IEC 62443-3-2: 시스템 위험 평가

고려 대상 시스템

고려 대상 시스템(SUC)은 평가 경계입니다. 위험 평가에서 시스템의 일부로 다룰 IACS 기능, 자산, 사용자, 인터페이스, 통신 경로, 운영 가정 및 외부 연결을 식별해야 합니다.

평가에서는 SUC 내부의 자산과 인터페이스를 외부 서비스 및 가정과 구분해야 합니다. 사업장이나 제품의 이름만으로는 범위가 정의되지 않습니다.

존 및 컨듀잇 평가

IEC 62443-3-2는 위험 평가를 실무적으로 수행하기 위해 존과 컨듀잇을 사용합니다. 존은 유사한 보안 요구사항을 공유해야 하는 자산을 묶습니다. 컨듀잇은 자체 통제와 가정이 필요한 존 간 통신 경로를 설명합니다.

관련된 각 존과 컨듀잇을 평가합니다. 이를 통해 안전 제어기, 엔지니어링 워크스테이션, 히스토리언, 원격 접속 경로 및 기업망 연결을 하나의 평면적인 신뢰 영역으로 취급하지 않게 됩니다.

SL-T는 위험 평가에서 도출됩니다.

SL-T는 위험 평가 후 존 또는 컨듀잇에 설정하는 목표 보안 수준입니다. 제품 인증서에서 그대로 가져올 수 있는 일반적인 등급이 아닙니다. SUC, 고려 대상 위협, 침해 결과 및 해당 존 또는 컨듀잇에 선택한 위험 처리 방법에 따라 달라집니다.

문서화된 보안 요구사항

IEC 62443-3-2는 문서화된 보안 요구사항을 산출합니다. 요구사항은 SUC, 존 및 컨듀잇 모델, 위험 근거, 선택된 SL-T, 가정 및 책임과 연결되어야 합니다. 이어서 IEC 62443-3-3을 사용해 관련 시스템 경계에 상세 제어 시스템 요구사항을 표현할 수 있습니다.

• SUC 경계 및 범위에 포함된 자산;
• 인터페이스와 신뢰 경계를 포함한 존 및 컨듀잇 모델;
• 각 존 및 컨듀잇의 위험 근거;
• 관련 존 및 컨듀잇별로 선택한 SL-T;
• 해당 목표에서 도출된 보안 요구사항 및 가정;
• 자산 소유자, 통합업체, 유지보수 제공업체 및 제품 공급업체 증거에 관한 책임.

간략한 개념 개요는 「 존, 컨듀잇 및 보안 수준」 페이지를 참조하세요. 이 페이지는 위험 평가를 더 자세히 다룹니다.

시스템 설계를 뒷받침하는 제품 증거

3-2 위험 평가만으로 제품이 IEC 62443-4-2를 준수하거나, 공급업체가 IEC 62443-4-1을 따르거나, 시스템이 IEC 62443-3-3을 충족한다고 입증되지는 않습니다. 위험 평가는 시스템에 필요한 사항과 설계를 뒷받침할 제품 증거를 정의할 수 있습니다. 제품 관련 주장을 하려면 구성요소 유형, 제품 버전, 인터페이스, 역량 수준, 공급업체 수명주기 증거 및 인증서를 사용하는 경우 인증서 범위를 별도로 제시해야 합니다.