®01
IEC 62443 기반 전력망 제어 시스템과 설비
구역별 위험 평가와 보호등급을 포함한 구역 모델
자세히 보기산업 분야 / 에너지 산업
안전한 전력망. 안정적인 공급.
전력망 제어 시스템을 보호하고 스마트미터 게이트웨이를 안전하게 통합합니다.
컨설팅. 통합. 운영.
귀사 산업에 종사하는 분들을 위해.
- 배전 및 송전망 사업자
- 지역 에너지 공기업과 계량점 운영자
- 발전사업자와 직접판매사업자
- 가스망 및 지역난방 사업자
귀사의 중점 분야
과제를 이해합니다. 솔루션을 설계합니다.
IEC 62443 기준의 보안 아키텍처, 스마트미터 게이트웨이용 하드웨어 보안 모듈 및 PKI, 관제실과 기업 IT 간 통제된 인터페이스로 전력망 제어 시스템, 발전 설비, 지능형 계측 시스템을 보호합니다.
전략부터 시스템까지
여섯 가지 서비스 구성 요소
여섯 가지 실행 영역. 더 자세히 살펴보고 싶은 영역을 선택하십시오.
01IEC 62443 기반 전력망 제어 시스템과 설비IEC 62443 · IEC 62351 · IEC 60870-5-104
저희의 접근 방식
제어 시스템과 원격제어 시스템은 원래 폐쇄된 네트워크를 위해 구축되었지만, 오늘날에는 사무용 IT, 서비스 제공업체, 분산 설비와 연결되어 있습니다. 저희는 설비와 연결을 파악하고, 관제센터와 변전소, 기업 IT를 IEC 62443-3-2에 따라 구역으로 나누며, 각 구역에 보호등급과 허용된 통로를 정합니다. 하드닝, 네트워크 분할, IEC 62351에 따른 프로토콜 보안은 정비 기간에 시행하며, 검증된 설비 구성은 손대지 않습니다. 공격 탐지는 IEC 60870-5-104와 IEC 61850을 함께 분석하여 제어 시스템에서 오작동과 공격을 구분합니다.
서비스 범위 상세
- 제어 시스템 자산 인벤토리와 IEC 62443-3-2 기반 구역 모델, 구역별 보호등급과 위험 평가
- 프로세스 네트워크, 관제센터, 기업 IT 사이의 네트워크 분할, 통로, DMZ, 산업용 방화벽
- IEC 62443-3-3과 BSI ICS 보안 편람에 따른 제어 시스템, HMI, 원격제어 장비, 엔지니어링 워크스테이션의 하드닝
- IEC 62351에 따른 IEC 60870-5-104와 IEC 61850 보호, TLS와 인증서, 역할 기반 접근
- 수동적 네트워크 모니터링을 통한 제어 시스템 프로토콜 공격 탐지, SIEM 및 신고 절차 연동
한 배전망 사업자는 관제센터, 변전소, 사무용 IT를 IEC 62443에 따라 구역으로 분리합니다. 원격제어 연결은 보호된 통로를 통해 이루어지고, 공격 탐지는 제어 시스템 프로토콜을 함께 분석합니다.
02BSI TR-03109 기반 스마트미터 게이트웨이 PKI와 HSMBSI TR-03109 · 스마트미터링 PKI · Utimaco u.trust GP HSM Se-Series
저희의 접근 방식
지능형 계량 시스템은 스마트미터링 PKI의 인증서를 사용해 TLS로만 통신하며, 그 구조는 기술지침 BSI TR-03109가 규정합니다. 저희는 게이트웨이 관리와 시장 참여자를 위한 하위 CA를 설계하고, 특정 제조사에 치우치지 않고 Utimaco u.trust GP HSM, Thales Luna 7, Entrust nShield 5c 중에서 선택하며, 역할, 정족수, 기록을 갖춘 키 세리머니를 진행합니다. 게이트웨이, 제어함, EnWG 제14a조에 따른 CLS 채널의 인증서에는 갱신, 폐기, 모니터링을 포함한 수명 주기 관리가 적용됩니다. 게이트웨이 관리자의 ISMS 인증을 위한 증빙도 같은 프로젝트에서 마련됩니다.
서비스 범위 상세
- BSI TR-03109-4 기반 하위 CA를 갖춘 PKI 아키텍처, 인증서 프로필, 스마트미터링 PKI 루트 하위 등록
- 하위 CA 키를 위한 HSM 선정과 통합, 역할, 정족수, 입회인, 기록 양식을 갖춘 키 세리머니
- PKI 인증서를 이용한 TLS 기반 게이트웨이 관리와 외부 시장 참여자 연동
- 게이트웨이, 제어함, EnWG 제14a조에 따른 CLS 채널을 위한 갱신, 폐기, 모니터링을 포함한 인증서 수명 주기
- ISO 27001과 BSI TR-03109-6에 따른 게이트웨이 관리자 ISMS 인증 증빙
한 계량점 운영자는 스마트미터 게이트웨이용 하위 CA를 외부 서비스 제공업체에서 자체 운영으로 전환합니다. 키는 기록이 남는 세리머니를 거쳐 HSM 안에서 생성되고, 게이트웨이 관리와 시장 참여자는 자체 PKI에서 인증서를 발급받습니다.
제공 내용
- BSI TR-03109-4에 따른 인증서 프로필을 포함한 PKI 설계
- 기록이 남는 키 세리머니를 갖춘 HSM 보호 하위 CA
- 인증서 수명 주기와 폐기를 위한 운영 매뉴얼
03KRITIS 증빙, ISO 27019 기반 ISMS, 공격 탐지ISO 27019 · EnWG 제11조에 따른 IT 보안 카탈로그 · Microsoft Sentinel
저희의 접근 방식
전력망 사업자는 EnWG 제11조에 따른 IT 보안 카탈로그에 맞는 인증된 ISMS가 필요하고, KRITIS 운영기관은 여기에 더해 공격 탐지 시스템과 BSI에 대한 정기 증빙이 필요합니다. NIS2는 등록, 위험 관리, 신고 의무를 더 많은 에너지 기업으로 확대합니다. 저희는 공정 제어를 위한 ISO 27019 보완 사항을 포함해 ISO 27001에 따른 ISMS를 구축하거나, 그 적용 범위를 전력망 제어까지 확대합니다. 공격 탐지는 BSI 지침에 따라 구축하며, IT와 제어 시스템을 위한 로깅, 탐지, 대응을 포함합니다. BSI와 연방네트워크청에 대한 신고 절차는 감사가 다가오기 전에 양식과 기한에 맞춰 연습합니다.
서비스 범위 상세
- EnWG 제11조 IT 보안 카탈로그, ISO 27001, ISO 27019 기준의 격차 분석, 전력망 제어를 포함한 적용 범위
- 전력망 구조 계획, 위험 분석, 조치 계획, 인증 준비를 포함한 ISMS 구축 또는 확장
- BSI 지침에 따른 공격 탐지 시스템, IT와 제어 시스템을 위한 로깅, 탐지, 대응
- BSI법과 NIS2의 단계와 기한에 맞춘 BSI 및 연방네트워크청 신고 절차, 기록이 남는 훈련
- 공격 탐지 구현 수준을 담은 감사 자료와 KRITIS 감사 동행 지원
한 지역 에너지 공기업은 IT와 제어 시스템을 ISO 27019 기반 ISMS로 통합하고, 다음 KRITIS 감사 일정 전에 구현 수준을 담아 공격 탐지를 증빙합니다.
04원격 유지보수와 분산 설비 연동IEC 60870-5-104 · IEC 61850 · OPC UA
저희의 접근 방식
태양광, 풍력 단지, 저장 설비, 열병합발전소는 측정값을 전달하고 제어 명령을 받으며, 대개 공중망과 여러 제조사의 부품을 거칩니다. 저희는 이런 설비를 IEC 60870-5-104, IEC 61850, Modbus TCP, OPC UA를 통해 제어 시스템, 직접판매사업자, 재급전 2.0과 연동하며, 통로에는 데이터 다이오드와 프로토콜 게이트웨이를 둡니다. 제조사와 서비스 제공업체의 원격 유지보수는 점프 서버, 다중 인증, 기한이 정해진 승인, 세션 기록을 갖춘 중앙 접속점을 통해 이루어집니다. 변전소와 단지의 엣지 기기는 하드닝된 운영체제, 인증서, 서명된 펌웨어를 통한 원격 업데이트를 받습니다.
서비스 범위 상세
- IEC 60870-5-104, IEC 61850, Modbus TCP, OPC UA를 포함한 발전 설비, 저장 설비, 제어함 인터페이스 카탈로그
- 점프 서버, 다중 인증, 세션 기록, 서비스 제공업체별 기한이 정해진 승인을 갖춘 원격 유지보수 접속
- OPSWAT MetaDefender NetWall을 이용한 프로세스 네트워크와 관제센터, 기업 IT 사이 통로용 데이터 다이오드와 프로토콜 게이트웨이
- 하드닝된 운영체제, 인증서, 서명된 원격 업데이트를 갖춘 변전소와 단지의 엣지 기기
- 인터페이스별 테스트와 기록을 포함한 제어 시스템, 직접판매사업자, 재급전 2.0 연동
한 풍력 단지 운영사는 제조사의 모뎀 접속을 점프 서버를 갖춘 중앙 원격 유지보수 접속으로 대체합니다. 모든 세션은 특정 서비스 제공업체에 배정되고, 기한이 정해지며, 기록됩니다.
05데이터 플랫폼을 통한 부하와 발전 예측Apache Kafka · Apache Spark · TimescaleDB
저희의 접근 방식
태양광과 풍력의 발전 유입, 히트펌프, 충전 인프라는 부하와 발전 계획을 더 어렵게 만들고, 오차는 조정전력과 재급전 비용으로 이어집니다. 저희는 제어 시스템 이력, 스마트미터 게이트웨이의 측정값, 독일 기상청의 기상 데이터, 시장 데이터를 통합하는 데이터 플랫폼을 구축하고, 이를 바탕으로 전력망 구역과 지역 변전소별 불확실성 구간을 포함한 예측 모델을 학습시킵니다. 모델은 제어 시스템 밖에서 실행되며, 그 예측은 제안 형태로 계통 운영, 밸런싱 그룹 관리, 거래에 전달됩니다. 버전 관리, 예측 정확도 모니터링, 재학습, EU AI Act에 따른 분류가 운영에 포함됩니다.
서비스 범위 상세
- 제어 시스템 이력, 게이트웨이 관리, 독일 기상청 기상 데이터, 시장 데이터와 연동된 데이터 플랫폼
- 밸런싱 그룹, 재급전, 거래를 위한 불확실성 구간을 포함한 부하, 태양광, 풍력 예측 모델
- 계통 운영을 위한 측정값과 예측 기반의 전력망 구역별 계통 상태 추정과 혼잡 예측
- 버전 관리, 예측 정확도 모니터링, 재학습, EU AI Act에 따른 분류를 포함한 모델 운영
- GDPR와 계량점 운영법에 따른 가명처리를 포함한 스마트미터 게이트웨이 측정값 개인정보 보호 방안
한 배전망 사업자는 기상 데이터와 측정 데이터를 바탕으로 지역 변전소별 태양광 발전 유입을 예측합니다. 계통 운영은 장애가 발생하기 전날 혼잡을 미리 파악합니다.
제공 내용
- 제어 시스템, 계량 시스템, 기상 데이터와 연동된 데이터 플랫폼
- 정확도 보고서와 모델 카드를 포함한 버전 관리된 예측 모델
- 모델 운영과 재학습을 위한 운영 매뉴얼
06수명이 긴 설비를 위한 양자내성암호 준비ML-KEM (FIPS 203) · ML-DSA (FIPS 204) · LMS와 XMSS
저희의 접근 방식
고성능 양자컴퓨터는 오늘날 원격제어 연결, 펌웨어 서명, 스마트미터링 PKI가 의존하는 RSA와 타원곡선을 무력화할 것이며, 원격제어 장비, 게이트웨이, 변전소 설비는 사무용 IT보다 훨씬 오래 현장에 남습니다. 저희는 제어 시스템, PKI, 설비 전반의 암호 방식, 키, 인증서를 목록화하고, 장비 수명에 따라 평가한 뒤 ML-KEM과 ML-DSA로의 전환을 단계별로 계획합니다. 펌웨어 서명은 먼저 LMS, XMSS 같은 해시 기반 방식으로 전환하고, HSM 펌웨어와 PKI는 BSI TR-02102에 맞춰 하이브리드 인증서로 뒤따릅니다. 로드맵은 각 단계를 전력망의 롤아웃과 갱신 주기에 맞춥니다.
서비스 범위 상세
- 제어 시스템, 원격제어 연결, 스마트미터링 PKI, 펌웨어 서명, TLS 엔드포인트에 걸친 암호 인벤토리와 수명 기반 평가
- ML-KEM, ML-DSA 지원 여부와 펌웨어용 LMS, XMSS 기반 해시 서명에 대한 HSM 및 PKI 소프트웨어 점검
- 현장 교체 없이 방식을 전환할 수 있도록 인증서 관리와 프로토콜 게이트웨이의 암호 민첩성
- BSI TR-02102에 맞춘 루트 CA와 하위 CA용 하이브리드 인증서와 이관 계획
- 게이트웨이, 제어함, 원격제어 장비의 롤아웃 주기에 맞춘 단계별 로드맵
한 가스망 사업자는 원격제어 시스템과 PKI의 암호 방식을 목록화합니다. 펌웨어 서명은 먼저 해시 기반 방식으로 전환하고, 하위 CA는 다음 장비 교체 시점에 하이브리드 인증서로 뒤따릅니다.
전형적인 프로젝트 상황
변화가 구체화되는 지점.
프로젝트는 흔히 구체적인 과제에서 시작됩니다. 다음 예시는 전형적인 초기 상황과 가능한 접근 방식, 목표로 하는 결과를 함께 보여줍니다.
예시로 든 초기 상황이며, 고객 사례가 아닙니다.
01 / 에너지 산업
한 배전망 사업자의 구역 모델
관제센터, 변전소, 사무용 IT가 하나의 네트워크에 있고, 방화벽 규칙은 시운전 당시 그대로이며, KRITIS 감사 일정이 예고되었습니다.
해결 방안
자산 인벤토리, IEC 62443-3-2 기반 구역과 통로, 정비 기간 중 하드닝, 제어 시스템 프로토콜을 반영한 SIEM 공격 탐지입니다.
분리된 구역이 운영되고, 공격 탐지의 구현 수준이 증빙되며, 감사 일정 전에 자료가 준비되었습니다.
02 / 에너지 산업
한 계량점 운영자의 하위 CA
스마트미터 롤아웃이 진행 중이고, 인증서는 투명성이 없는 외부 서비스 제공업체에서 발급되며, 자체 하위 CA의 키를 사내로 가져오려 합니다.
해결 방안
BSI TR-03109-4 기반 PKI 설계, HSM 선정, 기록이 남는 키 세리머니, 게이트웨이 관리와 시장 참여자 연동입니다.
HSM으로 보호되는 키를 갖춘 자체 하위 CA, 운영 매뉴얼에 담긴 인증서 수명 주기, ISMS 인증을 위한 증빙이 마련되었습니다.
03 / 에너지 산업
한 지역 에너지 공기업의 발전량 예측
태양광 발전 유입이 스프레드시트 기반 예측을 초과하고, 조정전력과 재급전 비용이 늘어나며, 측정값은 제어 시스템 안에서 활용되지 않고 있습니다.
해결 방안
제어 시스템 이력, 측정값, 기상 데이터를 포함한 데이터 플랫폼, 지역 변전소별 불확실성 구간을 포함한 예측 모델, 정확도 보고서를 포함한 모델 운영입니다.
계통 운영과 밸런싱 그룹을 위한 불확실성 구간을 포함한 예측, 전날 확인되는 혼잡, 버전 정보와 증빙을 갖춘 모델이 마련되었습니다.
협업
명확한 과정. 귀사의 팀과 함께.
최초 개요 파악부터 지속적인 운영까지, 저희는 우선순위와 책임, 각 단계의 결과물을 함께 조율합니다.
저희가 일하는 방식
- 01
평가
설비, 네트워크, 인터페이스, KRITIS와 NIS2, IT 보안 카탈로그에 따른 의무
자산 인벤토리, 암호 인벤토리, 격차 분석, 공급에 미치는 영향에 따른 우선순위 조치 목록 - 02
개념 설계
구역 모델, PKI 아키텍처, 공격 탐지, 운영 모델
구역 모델, PKI 및 HSM 설계, 탐지 설계, 운영 모델, 감사 계획 - 03
구현
정비 기간 중 네트워크 분할, PKI, 원격 접속, 데이터 플랫폼
분리된 구역, 기록이 남는 세리머니를 거친 하위 CA, 테스트된 인터페이스, 문서화, 단계별 승인 - 04
운영
모니터링, 인증서, 감사, 지식 전달
정상 운영 중인 공격 탐지, 인증서 갱신, 감사 동행 지원, 단계적 인계
- 01
무엇을 변화시키고자 하십니까?
현재의 과제와 귀사가 원하는 결과.
- 02
어떤 시스템이 관련되어 있습니까?
사업장, 애플리케이션, 인터페이스에 대한 개요.
- 03
어떤 제약 조건이 있습니까?
프로젝트 일정, 유지보수 기간, 알려진 종속성.
- 04
누가 논의에 참여해야 합니까?
IT, 보안, 운영 부문의 적합한 담당자.
배경 및 의사 결정 자료
에너지 산업을 위한 IT 보안이란 무엇입니까?
IEC 62443 기반 제어 시스템부터 수명이 긴 설비를 위한 양자내성암호까지 여섯 가지 실행 영역을 OTOKO®가 계획하고 통합하며 운영합니다. 모든 조치는 BSI, 연방네트워크청, 감사인에게 입증할 수 있습니다. 전체 솔루션은 독일 데이터센터에서 운영됩니다.
에너지 산업 IT 보안은 제어 시스템, 발전 설비, 계량 시스템을 장애와 공격으로부터 보호하고, 모든 조치를 BSI와 연방네트워크청에 입증합니다. OTOKO®는 이를 위해 여섯 가지 실행 영역을 다룹니다. IEC 62443에 따른 전력망 제어 시스템과 설비, BSI TR-03109에 따른 스마트미터 게이트웨이 PKI와 HSM, ISO 27019에 따른 ISMS를 통한 KRITIS 증빙, 분산 설비의 원격 유지보수와 연동, 데이터 플랫폼을 활용한 부하 및 발전 예측, 수명이 긴 설비를 위한 양자내성암호 준비입니다. 이때 키와 인증서는 하드웨어 보안 모듈, 줄여서 HSM에 보관됩니다.
단순한 컨설팅 프로젝트와 다른 점은 운영과 증빙에 있습니다. 모든 구역, 모든 원격제어 연결, 모든 인증서에는 문서, 버전 정보, 그리고 KRITIS 감사와 연방네트워크청의 IT 보안 카탈로그가 요구하는 자료가 함께 제공됩니다. 암호 기술과 하드웨어 보안 모듈은 저희의 핵심 역량입니다. 그래서 스마트미터 PKI와 원격제어 시스템의 키는 소프트웨어가 아니라 인증된 장비에 보관됩니다.
에너지 산업에 OTOKO®를 선택해야 하는 이유
- 암호 기술 및 HSM
암호 기술과 하드웨어 보안 모듈은 저희의 핵심 역량입니다. 스마트미터 PKI의 하위 CA, 원격제어 시스템과 펌웨어 서명을 위한 인증서를 BSI TR-03109가 요구하는 대로 인증된 장비에서 계획하고 운영합니다.
- 독일 데이터센터
전체 솔루션은 독일 데이터센터에서 운영됩니다. PKI, 공격 탐지, 예측용 데이터 플랫폼 모두 해당됩니다.
- 핵심 기반시설과 규제 산업
저희는 핵심 기반시설 운영기관 및 규제 산업 분야와 함께 일합니다. 에너지 공급 분야에서 BSI, 연방네트워크청, 감사인, 정보보안 부서가 기대하는 바를 잘 알고 있습니다.
- 운영까지 함께하는 한 팀
한 팀이 컨설팅부터 운영까지 함께합니다. OT 보안 아키텍트, 암호 전문가, 데이터 엔지니어가 제3자에게 인계하지 않고 계속 참여합니다.
제공 조건 및 세부 정보
에너지 산업 프로젝트 착수 전의 전형적인 초기 상황
대부분의 공급사는 기술 부족이 아니라 오랫동안 축적된 제어 시스템, 증빙 공백, KRITIS와 NIS2의 기한 때문에 어려움을 겪습니다.
01
구역이 없는 제어 시스템
제어 시스템, 원격제어 시스템, 사무용 IT가 하나의 네트워크를 공유하고, 엔지니어링 워크스테이션이 모든 제어장치에 접근할 수 있으며, 방화벽 규칙은 시운전 당시 그대로입니다.
02
관리되지 않는 인증서
게이트웨이, 원격제어 장비, 제어함의 인증서는 스프레드시트로 관리되고, 하위 CA의 키는 소프트웨어에 있으며, 만료는 장애가 발생해야 비로소 드러납니다.
03
제어 시스템을 포괄하지 않는 공격 탐지
SIEM은 사무용 IT의 이벤트는 수집하지만 IEC 60870-5-104와 IEC 61850 같은 제어 시스템 프로토콜은 수집하지 않으며, BSI 신고는 한 사람에게 달려 있습니다.
04
기록이 없는 원격 유지보수
제조사와 서비스 제공업체가 자체 모뎀과 VPN 접속으로 설비에 접근하는데, 승인도 시간 제한도 세션 기록도 없습니다.
세 가지 운영 모델
| 온프레미스 | 독일 클라우드 | 하이퍼스케일러 | |
|---|---|---|---|
| 데이터 보관 | 귀사의 관제센터, 데이터센터, HSM, 하위 CA | ISO 27001 기준으로 운영되는 독일 내 데이터센터 | Azure, AWS 또는 Google Cloud, 독일 리전 선택 가능 |
| 운영 | 귀사 팀 또는 매니지드 서비스로서의 OTOKO® | OTOKO®, KRITIS 감사를 위한 감사권과 증빙 포함 | 공동 운영, 제공업체의 플랫폼 서비스 |
| 도구 | 자체 보유한 제어 시스템, OT 모니터링, HSM, PKI, Kafka, Kubernetes | 호스팅 PKI, HSM as a Service, 예측용 데이터 플랫폼 | 클라우드 HSM 서비스, 관리형 데이터 및 ML 서비스 |
| 적합한 대상 | 계통 운영, 원격제어 시스템, 스마트미터 PKI의 하위 CA | 주권과 감사 증빙이 필요한 KRITIS 운영기관 | 예측, 분석, 시장 커뮤니케이션, 부하 피크 |
| 컴플라이언스 | 완전한 통제, ISO 27019 기반 자체 ISMS의 증빙 | GDPR에 따른 위탁처리, KRITIS 계약, 독일 소재 | 위탁처리, 표준계약조항, 클라우드에서의 제어 명령 없음 |
협업 방식
프로젝트
IEC 62443 기반 구역 모델, 하위 CA 구축, KRITIS 감사 준비처럼 범위가 명확한 프로젝트로, 정해진 결과물과 마일스톤, 검수 절차를 포함합니다.
- 평가, 개념 설계, 구현, 인계
- 고정가 또는 마일스톤별 공수 정산
- 감사 준비, PKI 구축, 네트워크 분할 프로젝트에 적합
인력 지원
OT 보안 아키텍트, 암호 전문가, 데이터 엔지니어가 귀사의 팀, 도구, 승인 프로세스 안에서 일하며, 필요하면 관제센터에서 직접 근무합니다.
- 귀사의 설비, 프로세스, 정비 기간에 대한 적응 교육
- 프로젝트 진행에 따라 규모 조정 가능
- 자체 팀은 있지만 인력 공백이 있는 공급사에 적합
매니지드 서비스
OTOKO®는 공격 탐지, PKI와 HSM 또는 데이터 플랫폼을 합의된 서비스 수준, 정기 보고, KRITIS 감사인과 연방네트워크청이 요구하는 증빙과 함께 운영합니다.
- 모니터링, 인증서 갱신, 업데이트, 지원
- 계약에 명시된 감사권, 서비스 지표, 신고 경로
- OT 보안이나 PKI를 위한 자체 운영팀이 없는 공급사에 적합
표준 및 증빙
전력망 사업자, 발전사업자, 계량점 운영자에게 적용되는 다섯 가지 규정과 그 요구 사항, 그리고 OTOKO®가 이를 위해 제공하는 것입니다.
| 기준 | 요구 내용 | OTOKO®의 제공 내용 |
|---|---|---|
| IT 보안법 2.0과 KRITIS | KRITIS 규정 임계값을 초과하는 설비에 대한 최신 기술 수준, 공격 탐지 시스템, BSI에 대한 정기 증빙, 중대한 장애 신고 | 설비 분류, BSI 지침에 따른 IT와 제어 시스템 공격 탐지, 구현 수준을 담은 감사 자료, 양식을 포함한 신고 절차 |
| NIS2 | 등록, 공급망, 암호 기술, 접근에 대한 위험 관리 조치, 조기 경보, 신고, 최종 보고로 이루어진 단계별 신고, 경영진의 책임 | 조치에 대한 격차 분석, 암호 및 접근 설계, 기한과 훈련을 포함한 신고 절차, 경영진 교육 증빙 |
| ISO 27019와 IT 보안 카탈로그 | 공정 제어를 위한 ISO 27019 보완 사항을 포함한 ISO 27001 기반 ISMS, EnWG 제11조에 따른 전력망 제어를 포함하는 적용 범위, 인증과 IT 보안 담당자 | 전력망 구조 계획, 위험 분석, 조치 계획을 포함한 ISMS 구축 또는 확장, 인증 준비와 감사 동행 지원 |
| IEC 62443 | 보호등급을 갖춘 구역과 통로, 제어 시스템 요구 사항, 구성 요소 하드닝, 자동화 시스템의 패치 및 변경 프로세스 | 위험 평가를 포함한 구역 모델, 네트워크 분할과 하드닝, 구역별 검증 증빙, 정비 기간 중 패치를 위한 운영 매뉴얼 |
| BSI TR-03109 | 보호 프로필에 따른 인증된 스마트미터 게이트웨이, 하위 CA를 갖춘 스마트미터링 PKI, PKI 인증서를 이용한 TLS, 게이트웨이 관리자와 그 ISMS에 대한 요구 사항 | HSM을 갖춘 PKI 설계와 하위 CA, 인증서 프로필과 수명 주기, 게이트웨이 관리와 시장 참여자 연동, ISMS 증빙 |
자주 묻는 질문
좋은 질문. 명확한 답변.
귀사의 산업 분야, 프로젝트, 이후 운영에 대한 15가지 답변입니다.
산업 분야 및 실행 영역6 질문
OTOKO®는 에너지 산업을 위해 어떤 서비스를 제공합니까?
서비스 범위는 IEC 62443에 따른 제어 시스템 구역 모델과 하드닝, BSI TR-03109에 따른 스마트미터 게이트웨이용 PKI와 HSM, ISO 27019 기반 ISMS를 통한 KRITIS 증빙과 공격 탐지, 원격 유지보수와 분산 설비 연동, 부하와 발전 예측, 그리고 양자내성암호 준비까지 포함합니다. 각 실행 영역은 개별적으로 또는 전체 패키지로 의뢰할 수 있으며, 독일 데이터센터에서 운영됩니다.
저희 지역 에너지 공기업은 KRITIS 운영기관에 해당합니까, 아니면 NIS2 적용 대상입니까?
설비가 핵심 시설에 해당하는지는 전력망, 발전, 가스 공급, 지역난방 등 설비 범주별 KRITIS 규정 임계값이 결정합니다. NIS2는 이 임계값 아래에서도 규모와 업종에 따라 에너지 기업을 추가로 포함합니다. 저희는 귀사의 설비를 분류하고, 기한을 포함한 의무을 도출하며, 어떤 증빙을 먼저 마련해야 하는지 정합니다.
설비를 변경하지 않고도 기존 제어 시스템에 보안을 추가할 수 있습니까?
예, 이는 일반적인 경우입니다. 오래된 제어 시스템과 원격제어 장비는 업데이트를 거의 받지 못하므로, 저희는 구역, 전단에 배치한 산업용 방화벽, 데이터 다이오드, 통제된 원격 접속, 네트워크 트래픽의 수동적 모니터링으로 이를 보호합니다. 이런 조치는 검증된 설비 구성을 건드리지 않고 작동하며, 정비 기간에 도입됩니다. 저희는 핵심 기반시설 운영기관 및 규제 산업 분야와 함께 일합니다. 이런 방식은 그곳에서 일상적입니다.
BSI TR-03109는 스마트미터 게이트웨이 PKI 운영기관에 무엇을 요구합니까?
이 기술지침은 게이트웨이, 게이트웨이 관리, 시장 참여자가 스마트미터링 PKI의 인증서를 사용해 TLS로만 통신하도록 규정합니다. 하위 CA를 운영하려면 BSI 루트 하위 등록, TR-03109-4에 따른 인증서 프로필, ISO 27001 기반 ISMS, 그리고 HSM에서 생성하고 보관하는 키가 필요합니다. 저희는 PKI 설계, HSM 통합, 키 세리머니, 인증을 위한 증빙을 제공합니다.
예측 모델은 제어 시스템을 위험에 빠뜨리지 않고 어떻게 제어 시스템과 계량 시스템의 데이터를 확보합니까?
데이터 플랫폼은 데이터 다이오드나 프로토콜 게이트웨이를 통해 프로세스 네트워크의 데이터를 읽기만 하고, 다시 기록하지는 않습니다. 스마트미터 게이트웨이의 측정값은 게이트웨이 관리를 거쳐 플랫폼에 도달하며, GDPR와 계량점 운영법에 따라 가명처리됩니다. 모델은 제어 시스템 밖에서 실행되고, 그 예측은 제어 명령이 아니라 제안 형태로 계통 운영에 전달됩니다.
에너지 공급사는 언제부터 양자내성암호를 준비해야 합니까?
지금, 인벤토리 작업부터 시작해야 합니다. 스마트미터 게이트웨이, 원격제어 장비, 변전소 설비는 고성능 양자컴퓨터의 예상 등장 시점보다 훨씬 오래 현장에 남으며, 전력망 내 장비 교체에는 수년의 준비 기간이 필요합니다. 인벤토리는 어떤 펌웨어 서명, 인증서, 연결을 먼저 전환해야 하는지 보여주고, 로드맵은 전환을 롤아웃과 갱신 주기에 맞춥니다.
시작과 구현5 질문
하나의 실행 영역만으로 시작할 수 있습니까?
예. 먼저 구체적인 과제 하나를 한정할 수 있습니다. 이때 나머지 인프라와의 인터페이스를 함께 검토하고, 구현에 앞서 어떤 서비스가 계약에 포함되는지 협의합니다.
첫 상담을 위해 무엇을 준비해야 합니까?
과제, 관련 시스템, 원하시는 결과를 간단히 설명해 주시면 시작하기에 충분합니다. 알려진 일정과 적합한 담당자 정보가 있으면 추가로 도움이 됩니다. 자격 증명이나 기밀 시스템 문서는 첫 문의에 포함하지 마십시오.
누가 프로젝트에 참여해야 합니까?
OT 보안 아키텍트: 구역 모델, 하드닝, 제어 시스템을 위한 공격 탐지. 암호 전문가: 스마트미터 PKI, HSM 통합, PQC 로드맵. 통합 개발자: 설비 인터페이스, 원격 접속, 데이터 다이오드. 데이터 엔지니어: 데이터 플랫폼, 예측 모델, 모델 운영. 컴플라이언스 컨설턴트: KRITIS, NIS2, IT 보안 카탈로그, 감사 자료. 프로젝트 책임자: 마일스톤, 정비 기간, 검수, 보고서.
일정과 작업량은 어떻게 산정됩니까?
저희는 시스템, 인터페이스, 문서화 현황, 운영상의 제약 조건을 살펴봅니다. 합의된 범위와 마일스톤이 작업량 산정의 근거가 됩니다. 이러한 정보 없이 제시한 고정 기간은 신뢰하기 어렵습니다.
프로젝트 첫 단계에서는 무엇을 제공합니까?
설비, 네트워크, 인터페이스, KRITIS와 NIS2, IT 보안 카탈로그에 따른 의무 자산 인벤토리, 암호 인벤토리, 격차 분석, 공급에 미치는 영향에 따른 우선순위 조치 목록
운영과 발전4 질문
어떤 협업 형태가 가능합니까?
프로젝트: IEC 62443 기반 구역 모델, 하위 CA 구축, KRITIS 감사 준비처럼 범위가 명확한 프로젝트로, 정해진 결과물과 마일스톤, 검수 절차를 포함합니다. 인력 지원: OT 보안 아키텍트, 암호 전문가, 데이터 엔지니어가 귀사의 팀, 도구, 승인 프로세스 안에서 일하며, 필요하면 관제센터에서 직접 근무합니다. 매니지드 서비스: OTOKO®는 공격 탐지, PKI와 HSM 또는 데이터 플랫폼을 합의된 서비스 수준, 정기 보고, KRITIS 감사인과 연방네트워크청이 요구하는 증빙과 함께 운영합니다.
운영으로의 인계는 어떻게 이루어집니까?
모니터링, 인증서, 감사, 지식 전달 정상 운영 중인 공격 탐지, 인증서 갱신, 감사 동행 지원, 단계적 인계
나중에 추가 사업장이나 시스템을 더할 수 있습니까?
이는 첫 설계에서부터 고려할 수 있습니다. 문서화된 인터페이스와 재사용 가능한 규칙은 확장의 토대가 됩니다. 다만 추가되는 사업장과 신규 시스템은 각각의 고유한 요구 사항에 따라 별도로 검토됩니다.
솔루션을 장기적으로 운영 가능한 상태로 유지하려면 어떻게 합니까?
책임 소재, 반복적인 업무, 변경 절차는 기술 구현과 함께 정해집니다. 문서화와 지식 전달은 귀사 팀의 일상 업무에 도움이 됩니다. 어떤 활동과 지속적인 지원이 포함되는지는 서비스 범위에서 합의합니다.
에너지 산업
다음 단계를 저희와 상담하십시오.
전력망과 설비의 현재 취약점과 가장 먼저 효과를 낼 대응 방안을 함께 점검하겠습니다.
상담 예약하기
