ETSI EN 303 645: 규제 당국이 IoT 기기를 충분히 보호하고 있는가?

2020년 6월, ETSI 기술 위원회는 IoT 기기를 위한 포괄적인 보안 기준인 EN 303 645를 발표했으며, 정보 보안 커뮤니티 전반에서 찬사를 받았습니다.

Sectigo의 IoT 및 임베디드 솔루션 부사장인 알란 그라우(Alan Grau)가 보고합니다.

이 표준은 입법자와 규제 당국이 연결된 기기 보호의 시급한 필요성을 인식하는 추세를 따릅니다. 2020년 1월 발효된 캘리포니아의 SB-327과 2019년 호주의 '소비자용 IoT 보안: 실천 강령 초안' 프레임워크는 정부가 단호한 조치를 취하고 있음을 보여줍니다.

영국이 2020년 1월 자체 IoT 프레임워크를 발표했을 때, 이는 기기 보안의 오랜 부적절성과 이를 해결하려는 규제 당국의 준비 태세를 강조했습니다.

그러나 여전히 의문은 남습니다: 이러한 법률과 표준이 우리 가정과 비즈니스를 채우는 수십억 개의 IoT 기기를 보호하기에 충분한가?

입법이 IoT 보안을 형성하는 방식

역사적으로 IoT 기기는 명확한 경계로 보호되는 고립된 독점 네트워크 뒤에서 작동했습니다. 인터넷의 확장으로 이러한 시스템이 TCP/IP를 통해 연결되면서 소비자와 기업 모두에게 전례 없는 통합 혜택을 제공했습니다. IDC는 2025년까지 416억 개의 연결된 기기가 있을 것으로 예측합니다. 이는 규제 진화를 앞지르는 성장입니다.

규제 정렬은 이러한 급속한 확장에 뒤처져 왔습니다. 비용 효율적인 대량 생산 제품을 추구하는 과정에서 많은 제조업체는 강력한 인증과 보안보다 시장 출하 속도를 우선시하여 기기를 취약하게 만듭니다.

구속력 있는 IoT 프레임워크가 없으면 제조업체는 최소한의 내장 보안으로 기기를 생산하며, 공격자에 대한 보호 기능이 거의 없는 정적 자격 증명에 의존하는 경우가 많습니다. 보안이 의무화될 때까지는 코너를 깎는 관행이 계속될 것입니다. 강력한 입법과 거버넌스는 제조부터 기기 수명 주기 전반에 걸쳐 설계 단계부터 보안을 내재화하는 데 필수적입니다.

진전과 공백

캘리포니아의 SB-327과 같은 진전된 조치는 차세대 보안 및 인증 도구를 위한 명확한 프레임워크를 설정하여, 이전 관행의 결점을 드러낸 봇넷을 표적으로 삼았습니다. 그러나 이 법은 캘리포니아에만 적용되며 전국적 집행력이 없습니다.

산업계, 학계, 정부의 협력으로 개발된 ETSI EN 303 645는 이해관계자들에게 통합된 목표를 제시합니다. 그러나 SB-327과 마찬가지로 법적 구속력이 없어, 일부 제조업체는 비용이 더 저렴하거나 집행에 직면하지 않기 때문에 느슨한 보안 관행을 채택할 수 있습니다.

진정으로 IoT를 보호하려면 미래 지향적인 표준이 기기 개발을 위한 사이버 보안 프레임워크를 의무화하는 입법 의제와 결합되어야 합니다.

내장형 보안이 중요한 이유

모범 사례는 이제 보안이 공장 출하 시점부터 내장되어야 함을 강조합니다. 점점 더 복잡해지는 공급망에서 OEM은 각 기기가 주조소를 떠나는 순간부터 안전하도록 보장해야 합니다. 내장형 공개 키 기반 구조(PKI)는 자격 증명이 하류 조립 과정에서 변조될 수 없도록 하여 수명 주기 전반에 걸쳐 무결성을 보존합니다.

글로벌 공급망 - 전 세계 표준의 필요성

IoT의 글로벌 도달 범위는 기기가 여러 국경을 넘어 설계, 제조, 조립됨을 의미하며, 보안 공백의 위험을 증폭시킵니다. 모든 단계에서 기기를 보호하기 위한 조율된 입법 노력이 필요하며, 자산, 생명, 데이터를 보호합니다.

작성자는 Sectigo의 IoT 및 임베디드 솔루션 부사장인 알란 그라우(Alan Grau)입니다.