소비자 IoT에 대한 기본 요구사항을 설정하며, 기술적 및 조직적 조치를 통합하여 사이버 보안 및 데이터 보호에서 모범 사례를 달성하는 것을 목표로 합니다. 이 표준은 사이버 보안 및 데이터 보호의 13가지 측면에 걸쳐 33개의 필수 조항과 35개의 권장 조항을 포함하고 있습니다.

ETSI EN 303 645는 하드웨어 내 민감한 보안 매개변수의 안전한 저장, 안전한 통신, 노출된 공격 표면 최소화, 소프트웨어 무결성 보장을 요구합니다. 소프트웨어/펌웨어와 관련해서는, 보편적인 기본 비밀번호의 사용을 피하고, 개인 데이터의 보안을 보장하며, 시스템이 중단에 견딜 수 있게 하고, 입력 데이터를 검증하는 것을 요구합니다. 회사 정책 측면에서는 취약성 보고서를 관리하는 방법의 구현, 소프트웨어 업데이트 유지, 시스템 원격 분석 데이터 확인, 사용자가 자신의 데이터를 쉽게 삭제할 수 있도록 허용, 설치 및 유지보수를 단순화, 어떤 개인 데이터가 수집되고 어떤 목적을 위한 것인지 명확히 설명하여 IoT 장치가 요구 사항에 따른 보안 표준을 준수하도록 보장하는 것을 필요로 합니다.

IoT 제품의 준수성을 보장하기 위해 PSA 인증을 진행할 수 있습니다. PSA Certified는 IoT 기기를 위해 특별히 설계된 보안 인증 프로그램으로, 반도체 및 소프트웨어 설계 분야의 선도 기업인 Arm이 다른 업계 파트너들과 협력하여 시작한 프로그램입니다. PSA Certified의 주요 목표는 IoT 기기의 보안을 평가하고 인증하기 위한 전 세계적으로 인정받는 프레임워크를 수립하는 것입니다. 이 프로그램은 IoT 기기가 최소 보안 요구사항을 충족하도록 보안 가이드라인, 평가 기준, 테스트 방법론 세트를 제공합니다.

PSA Certified는 IoT 기기에 대한 포괄적인 보안 프레임워크를 정의하며, 기기 ID, 안전한 부팅, 안전한 통신, 펌웨어 업데이트 및 암호화를 포함한 다양한 보안 측면을 다룹니다. 이는 IoT 기기의 라이프사이클 전반에 걸쳐 보안 문제를 해결하기 위한 표준화된 접근 방식을 제공합니다. 이 프로그램에는 PSA Certified 보안 요구 사항을 기반으로 한 IoT 기기의 보안 기능 및 구현을 평가하며, 공인된 실험실에서 수행하는 독립적인 보안 평가가 포함됩니다. 이러한 평가의 독립성은 인증된 기기의 보안 주장에 대한 신뢰성과 확신을 높여줍니다.

PSA Certified는 공인된 실험실에서 수행하는 독립적인 보안 평가를 포함하며, PSA Certified 보안 요구사항을 기반으로 IoT 기기의 보안 기능과 구현을 평가합니다. 이러한 평가를 통해 조직은 기기의 보안 기능에 대한 객관적인 평가를 얻을 수 있으며, 규정 및 표준 준수를 입증할 수 있습니다.

PSA Certified는 EU의 네트워크 및 정보 시스템(NIS) 지침과 영국의 소비자 IoT 보안 모범 사례 지침과 같은 기존의 사이버 보안 규정 및 표준과 일치합니다. PSA Certified가 정의한 보안 원칙 및 요구 사항을 준수함으로써 조직은 이러한 규정을 준수하고, 보안에 대한 헌신을 입증하며, 고객, 파트너 및 규제 당국과 신뢰를 구축할 수 있습니다. 이는 IoT 디바이스에 대한 특정 사이버 보안 규정 및 표준을 충족하기 위한 체계적인 접근 방식을 제공하며, 조직이 IoT 보안 요구 사항의 복잡한 환경을 보다 효과적으로 다룰 수 있도록 지원합니다.

PSA Certified를 획득하는 것은 산업 규정을 준수함을 의미합니다. PSA 인증은 EN 303 645, NIST 8259A, SB-327, UK DCMS, ENISA (WIP), IEC 62443 4-2, CSA-311과 같은 다가오는 규정 및 표준에 적극적으로 맞추며, UL, ioXt, SESIP, DLC, Amazon Alexa, Munich RE, Matter와 같은 조직과 협력하여 협력을 강화하고 재사용을 가능하게 합니다.

PSA Certified 프레임워크의 단계에는 보안 요구 사항 분석, 보안 설계 구조 설계, 설계 생성 및 보안 설계 검증이 포함됩니다. OEM을 위한 PSA Certified Level 1 IoT 보안 프레임워크는 독립적으로 검증된 IoT 보안 평가를 위한 경로를 제공하며, 고유 식별, 보안 라이프사이클, 인증, 안전한 부팅, 안전한 업데이트, 롤백 방지, 격리, 상호작용, 안전한 저장소 및 암호화/신뢰할 수 있는 서비스와 같은 10개의 주요 목표를 포함합니다.

Arrow Electronics는 PSA Certified Level 1 애플리케이션과 협력하여 OEM이 이를 연결된 보안 설계의 기초로 사용할 수 있도록 지원하고 있습니다. OEM은 참조 설계를 채택하고, 자체 IP를 추가하며, 가속화된 인증 프로세스를 통해 전체 애플리케이션을 완료하여 자신감 있게, 빠르게, 그리고 안전하게 제품을 시장에 출시할 수 있습니다.

PSA Certified는 Arrow Electronics와의 협력을 통해 최종 고객이 IoT를 위한 고유한 보안 협업 솔루션을 만들 수 있도록 지원합니다. 이 협력은 전체 생태계에 새로운 비즈니스 기회를 제공하고, 보안이 내장된 종합 솔루션을 제공하며, 중요한 기준 및 규정을 충족하고, 보안 기능 개발 비용을 절감하고, 공급망 및 물류 비즈니스 관리를 확장하며, 제3자 인증을 통해 신뢰를 확보하는 것을 목표로 하고 있습니다.

Arrow Electronics는 TrustZone, WiFi 및 Bluetooth 연결 기능뿐만 아니라 여러 센서를 지원하는 STM32U5 Secure Embedded Development Kit을 도입했습니다. 이 개발 키트는 STMicroelectronics의 STM32U5 마이크로컨트롤러를 활용하며, 저전력 Arm Cortex-M33 코어를 특징으로 합니다. 보안 개발 키트는 IoT 개발자들에게 복잡한 작업인 보안을 통합하는 데 도움을 줍니다. Arrow Electronics의 참조 설계는 보안 임베디드 응용 프로그램에 적합하며 PSA Certified Level 1 인증을 받아 Amazon Web Services (AWS) 및 Microsoft Azure와 같은 주요 클라우드 제공업체와의 원활한 협업을 보장합니다.

반면, Silicon Labs는 진화하는 IoT 위협을 해결하기 위해 최신 보안 기능으로 구성된 Secure Vault™ 플랫폼을 출시했습니다. 이 플랫폼은 IoT 생태계의 보안 취약점을 줄이고, 지적 재산 유출이나 위조로 인한 수익 손실의 위험을 최소화하는 데 도움을 줍니다. Secure Vault 기술은 확장 가능한 로컬 및 원격 소프트웨어 공격을 방지하며, 로컬 하드웨어 공격으로부터 방어합니다.

Secure Vault의 주요 기능으로는 보안 키 관리, 롤백 방지, 변조 방지, 보안 디버깅 잠금/해제, 보안 링크, RTSL을 사용한 보안 부트, 보안 인증, 차등 전력 분석(DPA) 대응책, 그리고 진정한 랜덤 번호 생성기(TRNG)가 포함됩니다. 추가적으로, Secure Vault는 EFR32FG23B와 EFR32MG21B에서 PSA Certified Level 3 인증을 받아 사용자 제품 개발 프로세스를 가속화할 수 있습니다.

사물인터넷(IoT) 애플리케이션의 광범위한 채택으로 인해 IoT 디바이스의 보안이 주요 관심사가 되었습니다. PSA Certified를 받은 IoT 디바이스는 제품이 IoT 보안 표준 요구사항을 충족한다는 것을 나타냅니다. 이 인증은 제품의 부가 가치를 높이고 소비자의 신뢰와 구매 의향을 증가시킵니다. Arrow Electronics는 PSA Certified 조직과 협력하여 IoT 디바이스 개발자가 제품에 대해 PSA Certified를 획득할 수 있도록 지원합니다. 제품 개발 과정을 가속화할 수 있는 솔루션을 제공하여 Arrow Electronics는 IoT 제품 개발자들에게 이상적인 파트너가 됩니다.