[IITP] GSMA의 IoT 보안 가이드라인 현황

 

 

 

 

 

■ 위험 평가

 

 

□ 위험 평가의 개념

 

1. 위험 평가의 출발점

 

- 어떤 자산(디지털 또는 물리적)을 보호해야 하는지 여부

 

- 어떤 유형의 사람들(유형 또는 무형)이 잠재적인 위협 행위자인지 여부

 

- 조직에 대한 위협은 무엇인지 여부

 

- 취약점이 무언인지 여부

 

- 보호된 자산이 훼손될 경우, 결과는 어떻게 되는지 여부

 

- 자산이 손상된 확률은 얼마인지 여부

 

- 다른 그룹의 공격자와 함께 있는 상황일 때 어떠한 결과가 발생하는지 여부

 

- 조직 및 파트너에게 자산의 가치가 어떠한지 여부

 

- 자산이 손상되었을 때 안전에 미치는 영향은 무엇인지 여부

 

- 잠재적인 취약점을 수정하거나 완화하기 위해 수행할 수 있는 작업은 무엇인지 여부

 

- 보안 격차가 어떻게 모니터링 될 수 있는지 여부

 

- 어떤 위협을 해결할 수 없는지, 조직에 어떤 위협이 있는지 여부

 

- 사고대응, 모니터링 및 위험 관리를 통해 어떤 예산을 적용해야 하는지 여부

 

 

 

2. 위험 평가의 목표

 

 

- 조직의 기술 부분에서 발견되는 보안상의 결함을 수정, 모니터링 및 대응하는 일련의 정책, 절차 및 제어 부분을 생성하거나 수정하는 것

 

 

 

■ GSMA 가이드라인 적용 절차

 

GSMA의 IoT 보안가이드라인은 IoT 제품이나 서비스를 이미 설계, 제작, 배포된 조직에도 적용이 가능하다. 즉, 제품이나 서비스의 현재 상태가 어떤지에 무관하게 다음과 같은 다섯 단계를 통해 적용이 가능하다.

 

 

① 기술 모델 평가

 

② 현재 모델 또는 서비스의 보안 모델 검토

 

③ 권장사항 검토 및 평가

 

④ 구현 및 검토

 

⑤ 지속적 라이프사이클

 

 

 

1. 기술 모델 평가

 

- 프로세스의 첫 번째 단계로서 조직의 자체 IoT 제품 또는 서비스를 이해하는 것

 

- 먼저, 시스템에 사용되는 각 구성요소를 설명하는 문서를 작성한다.

 

- 구성요소의 소스, 사용 방법, 필요한 권한 수준 및 전체 솔루션에 통합되는 방법을 식별한다.

 

- 또한, 각 구성요소를 각 종단시스템 및 서비스 에코시스템 CLP.12, CLP.13에 나타난 모델을 기반으로 매핑한다.

 

- 고려사항

. 어떤 구성요소가 제품 또는 서비스를 구축하는데 사용되는지 여부

. 주어진 구성요소에 적용할 수 있는 입력 및 출력은 무엇인지 여부

. 이러한 입력 및 출력에 이미 적용된 보안 컨트롤이 무엇인지 여부

. 조직의 누군가가 구성요소를 구현할 책임이 있는지 여부

. 조직의 누군가가 구성요소 모니터링 및 관리를 담당하는지 여부

. 구성요소에서 관찰된 위험을 수정하기 위해 어떤 프로세스가 마련되는지 여부

 

 

 

2. 현재 보안 모델 검토

 

- 엔드포인트와 서비스의 보안 모델을 검토

 

 

 

3. 권장사항 검토 및 평가

 

- 각 모델별 권장사항 부분을 검토하여 보안 문제를 어떻게 해결하는지를 평가

 

 

 

4. 구현 및 검토

 

- 각 구성요소에 대한 명확한 아키텍처 모델을 만들고 조직이 선택한 위험 평가 프로세스를 사용하여 각 구성요소 및 보안 작업에 적합한 권장사항과 위험 요소를 통합하여 각 구성요소의 위협 모델을 개발

 

- 권장사항에 대한 구현이 완료되면 조직은 권고 하위 섹션과 구성요소 섹션 모두에서 위헙을 검토해야 한다.

 

 

 

5. 지속적 라이프사이클

 

- 기밀성, 무결성, 가용성 및 신뢰성이 유지될 수 있도록 제품이 배포된 이후에도 끊임없이 지속적인 관리가 필요

 

 

 

 

 

** 출처: [IITP] GSMA의 IoT 보안 가이드라인 현황

** 문서:

179701.pdf