CRA 사이버 보안 위험 평가

위험 평가의 역할

제1항을 준수하기 위해 제조업체는 디지털 요소가 있는 제품과 관련된 사이버 보안 위험을 평가해야 합니다. 또한 사이버 보안 위험을 최소화하고 사고를 방지하며, 사용자 건강과 안전에 미치는 영향을 포함해 사고의 영향을 최소화할 목적으로 제품의 계획, 설계, 개발, 생산, 인도, 유지관리 단계에서 평가 결과를 고려해야 합니다.

규정(EU) 2024/2847 제13조 제2항

제13조는 위험 평가가 제품 수명주기를 따라야 하며 지원 기간 중 적절한 시점에 업데이트되어야 한다고 규정합니다.

평가에서 설명할 사항

제13조 제3항에 따라 평가에서는 의도된 목적, 합리적으로 예측 가능한 사용, 사용 조건, 운영 환경, 보호 대상 자산, 예상 사용 기간을 고려해야 합니다.

• 제품에 적용되는 부속서 I 제I부 요구사항;
• 해당 제품 요구사항의 구현 방식;
• 부속서 I 제I부 제1호의 일반 위험 기반 사이버 보안 요구사항을 적용하는 방식;
• 부속서 I 제II부의 취약점 처리 요구사항을 적용하는 방식;
• 제조업체가 적용 불가하다고 판단한 경우 해당 요구사항을 적용하지 않는 이유.

사례: 펌웨어 업데이트 경로 평가

업데이트 서비스에서 펌웨어를 받는 가상의 연결형 제어기를 생각해 보겠습니다. 공격자는 설치 전에 이미지를 교체하려고 할 수 있습니다. 평가에서는 이 공격이 가능한지, 수정된 펌웨어가 어떤 동작을 할 수 있는지 확인해야 합니다.

1. 제어기 모델과 펌웨어 릴리스의 업데이트 경로를 확인합니다. 누가 이미지를 제공할 수 있는지, 이미지가 기기에 어떻게 도달하는지, 설치 전에 어떤 확인을 거치는지 식별합니다.
2. 위협을 설명합니다. 공격자가 설치 전에 펌웨어 이미지를 바꿉니다. 보호 대상은 실행 코드의 무결성이고, 제어기가 변경할 수 있는 기능에 따라 결과가 달라집니다.
3. 기존 통제를 평가합니다. 이미지가 어느 지점에서 검증되는지, 어떤 서명 키를 신뢰하는지, 검증 실패 후 어떤 일이 발생하는지 확인합니다. 설계 문서의 설명만으로는 출시된 버전의 동작을 입증할 수 없습니다.
4. 조치를 검증과 연결합니다. 승인된 업데이트 설계와 수정된 이미지, 잘못된 서명, 실패 복구에 대한 시험 결과를 보관합니다. 시험한 펌웨어와 구성을 기록합니다.
5. 공격 조건과 예상 결과를 근거로 잔여 위험을 설명합니다. 추가 확인이 필요한 가정과 추가 조치가 필요한 부분을 식별합니다. 업데이트 메커니즘이나 위협이 바뀌면 결론을 다시 검토합니다.

데이터 흐름도(DFD)와 STRIDE는 이 분석의 공격 경로를 식별하는 데 도움이 될 수 있습니다. 그러나 위험 판단에는 제품별 사실과 검증 결과가 여전히 필요합니다. 예를 들어, 서명 확인이 위험을 줄인다고 판단하기 전에 팀은 설계 내용과 시험한 펌웨어를 대조하여 실제 서명 확인을 수행하는지 확인해야 합니다.

기술문서와의 연계

제13조 제4항은 사이버 보안 위험 평가를 기술문서에 포함하도록 합니다. 부속서 VII은 제품이 그 위험을 고려해 설계, 개발, 생산, 인도, 유지관리되었다는 평가를 기술문서에 포함하도록 요구합니다.

표준의 뒷받침

초안 「 prEN 40000-1-2 」 페이지에서는 사이버 복원력 위험 관리를 위한 현행 수평 원칙 문서를 설명합니다. 이 문서는 작업 구조를 잡는 데 도움이 될 수 있지만, 법적 의무의 근거는 여전히 제13조와 부속서 I입니다.