에너지 분야 주요기반시설 사이버보안 강화방안에 관한 연구 = A Study on Strengthening Cybersecurity for Critical Infrastructure of Energy Sector

다국어 초록 (Multilingual Abstract)

With the recent convergence of IT technologies, the environment surrounding the Critical infrastructure is changing from the existing independent and closed environment to the open environment. Also, As cyber attacks increase, the stable and continuous operation of the main infrastructure It is in danger. In particular, in the energy sector, cyber threats may not only result in an end to systems and critical services, but may lead to economic and financial turmoil, Therefore, there is a need for a cybersecurity capability enhancement plan that can cope with this.
This paper, first, analyzes the security threats according to the characteristics of the Critical infrastructure of the energy sector and environment, and analyzes the necessity and importance of protection.
Then, compared the strategies and policies established in Korea and abroad, the system for responding to cyber risk, and the organization for continuous communication and information sharing.
Lastly, This paper emphasize the necessity of management evaluation system, in order to continuously respond to cyber threats at the national level. The basic direction for the construction of the energy management evaluation system was set to reflect the characteristics of the energy sector and the elements for responding to security threats, based on the items of the management evaluation system currently being implemented in Korea .
The international standard used in this process is ISO / IEC27019, NERC CIP002-009, which is an international standard that is mainly used for building cybersecurity regulation and management evaluation of Critical infrastructure of energy sector. Finally, the elements are 13 items in five areas(information security organization, human security, physical and environmental security, communication and operation management, and business continuity).
In addition in order to strengthening cybersecurity, It is also necessary to establish an integrated policy as a support plan to implementing effective measures and continuously monitoring and managing cybersecurity. Also, It is necessary to provide a plan to cultivate professional manpower by establishing a human resources framework so that appropriate manpower can be provided for the protection of major infrastructure.

keyword: Critical Infrastructure Protection, Cybersecurity, Energy Sector, Policy Direction

국문 초록 (Abstract)

최근 주요기반시설에 IT 기술이 융합됨에 따라 주요기반시설을 둘러싼 환경이 기존의 독립적·폐쇄적 환경에서 개방적인 환경으로 변화하고 있으며, 목적성 있는 사이버 공격이 증가함에 따라 주요기반시설의 안정적이고 지속적인 운영이 위험을 받고 있다.
특히 에너지 분야의 경우 사이버 위협이 발생할 시 단순히 주요기반시설의 시스템 및 주요 서비스가 중단되는 것으로 끝나는 것이 아니라 경제적 및 재정적인 혼란을 초래할 수 있으며, 심지어 원자력의 붕괴는 인명 피해 및 막대한 환경 피해가 발생할 수 있기 때문에 이에 대응 할 수 있는 사이버보안 역량 강화방안이 요구된다.
본 논문은 먼저 에너지 분야 주요기반시설의 특성 및 환경의 변화에 따른 보안 위협을 분석하고, 보호의 필요성 및 중요성을 분석하였다. 이어서 에너지 분야 주요기반시설의 사이버보안 강화를 위해 국내·외에서 수립하고 있는 전략 및 정책을 비롯하여 사이버 위험에 대응하기 위한 체계, 지속적인 커뮤니케이션과 정보 공유를 위한 조직 등을 비교·분석 하였다.
그 결과 국내는 미국, EU, 영국에 비해 에너지 분야 주요기반시설을 둘러싼 다양한 보안 위협 상황에 대응 할 수 있는 정책 체계를 갖추지 못하고 있으며, 보호 대책의 효과성 및 지속적인 운영 현황을 점검 할 수 있는 관리평가 체계가 에너지 분야의 특수성을 반영하지 못하다는 한계점이 도출되었다.
따라서 본 논문에서는 에너지 분야 주요기반시설의 보호 필요성을 강조하고 지속적으로 사이버 위협에 대응하기 위해서는 국가 차원에서 위험관리 차원의 관리평가체계를 구축하고, 지속적으로 관리하는 것이 중요하다고 판단하였으며 국제표준을 활용하여 관리평가체계 구축 시 필요한 항목을 도출하였다.
본격적인 분석 이전에 에너지 분야 관리평가체계의 구축을 위한 기본 방향은 현재 국내에서 수행하고 있는 관리평가 체계의 항목을 기본으로, 에너지 분야의 특성 및 보안 위협 요소에 대응하기 위한 요소를 반영하는 것으로 설정하였다. 이와 같은 과정에서 사용된 국제 표준은 에너지 분야 주요기반시설의 사이버보안 규정 및 관리평가 구축에 주로 활용되는 국제 표준인 ISO/IEC27019, NERC CIP002-009 으로 두 표준의 비교를 통해 에너지 분야 사이버보안 강화에 필요한 요소로 11개 분야, 29항목, 62개 항목을 도출하였다.
이후 국내 주요기반시설의 관리평가체계로 활용되는 ISMS 항목과의 비교를 통해 에너지 분야의 특수성 및 주요기반시설 환경의 변화를 모두 반영하지 못하는 한계점이 있음을 도출하였으며, 마지막으로 기존의 국내 관리평가체계 항목에는 포함되어 있지 않은 항목을 중심으로 에너지 분야 관리평가체계 구축 시 새롭게 추가되어야 할 항목을 도출하였다.
최종적으로 도출된 요소는 5개 분야(정보보안 조직, 인적보안, 물리 및 환경보안, 통신 및 운영관리, 비즈니스 연속성)의 13항목이며, 이러한 항목을 반영한 관리평가 체계를 구축하여 에너지 분야 주요기반시설의 사이버보안의 강화를 위해서 요구되는 대책을 수립 및 구현뿐만 아니라 지속적으로 점검·관리하기 위한 평가 항목의 부족 문제 해소에 기여하고자 한다.
또한 관리평가체계 구축 외 사이버보안 강화를 위한 지원 방안으로 통합적인 정책을 수립하여 효과적인 대책 구현과 함께 이를 지속적으로 점검 및 관리하기 위한 관리평가체계의 수립 기반을 마련하여야 하며, 국가 차원에서의 사이버보안 인력 프레임워크 수립 등을 통한 전문 인력 양성 방안을 제시하여 주요기반시설 보호에 알맞은 인력이 수급될 수 있도록 해야 한다.

주요어: 주요기반시설, 에너지 영역, 사이버보안, 정책 방안

목차 (Table of Contents)

• 차 례
• 표차례 ⅰ
• 국문 요약 ⅱ
• 제 1 장 서 론 1
• 제 1 절 연구목적 1
• 제 2 절 연구대상 및 방법 2
• 제 2 장 에너지 분야 주요기반시설의 보호 필요성 4
• 제 1 절 에너지 분야 주요기반시설의 특성 및 환경변화 4
• 1. 에너지 분야 주요기반시설의 특성과 보안위협 4
• 1.1 파급성(전파성) 4
• 1.2 노후화된 시스템의 사용 5
• 2. 에너지 분야 주요기반시설의 환경 변화로 인한 보안위협 6
• 제 2 절 에너지 분야 주요기반시설에 대한 사이버 공격의 증가 8
• 제 3 절 에너지 분야 보호범위의 확대 10
• 제 3 장 국내 에너지 분야 주요기반시설 보호현황 및 문제점 13
• 제 1 절 선행연구 13
• 제 2 절 국내 에너지 분야 주요기반시설 정책현황 15
• 1. 주요기반시설 지정 및 에너지 분야 범위 15
• 2. 주요기반시설 보호 정책현황 16
• 제 3 절 소 결 19
• 제 4 장 국외 에너지 분야 주요기반시설 보호 정책 및 국제표준 21
• 제 1 절 미 국 21
• 제 2 절 E U 24
• 제 3 절 영 국 27
• 제 4 절 국제표준 29
• 1. ISO/IEC27019 29
• 2. NERC CIP 30
• 제 5 절 비교 및 시사점 31
• 제 5 장 에너지 분야 주요기반시설 사이버보안 강화를 위한 관리평가체계 구축 33
• 제 1 절 에너지 분야에 특화된 관리평가체계의 구축 33
• 1. 에너지 분야의 관리적·기술적 보호조치를 위한 표준의 비교·분석 34
• 2. 에너지 분야에 특화된 관리평가체계 구축 시 필요 항목 도출 41
• 제 2 절 에너지 분야 사이버보안 강화를 위한 지원 방안 43
• 1. 에너지 분야 주요기반시설 보호를 위한 통합 정책의 수립 43
• 2. 전문 인력 양성 및 역량제고 44
• 제 6 장 결 론 46
• 참고문헌 49
• ABSTRACT 53