기계류 사이버 보안 위험 평가

안전 위험 평가 내의 사이버보안

의도된 용도와 합리적으로 예견 가능한 오용을 포함하여 기계류 또는 관련 제품의 한계를 결정한다

규정 (EU) 2023/1230, 부속서 III 제B부 — 영문 원문

부속서 III 제B부는 제조업체가 적용되는 필수 보건 및 안전 요구사항을 결정하고, 위험요인을 제거하거나 관련 위험을 최소화하도록 기계류 또는 관련 제품을 설계하도록 요구합니다. ISO 12100도 동일한 순서를 따릅니다. 한계를 결정하고, 위험요인과 위험 상황을 식별하고, 위험을 추정 및 평가한 뒤 위험을 줄입니다.

훼손될 수 있는 연결, 소프트웨어 항목, 데이터 항목, 구성 또는 제어 경로가 위험요인이나 보호 조치에 영향을 줄 수 있는 지점에서 사이버보안 작업을 해당 순서에 포함해야 합니다.

훼손이 피해를 일으키는 방식

각 안전 기능 또는 보호 조치에 대해 훼손으로 인해 기능이 작동하지 않을 수 있는 경로를 평가합니다. 이렇게 하면 위협을 구체적인 위험 상황과 연결할 수 있습니다.

기능 안전에 영향을 주는 위협

prEN 50742는 위협 평가를 기계류 위험 평가의 대체물이 아니라 보완 요소로 다룹니다. 이 초안은 취약점이 보호 조치를 무력화할 수 있다고 설명합니다. 그에 따른 위험은 기능 안전에 미치는 영향을 통해 평가합니다.

prEN 50742가 아직 초안인 동안에도 이 구분은 유용합니다. 네트워크 검사 결과, 암호 정책 부재 또는 노출된 서비스만으로는 충분하지 않습니다. 기계류 관련 파일에는 해당 취약점에서 위험 상황 또는 안전 관련 제어 영향으로 이어지는 경로가 필요합니다.

평가 문서화

ISO 12100에 따르면 위험 평가 문서에는 평가 대상 기계류, 가정, 위험요인과 위험 상황, 사용된 정보, 위험 감소 목표, 보호 조치, 잔여 위험 및 평가 결과가 나타나야 합니다. 사이버보안의 경우 이러한 기록에 훼손 경로도 드러나야 합니다.

• 평가한 제품, 구성, 소프트웨어 버전 및 의도된 용도;
• 훼손의 영향을 받는 안전 기능 또는 보호 조치;
• 훼손을 일으킬 수 있는 인터페이스, 접근 경로, 업데이트 경로 또는 데이터 경로;
• 훼손이 발생할 경우의 안전 영향;
• 의존하는 보호 조치, 대응 조치 또는 사용 정보;
• 잔여 위험 및 선택한 보호 조치의 모든 제한 사항.

기술 문서의 위험 평가

제10조는 제조업체가 기계류 또는 관련 제품을 시장에 출시하거나 사용 개시하기 전에 기술 문서를 작성하도록 요구합니다. 부속서 IV는 적용되는 필수 보건 및 안전 요구사항과 이를 충족하기 위한 보호 조치를 포함해 위험 평가에 관한 문서를 요구합니다.