IoT 기기 보안: 자체 개발 vs 구매? 사이버 위협으로부터 비즈니스 보호

사물인터넷(IoT)은 IoT를 시설과 운영에 통합하려는 중소 제조업체(SMM)나 혁신적 제품으로 IoT 시장에 진입하려는 업체에게 많은 매력을 제공합니다. 사용 가능한 IoT 제품 스펙트럼은 넓고 지속적으로 성장 중입니다. IoT 세계에 발을 들일 때, 조직 위험 관리에 미치는 영향(환경에 IoT 도입 시)이나 제품 설계 및 지원 고려사항(제품 공급자로 시장 진입 시) 등 잠재적 사이버보안 함정에 대비하는 것이 도움이 됩니다. NIST 사물인터넷 사이버보안 프로그램이 SMM들이 이 잠재적으로 험난한 물살을 헤쳐나가는 데 필요한 정보를 제공하기 위해 노력하고 있습니다.

IoT와 위험 관리

직원 편의를 위해 스마트 온도조절기 설치, 휴게실 스마트 커피포트 비치, 생산 환경에 최신 산업제어시스템(ICS) 기술 배포 전에 잠재적 영향을 인지하는 것이 중요합니다. 기존 IT에 대한 견고한 정보 보안 프로그램이 있어도, IoT 도입 시 해당 도구, 프로세스, 절차는 적응이 필요할 것입니다. IoT가 기존과 다른 점:

• 물리 세계와 상호작용. IoT 기기는 환경에서 정보를 수집하는 센서나 '현실 세계' 객체를 움직이거나 변화시키는 액추에이터를 장착합니다. 센싱은 대량의 잠재적 민감 데이터를 생성할 수 있으므로, 무엇이 수집되고 어디로 가는지 아는 것이 중요합니다. 해킹된 액추에이터는 적대자가 심각한 혼란을 야기할 수 있게 합니다. 스마트 잠금장치를 누가 제어하는지 모른다면 무슨 일이 벌어질지 생각해 보세요.
• 기존 IT 관리 관행에 도전. IoT 기기는 종종 '블랙박스'로, 내부 동작을 감추고 서버, 데스크톱, 방화벽처럼 에이전트 장착이나 쿼리가 어렵습니다. 결과적으로 일반적인 IT 관리 관행이 IoT에선 비효과적일 수 있습니다. 이 관리 문제는 '대규모' IoT 기기 배포 시 빠르게 증폭될 수 있습니다.
• 일반적인 사이버보안 및 프라이버시 기능 부족. IoT 기기는 로깅 및 모니터링 지원, 새로 발견된 취약점 대응을 위한 기기 업데이트 지원, 민감 정보 보호에 필요한 암호화 기능이 없는 경우가 많습니다. 이 기기들이 동일 네트워크의 IT 기기와 같은 사이버보안 역량을 갖췄다고 가정할 수 없습니다.

환경에 IoT를 도입하는 SMM들은 이러한 과제 해결에 대비해야 합니다. 제품 공급자로 IoT 시장에 진입한다면, 이러한 과제 이해를 고객 경험이 더 나은 제품 개발 기회로 삼을 수 있습니다.

IoT 보안 위험 관리

조직에 IoT 기술 도입 시, SMM들은 세 가지 목표를 염두에 두고 이러한 과제를 해결할 계획을 세워야 합니다:

1. IoT 기기 보안 보호: 제품이 소유자 완전 통제 하에 있고, 외부 행위자가 SMM 네트워크 접근이나 봇넷 참여에 악용하지 않도록 보장.
2. 데이터 보안 보호: IoT 기기 생성 데이터가 기기 저장 중, 네트워크 전송 중, 클라우드 기반 서비스 전송 중 노출되거나 변조되지 않도록 보호.
3. 개인 프라이버시 보호: IoT 제품이 프라이버시 민감 정보를 수집/생성할 가능성 인지, 해당 데이터가 어디로 이동할 수 있는지 인식.

이 목표들은 NISTIR 8228 사물인터넷(IoT) 사이버보안 및 프라이버시 위험 관리를 위한 고려사항에 명시되어 있으며, 현재 사용 가능한 IoT 제품으로는 달성하기 어려울 수 있습니다. NIST 사이버보안 프레임워크(CSF) 적용 조직이나 NIST SP 800-53 컨트롤로 보안 요건을 정의하는 조직의 경우, NISTIR 8228은 IoT 기기가 CSF와 SP 800-53이 의도하는 목적 달성에 제기하는 다양한 과제를 식별합니다. 예를 들어, SP 800-53의 컨트롤 SI-2(결함 시정)은 안전한 소프트웨어/펌웨어 업데이트 기능이 없는 IoT 기기로는 충족될 수 없습니다. 마찬가지로 많은 IoT 기기는 CSF 하위 범주 DE.CM-8(취약점 스캔 수행)에 필요한 방식으로 분석될 수 없습니다.

위 세 가지 목표 고려는 IoT 제품 선정과 관리 방식에 반영되어야 합니다. IoT 기기의 보안 역량이 기기들이 통합된 시스템의 전체 보안 요건 달성에 기여하기 때문입니다.

IoT 제품 보안 태세 개선

IoT 제품 개발에 나선다면, 사이버보안 과제 인식이 제품 개발 및 지원 접근법을 안내할 수 있습니다. 위에서 설명한 세 목표는 IoT 제품 개발에도 적용됩니다. 이 목표들을 염두에 둔 신중한 개발 접근법은 더 관리하기 쉽고 안전한 제품을 만듭니다. 이 접근법은 제품 설계 및 개발 단계와 시장 출시 후 지원 단계 모두를 포함하며, NISTIR 8259 IoT 기기 제조업체를 위한 기초 사이버보안 활동의 이 그림에 나타나 있습니다.

핵심 기준은 니즈 스펙트럼 전반에 걸친 기기 능력과 지원 활동을 개괄합니다:

기술적 사이버보안 역량

비기술적 지원 역량

계획 활동과 기술적/비기술적 기준 적용을 결합하면 SMM들이 더 안전하게 관리되고 더 잘 지원되는 제품을 개발하도록 돕습니다. 이는 고객이 귀사의 IoT 혁신을 활용하면서 위험 관리 과제에 미치는 영향을 제한하도록 돕습니다.

도움이 되는 정보

NIST 사물인터넷 사이버보안 프로그램은 지난 수년간 커뮤니티와 깊이 협력하며 IoT 사이버보안 과제 관련 풍부한 가이드 모음을 개발했습니다. 운영 개선을 위해 IoT 통합을 원하는 SMM이든, 신제품으로 시장 진입을 원하는 업체든, 여러 리소스와 출판물이 귀사의 노력을 지원합니다.

NIST IoT 사이버보안 팀은 제조업체의 iotsec [at] nist.gov (피드백)을 현재 공개 초안에 대해 환영합니다.