소프트웨어 생명주기 단계별 사이버보안 평가 방법론 제안

국문 초록 (Abstract)

기존의 원자력발전소 계측제어 시스템은 아날로그 기술 기반으로 설계 및 운영되어 왔지만, 정보기술(IT)의 발달로 신규 원자력발전소에는 점차 디지털 기반 기술이 도입되고 있다. 디지털 기반 기술은 여러 가지 순기능에 반하여 사이버 위협에 취약한 측면이 존재하며 이로 인해 시스템 상에 안전성과 신뢰성에 악영향을 끼치고 발전소 전체에 심각한 영향을 미칠 수 있다. 그러므로 원자력발전소에 탑재되는 소프트웨어는 개발 초기 단계부터 사이버보안 요소들을 고려하여 설계되고 각 단계마다 사이버보안 평가를 통하여 사이버보안에 대한 신뢰 수준을 측정하고, 기술적·관리적·운영적 측면에서의 사이버보안 척도가 요구된 바와 같이 이행되는지를 확인하는 것이 필요하다. 그러나 현재 이러한 사이버보안 평가 방법을 포함한 전반적인 사이버보안 프로그램이 마련되어 있지 않은 실정이므로 본 논문에서는 원자력발전소와 관련된 규제요건 및 기술표준문서를 기반으로 원자력발전소의 소프트웨어 생명주기 단계별 사이버보안 활동과 평가 항목을 도출하여 소프트웨어 생명주기 단계별로 사이버보안 평가가 가능한 방법을 제안한다.

다국어 초록 (Multilingual Abstract)

Instrumentation and control(I&C) system has been mainly designed and operated based on analog technologies in existing Nuclear Power Plants(NPPs). However, As the development of Information Technology(IT), digital technologies are gradually being adopted in newly built NPPs. I&C System based on digital technologies has many advantages but it is vulnerable to cyber threat. For this reason, cyber threat adversely affects on safety and reliability of I&C system as well as the entire NPPs. Therefore, the software equipped to NPPs should be developed with cyber security attributes from the initiation phase of software development life cycle. Moreover through cyber security assessment, the degree of confidence concerning cyber security should be measured and if managerial, technical and operational work measures are implemented as intended should be reviewed in order to protect the I&C systems and information. Currently the overall cyber security program, including cyber security assessment, is not established on I&C systems. In this paper, we propose cyber security assessment methods in the Software Development Life Cycle by drawing cyber security activities and assessment items based on regulatory guides and standard technologies concerned with NPPs.

목차 (Table of Contents)

• 요약
• ABSTRACT
• Ⅰ. 서론
• Ⅱ. 관련 연구
• Ⅲ. 제안하는 소프트웨어 생명주기 단계별 사이 버보안 평가 방법 도출 및 내용
• Ⅳ. 기존 사이버보안 평가 방법과의 비교
• Ⅴ. 결론
• References

참고문헌 (Reference)

1 James W. Over, "Team Software process for Secure Systems Development" CMU Software Engineering Institute 2002

2 Gary McGraw, "Software Security:Building Security In" Addison-Wesley Professional 448-, 2006

3 NIST, "SecurityConsiderations in the System Development Life Cycle"

4 "Security and Privacy Controls for Federal Information Systems and Organizations" NIST 2013

5 CLASP, "OWASP CLASP Project"

6 Microsoft Corporation, "Microsoft Security Development Lifecycle(SDL), Version 5.2" Microsoft Corporation 167-, 2012

7 IEEE Std., "IEEE Standard Criteria for Digital Computers in Safety Systems of Nuclear Power Generating Stations"

8 강영두, "Development of Cyber Security Assessment Methodology for the Instrumentation & Control Systems in Nuclear Power Plants" 한국산학기술학회 11 (11): 3451-3457, 2010

9 Sang-Hyun Lee, "Cybersecurity Laws in the U.S.:Focusing on Responses from the Legislative, the Judicial, and the Executive Body" 3 (3): 109-131, 2012

10 "Cyber Security Programs for Nuclear Facilities"

11 NEI, "Cyber Security Plan for Nuclear Power Reactors"

12 U. S. Department of Homeland Security, "Catalog of Control Security : Recommendations for Standards Developers(Rev. 7)" 2011