KINAC/RR-009/ 년도 사이버보안실 운영보고서 년 3 월 한국원자력통제기술원

Transcription

1 KINAC/RR-009/2018 (B7-7140) 운영보고서 2017 년도사이버보안실운영보고서 2017 Annual Report for Cyber Security Division 2018 년 03 월

2 KINAC/RR-009/ 년도 사이버보안실 운영보고서 년 3 월 한국원자력통제기술원

3 KINAC/RR-009/2018 (B7-7140) 운영보고서 2017 년도사이버보안실운영보고서 2017 Annual Report for Cyber Security Division 2018 년 03 월

4 제출문 한국원자력통제기술원장귀하 본보고서를 2017 년도 원자력시설사이버보안규제이행 과제의 운영보고서로제출합니다 년 3 월 과제명 : 원자력시설사이버보안규제이행 과제책임자 : 실장신익현 참여자 : 책임연구원박수진선임연구원권국희선임연구원김아람선임연구원김태희선임연구원김현두연구원김시원연구원김상우연구원송동훈연구원임수민연구원변예은연구원이채창연구원류진호

5 요약문 Ⅰ. 제목 원자력시설사이버보안규제이행 Ⅱ. 운영목적및필요성 가동원자력시설사이버보안정기검사의철저한수행 가동원자력시설정보시스템보안규정에따른단계별 (2단계 ~ 5단계 ) 이행결과에대한특별검사이행 '17년도설계기준위협재검토를위한사이버보안분야위협평가서작성 가동원자력시설사이버보안훈련계획심사및평가수행 건설원자력시설사이버보안설계심사수행 건설및가동원자력시설에대한사이보안규제이행고도화 Ⅲ. 운영내용및범위 원자력시설에대한규제이행 - 사이버보안정기검사 - 사이버보안 CSP 단계별특별검사 원자력시설에대한사이버훈련평가 - 사이버훈련개요 - 사이버훈련실시내용및평가 원자력시설에대한사이버위협평가체제 - 18년도설계기준위협 (DBT) 재검토를위한사이버보안분야위협평가서작성 심 검사이행체제의강화및규제기반기술확보 - 법령개정지원 - 규제환경구축

6 건설원자력시설규제이행 - 건설원자력시설규제개요 - 건설원자력시설심사 사이버보안분야국내외협력 - 국외협력 - 국내협력 Ⅳ. 운영결과 가동원자력시설사이버보안정기검사 년도전체시정조치 28 건을포함한정기검사결과보고서 10 건 ( 고리 1,2 발전소, 신고리 1 발전소, 월성 1,2,3 발전소, KORAD( 대전 / 월 성 ) 필수디지털자산의식별 에관한 KAERI 2 단계특별검사 - KAERI 2 단계 ( 필수디지털자산식별 ) 특별검사결과보고서 1 건발행 - 2 단계이행관련사업자와설명회 1 회및실무회의 2 회개최 필수디지털자산의식별 에관한한수원 3 단계특별검사 - 한수원 3 단계 ( 필수디지털자산식별 ) 특별검사결과보고서 4 건발행 - 3 단계이행관련사업자 4 차례실무회의개최 심층방호및비상대응 에관한 KAERI 3 단계특별검사 - KAERI 3 단계 ( 심층방호및비상대응 ) 특별검사결과보고서 1 건발행 - 사업자와 2 차례에설명회및 2 회점검회의개최 매체통제 에관한 KAERI, 기타시설 * 4 단계특별검사 - KAERI 4 단계 ( 매체통제 ) 특별검사결과보고서 1 건발행 - 기타시설 4 단계 ( 매체통제 ) 특별검사결과보고서 5 건발행 - 사업자와 1 회의설명회및 3 차례기술회의개최 * 기타시설은 KNF, KORAD( 대전 / 월성 ), 그린피아, 소야그린텍 무결성유지 에관한기타시설 * 5 단계특별검사 - 기타시설 5 단계 ( 매체통제 ) 특별검사결과보고서 4 건발행 (* KORAD 5 단계의경우, 월성 / 대전결과를통합하여 1 개결과보고서작성 )

7 - 사업자와 1회의설명회실시 건설원자력시설사이버보안규제이행 - 신한울1,2 정보시스템보안규정심사진행 * 3차례의심사질의및답변에대한기술검토회의 4회개최 - 신고리5,6 및신한울3,4 정보시스템보안규정심사진행 * 1차례의심사질의및답변에대한기술검토회의 2회개최 - 기장연구로정보시스템보안규정심사진행 * 1차례의심사질의및답변에대한기술검토회의 2회개최 사이버보안신규위협분석및위협평가서작성 - 원자력시설 EMP 방호규제기반구축정책연구과제수행 ( 17.4월 ~9 월 ) - EMP 방호기술기준전문가자문회의개최 ( 17.9) - 원자력시설 EMP 방호기술기준제정 ( 17.11) - 민간업체 (NSHC) 와의계약을통해위협정보수집및사이버사건분석 - EMP를포함한사이버보안위협평가서개발 ( 17.11) 가동원자력시설사이버보안훈련평가 - 사이버보안훈련평가설명회개최 (2회, / ) - 총 36건의사이버보안훈련계획서심사완료 * 연간훈련계획서 6건, 시설별전체훈련계획서 10건, 상 / 하반기부분훈련 20건 - 총 10건의사이버보안전체훈련에대한평가완료 * 전체훈련은실제평가수행및부분훈련은참관만수행 국내외협력을통한사이버보안규제이행고도화 - NRC와의양자기술협력회의개최 ( ~10.20) * 단계별규제이행, EMP, 사건보고등 6개주제에대한양기관간경험공유 - DOE와의 PCG 기술협력회의개최 ( ) * 기술적보안대책에대한검사매뉴얼개발에관한상세협의 - KINS와의양자정례회의 ( 분기별 ) 개최하여안전 안보연계등논

8 의 - 사이버보안규제워킹그룹회의 ( ) 개최및규제정보회의기술세션을개최 ( ) 하여규제관련현안사항설명및의견청취 - 3개기관 (KINAC-KAERI-국보연) 정례회의 ( 분기별 ) 개최하여사이버보안 R&D에관한각기관별결과물공유 심검사지침서 / 절차서개발 ( 각1건 ) - 사이버보안심사및검사시검사원이활용할허용기준, 기술적근거에관한상세지침서및검사원역할및업무처리절차등에관한절차서개발 제어시스템규제모의환경구축 - 원전디지털제어시스템모듈도입 * 원전제어봉제어계통에사용되는제어기 (Modicon PLC) 도입 - 제어시스템유지보수반소프트웨어개발용역 * 국산화안전계통에사용되는 MTP 소프트웨어개발완료 - 사이버위협분석환경구축전략계획수립용역 * 사이버보안규제 R&D 및실습을위한테스트베드구축위한중장기전략수립 기타사이버보안위협정보수집및분석등 - NSHC 기반시설제어시스템최신보안이슈및취약점분석보고서 4회구매 - 국내외기술협력회의 10회 - 랜섬웨어에따른수시검사방안 - RMS 취약점분석 - 원전관리기업해킹공격분석

9 영문요약문 Ⅰ. Title Implementation of cyber security regulation in nuclear facilities Ⅱ. Operational Objectives and Needs Complete implementation of the cyber security periodical inspection at the operation nuclear facility Implementation of the special inspection for the results of the implementation of the step-by-step (Step 2 ~ Step 5) according to the information system security regulation of the operational nuclear facility Prepared a threat evaluation report for the cyber security field for reviewing the design basis threat in '17. Review and evaluation of the cyber security training plan of the operation nuclear facility Implementation of an audit of the cyber security design of the construction nuclear facility Improving implementation of security regulation between construction and operational nuclear facilities Ⅲ. Operation and scope Implementation of regulations on nuclear facilities - Periodic inspection of cyber security - Cyber security CSP step-by-step special inspection Evaluation of cyber training for nuclear facilities - Overview of cyber training - Evaluation of cyber training and contents

10 Cyber threat assessment system for nuclear facilities - Prepare a cyber security threat assessment for review of the 2018 Design Criteria Threat (DBT). Strengthening the evaluation and inspection system and securing technology based on regulations - Legal revision support - Construct regulatory environment Implementation of the regulations for the construction nuclear facility - Overview of regulation on construction nuclear facilities - Inspection of construction nuclear facility Domestic and foreign cooperation in the field of cyber security - Overseas cooperation - Domestic cooperation Ⅳ. Operational Results Regular inspection of the operational nuclear facility's cyber security - 10 Periodic inspection results report(gori 1, 2 plants, Shin-Gori 1 plant, Wolsung 1, 2, 3 plants, KORAD(Dae-Jeon/Wolsung) including 28 corrective actions in 2017 KAERI Phase 2 Special Inspection on "Identification of Critical Digital Assets" - Issue one of special inspection result report for KAERI s Phase II (Identify Required Digital Assets) - Holding of one-time briefing session and two-time presentation for the implementation of the second stage KHNP's 3rd stage special inspection on "Identification of Critical Digital Assets" - 3rd steps of KHNP (identification of essential digital assets) issued 4 special inspection result reports

11 - Holding of four-time presentation and inspection meetings for business operators involved in the implementation of Phase 3 KAERI 3rd stage special inspection on "Defense in Depth and Emergency Response - Issue one of special inspection result report for KAERI s Phase III (Defense in Depth and Emergency Response) - Holding two times briefing session and two times inspection meetings with KAERI KAERI and Other facilities * 4th special inspection on "Media Control" - Issue one of special inspection result report for KAERI s Phase IV (Media Control) - Issue five of special inspection result report for Other facilities s Phase IV (Media Control) - Holding one time briefing session and three times technical meetings with facilities * Other facilities include KNF, KORAD (Daejeon / Wolseong), Greenfia, Soya Greentech Other facilities * s 5th special inspection on "Maintaining Integrity - Issue of four special inspection results reports in Step 5 (Maintaining Integrity) of other facilities - Holding one time briefing session with facilities * Other facilities include KNF, KORAD (Daejeon / Wolseong), Greenfia, Soya Greentech Implementation of cyber security regulations for the construction nuclear facility - Examination of information system security regulations of Shin-HanUl 1, 2 plants * Holding 3 times of inquiry and answer and 4 times technical review meeting - Shin-Kori 5, 6 plants and Shin-HanUl 3, 4 plants proceeded to

12 review information system security regulations * One time of inquiry and answer and two technical review meetings - Examination of information system security regulations of Ki-jang Research Reactor * One time of inquiry and answer and two times technical review meetings Analysis of new cyber security threat and develop the threat assessment - Implemented the policy research project on the basis of EMP protection regulation of nuclear facilities (Apr. ~ Sep. 2017) - Advisory meeting of experts on EMP protection technology standards ('17. 9) - Enacted technical standards for EMP protection of nuclear facilities ('17. 11) - Collecting threat information and analyzing cyber incident through contract with private company (NSHC) - Development of cyber security threat assessment including EMP ('17. 11) Assessment of cyber security training for operating Nuclear Facilities - Hold cyber security training evaluation session(2 times, ' / ' ) - Completed the evaluation of 36 cyber security training plans in total * 6 training plans per year, 10 all training plans for each of facilities, 20 partial training plans for each facilities on upper / lower sessions - Complete evaluation of total 10 cyber security training * Actual evaluation was performed on hole training but only observation on partial training

13 Promotion of cyber security regulation through domestic and foreign cooperation - Holding of bilateral technical cooperation meeting with NRC (' ~ ) * Sharing of experience between the two institutions on six themes including staged implementation, EMP and incident reporting - Hosted the PCG Technical Cooperation Meeting with DOE ( ) * Detailed discussion on the development of inspection manuals for technical security measures - Holding the bilateral regular meeting with KINS (quarterly) to discuss safety, security, etc. - Held the cyber security regulatory working group meeting ( ) and held technical session on Regulatory Information Conference ( ) - Organize quarterly meetings of three organizations (KINAC-KAERI-NSR) to share cyber security R&D results by organization Development of examination and inspection guidelines / procedures (one each) - Developed procedures for the detailed guidelines on the permissible standards, technical basis, and role of the inspectors and procedures of the cyber security during examination and inspections Establishment of regulatory simulation environment for control system - Introduced nuclear digital control system module * Introduced controller (Modicon PLC) used in nuclear control rod control system - Development service of control system maintenance class software

14 * Completed development of MTP software used for domestic safety system - Construction strategy planning service of cyber threat analysis environment * Establish mid and long term strategy for building test-bed for cyber security regulation R&D and practice Other cyber security threat information collection and analysis - The latest security issue and vulnerability analysis report of infrastructure control system from NSHC Co times of domestic and overseas technical cooperation meeting - Frequent inspection plan according to Ransomware - RMS Vulnerability Analysis - Nuclear Power Plant Management Co. Hacking Attack Analysis

15 목 차 제 1 장서론 15 제 2 장본론 17 제 1 절원자력시설에대한사이버보안규제이행 사이버보안정기검사 정보시스템보안규정 (CSP) 단계별검사 기록보관및유지 26 제 2 절원자력시설에대한사이버보안설계기준위협및훈련평가 사이버보안위협평가및 EMP 방호규제기반구축 사이버보안훈련평가 56 제 3 절건설원자력시설사이버보안심사 건설원자력시설사이버보안규제개요 건설원자력시설사이버보안심사 67 제 4 절심 검사이행체제강화및규제기반기술확보 심 검사절차서및지침서개발 규제환경구축 85 제 5 절사이버보안분야국내 외협력 국내 외협력을통한사이버보안규제이행고도화 94 제 3 장결론 108 참고문헌 110

16 표목차 표 사이버보안정기검사일정 17 표 사이버보안정기검사지적 / 권고 19 표 심층방호및비상대응수행계획 26 표 심층방호및비상대응평가항목 28 표 KINAC/RS-015내 매체통제 항목 32 표 검사항목에따른검사사항및증빙자료 35 표 무결성유지검사항목 38 표 원자력시설컴퓨터및정보시스템관련기록 비치해야할사항 40 표 한수원접근기록이행현황 43 표 한수원설치 점검및보수기록이행현황 44 표 한수원전자적침해행위점검기록이행현황 45 표 사이버보안훈련평가목표 58 표 사이버보안훈련평가지표및평가주안점 58 표 소프트웨어개발보안적용비용절감효과 62 표 KINAC/RS-015내건설단계사이버보안요건 64 표 건설시설규제관련원안위시정공문 65 표 건설시설사이버보안심사세부내용 66 표 한국표준형원전제어봉제어계통제어시스템구매진행경과 86 표 한국표준형원전제어봉제어계통제어시스템세부구성품 87 표 구매진행경과 91 표 검수항목 93 표 KINAC-KINS 양자사이버보안분기회의내용 98

17 그림목차 그림 필수시스템식별절차 23 그림 필수디지털자산식별절차 24 그림 사이버보안분야위협평가서전문가자문회의 47 그림 사이버보안분야위협평가서 50 그림 정책연구과제착수회의 52 그림 정책연구과제최종평가회의 52 그림 원자력시설의고출력전자기파방호심 검사기준 54 그림 심 검사매뉴얼개발계획 72 그림 규정심사업무처리세부절차 ( 안 ) 75 그림 규정변경심사업무처리세부절차 ( 안 ) 76 그림 최초검사업무처리세부절차 ( 안 ) 77 그림 정기검사업무처리세부절차 ( 안 ) 78 그림 특별검사업무처리세부절차 ( 안 ) 79 그림 한국표준형원전제어봉제어계통제어시스템시스템구성도 87 그림 한국표준형원전제어봉제어계통제어시스템입출력부의구성 88 그림 디지털입력부의기능검수 89 그림 디지털출력부의기능검수 89 그림 아날로그입출력부의기능검수 90 그림 기능검수에활용된제어로직 90 그림 사이버보안사업자워크숍개최 95 그림 국내원자력시설사이버보안규제워킹그룹 3차회의 96 그림 원자력안전위원회주관규제정보회의사이버보안세션 96 그림 KINAC-KINS 4분기정례회의 98 그림 KINAC-NRC 간사이버보안규제기술양자협력회의개최 102 그림 PCG 기술협력회의 103 그림 차 SCM 사이버보안규제현황발표자료 104 그림 NSSC-CNSC 양자기술협력회의 105

18 제 1 장서론 원자력시설의사이버보안에대한규제활동은핵물질불법이전및방사선적영향을일으킬수있는사보타주를효과적으로예방, 탐지및대응하는체계를구축하여사이버공격에따른영향을최소화하는데목적이있다. 스턱스넷 (Stuxnet), 플레임 (Frame), 듀큐 (Duqu) 등과같이산업제어시스템을공격대상으로하는악성코드에의한피해가늘어남에따라원자력시설을보호하기위한사이버보안의중요성이강조되고있다. IAEA 는핵안보의한분야로써사이버보안의중요성을핵안보시리즈 (NSS-13, NSS-17, 2011) 를통해강조하고있으며이에따라국내규제기관도국내원자력시설사이버보안체계수립을위하여제도적, 기술적방안을마련하고있다. IAEA의사이버보안관련국제지침에따라원자력안전위원회는 2013년 1월개정설계기준위협 (DBT 1) ) 내사이버공격을포함시켰으며그에따라원자력시설의컴퓨터및정보시스템이설계기준위협에포함된사이버공격에대해적절히보호될수있는위협대응평가체계를마련하였다. 핵물질및원자력시설의물리적방호체제를구축하기위하여정부는 2003년 원자력시설등의방호및방사능방재대책법 ( 이하 방사능방재법 이라함 ) 을제정하였다. 2010년이란원자력시설에대한사이버공격발생등원자력시설대상증대하는사이버공격에대비하기위하여 2013년 12월방사능방재법시행령및시행규칙을개정하여사업자의사이버보안요건이추가되었으며, 관련고시 물리적방호규정등의작성내용의항목별세부작성기준 의개정 ( 14.11) 으로물리적방호규정에 원자력시설등의컴퓨터및정보시스템의보안대책을위한시설 설비및그운영체제에관한사항 을물리적방호규정과방호비상계획에포함되어작성되도록기준을제시하였다. 이에따라한국원자력통제기술원에서는사이버보안에관한기술기준인 KINAC/RS-015 원자력시설등의컴퓨터및정보시스템보안기술기준 를 2014년 11월에개정하여원자력사업자들이기술기준에따라정보시스템보안규정을작성하도록기준을제시하였다. 2014년말에국내에서잇따른원자력시설해킹사건이발생하면서, 전자적침해행위에대한원자력시설의컴퓨터및정보시스템보안을강화할필요성이제기되고있으나 원자력시설등의방호및방사능방재대책법 은법이아닌시행령, 시행규칙등하위법령에원자력시설의컴퓨터및정보시스템보안을이행하고있어, 규제의법적근거가미약하고전자적침해행위방지및대응체계가미비하다는지적이제기되고있어, 2015년 12월 1일법률에전자적침해행위와원자력시설컴퓨터및정보시스템의정의를신설하고, 정부및원자력사업자가각각원자력시설컴퓨터및정보시스템보안을강화하기위한시책및규정을마련하도록하는등원자력시설컴퓨터및정보시스템보안체계를두텁게함으로써원자력시설의사이버보안을규제체계를강화시켰다. 또한법개정에따라시행령, 시행규칙을개정하여전자적침해행위에대한원자력

19 시설컴퓨터및정보시스템보안규정을신설하여관련고시를법과일치하도록수정하였다. 2017년에는방사능방재법에따른원자력시설에대한사이버보안정기검사및특별검사가있으며이와관련된세부내용은제1절에기술하였다. 또한, 제2절에서는원자력시설에대한사이버위협평가체제및사이버보안훈련을정립하기위해수행한업무를기술하였고, 제3절에서는새로건설되는원자력시설의사이보안심사업무를기술하였다. 제4절에서는심사및검사이행체제를강화하고규제기반의기술을확보하기위한업무를기술하였다. 마지막으로제5절에서는사이버보안분야국내외협력업무를기술하였다.

20 제 2 장본론 제 1 절원자력시설에대한사이버보안규제이행 1.1 사이버보안정기검사 정기검사개요 한국원자력통제기술원사이버보안실에서는원자력시설등의방호및방 사능방재대책법제 12 조 ( 검사등 ) 및동법시행령제 18 조 ( 검사 ), 제 40 조 ( 업무의위탁 ), 원자력시설등의물리적방호 ( 위협평가및심 검사 ) 관련 사무편람제 2 장 ( 수탁업무별처리기준및절차 ) 에의거, 19 개시설에대 한정기검사를매 2 년마다수행하고있음 이에따라 17 년에는아래일정에따라 9 개원자력시설에대한정기검사 를수행하였음 정기검사일정 구분원자력시설일정 발전용원자로 방사성폐기물시설 조사시설 제1발전소 고리본부 제2발전소 제3발전소 제1발전소 월성본부 제2발전소 제3발전소 한국원자력환경공단환경관리센터 한국원자력환경공단 RI관리시설 ( 주 ) 소야그린텍 그린피아기술 ( 주 ) < 표 사이버보안정기검사일정 > 정기검사대상 원자력발전소에대한사이버보안검사대상은아래와같으며, 정보시스템보안규정 3단계 필수디지털자산의식별 에대한특별검사가완료되어, 18년부터는모든사업자에대해식별된필수디지털자산을대상으로검사를수행할예정이다.

21 - [ 안전시스템 ] 안전및안전에중요한기능을수행하는컴퓨터및정보시스템 ( 발전소보호시스템, 노심보호연산기등 ) - [ 보안시스템 ] 물리적방호를위한보안네트워크에연결된시스템 ( 출입통제시스템, 침입감시시스템등 ) - [ 비상대응시스템 ] 비상대응시설 (EOF) 의시스템 ( 원격감시시스템등 ) 정기검사주요항목 원자력시설에대한사이버보안검사의주요항목은 17년정보시스템보안규정에대한단계적이행이완료되지않아, 완료된정보시스템보안규정단계에대한규정준수와사이버보안에영향을줄수있는특별항목을선정하여이에대한검사를수행하였음 규정준수여부 : 아래의단계적이행계획중완료된단계에대한규정준수여부 - 사이버보안조직구성 - 필수디지털자산식별 - 심층방호및비상대응 - 매체통제 특별항목검사 : 아래의주요사이버보안항목에대한점검 - ( 악성코드감염 ) 백신이설치된디지털자산및휴대용매체, 휴대용모바일기기등에대한악성코드감염여부확인 - ( 단방향통신 ) 외부네트워크와접점이존재하는원자력시설디지털자산에대해네트워크가단방향으로구성되어, 외부네트워크와의원천적연결을금지하도록유지하는지여부확인 - ( 불필요프로그램 ) 디지털자산의운영에필요한소프트웨어이외불필요한소프트웨어가설치되지않도록관리하고있는지를점검 - ( 계정및비밀번호관리 ) 디지털자산계정에대한관리가적절하게이루어지고있으며, 패스워드가관련절차에맞게관리되고있는지를확인 - ( 물리적접근통제 ) 디지털자산에대한물리적접근통제수단과접근절차가

22 마련되어있고, 열쇠를절차에따라보관 사용하고있는지확인 - ( 단말기보안 ) 디지털자산에원격서비스등안전하지않은서비스가사용되 지않도록유지하고, 보안설정이적절하게관리되고있는지확인 - ( 프로그램무결성 ) 디지털자산에탑재된소프트웨어가건전성을유지하고 있는지를확인 - ( 유지보수적절성 ) 디지털자산에대한유지보수수행이후, 사이버보안활 동을위한형상관리가적절히이루어지고있는지를확인 - ( 기록과비치 ) 물리적 전자적접근및유지보수와전자적침해행위관련 정기검사결과 기록을시행규칙에서요구하는시기와보존기간에맞게유지하는지확인 사이버보안정기검사의결과는현장조치, 구두권고, 권고, 지적까지규정 과법에따라구분됨 정기검사에따라도출된현장조치, 구두권고는현장에서바로조치하거나 추후이행에참고할수있도록하며, 결과보고서를통해기록을남김 정기검사에따라도출된지적 / 권고는원자력안전위원회에지적 / 권고발급 의뢰를하게되며, 원자력안전위원회는발급의뢰에따라관련조치를취 하게됨 17 년정기검사에따른지적 / 권고발급의뢰건수는다음과같음 구분원자력시설지적권고 발전용원자로 방사성폐기물시설 조사시설 제1발전소 0 3 고리본부 제2발전소 1 3 제3발전소 0 4 제1발전소 1 2 월성본부 제2발전소 1 2 제3발전소 2 1 한국원자력환경공단환경관리센터 2 2 한국원자력환경공단 RI관리시설 1 1 ( 주 ) 소야그린텍 0 1 그린피아기술 ( 주 ) 0 1 < 표 사이버보안정기검사지적 / 권고 > 상기결과중지적사항은사업자가반드시후속조치를취하도록되어있 으며, 한수원월성본부월성 2 발전소 1 건에대해서는후속조치가완료되

23 었음 하지만고리본부 1건, 월성본부 3건, 한국원자력환경공단 3건에대해서는현재조치진행중에있어, 18년에도지속적인확인이필요함지난정기검사후속조치이행 17년에도발급된지적사항중, 고리본부 2건, 한울본부 6건, 한빛본부 4 건의지적사항이사업자의후속조치및한국원자력통제기술원사이버보안실의검토가완료되어처리되었음 다만 17년에도발급된지적사항중, 원자력연구원의지적사항은사업자의후속조치가완료되었으나, 한국원자력통제기술원사이버보안실의추가검토가진행되고있어 18년종결처리될예정임 지금까지발급된지적사항중, 총 7건의후속조치가완료되지않았으며모두 18년에완료될예정임

24 1.2. 정보시스템보안규정 (CSP) 단계별검사 KAERI 2 단계및한국수력원자력 ( 주 ) 3 단계 ( 필수디지털자산식별 ) 개요 2015년 4월승인된방사능방재법에의해각원자력사업자는정보시스템보안규정 (CSP)* 을제출 원자력시설컴퓨터및정보시스템보안규정 ( 정보시스템보안규정, Cyber Security Plan) 은 KINAC 심사및원안위의승인을득함 (`15.4월최초승인및 `16.6월재승인 ) 원안위의원자력시설 CSP에대한단계별세부이행계획승인에따라 1~7단계의특별검사를통해단계별이행결과검사수행 이에원자력통제기술원은이중 KAERI의 CSP 이행 2단계및한수원의 CSP 이행 3단계에해당하는 필수디지털자산식별 에대한특별검사를수행함 KAERI CSP 이행 2단계및한수원 CSP 이행 3단계 ( 필수디지털자산식별 ) 는시설내전체시스템및자산을대상으로 KINAC 기술기준 (KINAC/RS-015, RS-019) 의요건및식별절차에맞게사이버공격으로부터의보호대상인필수디지털자산을식별하는것임 추진현황 2015년 4월, 전체원자력시설정보시스템보안규정승인 2015년 8월, 1~7단계의단계별 CSP 이행계획승인 2015년12월, 필수디지털자산식별기술기준제정사업자설명회 2016년 1월, 기술기준 (RS-019, 필수디지털자산식별 ) 발행 2016년 3월, 기타원자력시설 * CSP 2단계설명회개최 * KAERI, KNF, KORAD( 월성 / 대전 ), 소야그린텍, 그린피아기술 2016년 3월, KAERI 단계별 CSP 세부이행계획변경신청

25 2016년 5월, 기타원자력시설 CSP 2단계특별검사계획원안위보고 2016년12월, KAERI CSP 2단계이행결과접수 2017년 1월, KAERI CSP 2단계추가설명회개최 2017년 1월 ~6월, KAERI CSP 2단계특별검사수행 2017년 6월 9일, KAERI CSP 2단계특별검사결과원안위보고 2017년 3월 ~8월, 한수원본사사이버보안총괄담당자와 4차례실무회의개최 2017년 8월16일, 한수원 CSP 3단계사전점검수행 2017년 9월28일, 한수원 CSP 3단계이행결과접수 * 고리본부, 새울본부, 월성본부, 한빛본부, 한울본부 ( 총 13개원전 ) 2017년10월18일, 한수원 CSP 3단계특별검사계획원안위보고 2017년10월 ~12월, 한수원 CSP 3단계특별검사수행 2017년12월27일, 한수원 CSP 3단계특별검사결과원안위보고 검사근거 원자력시설등의방호및방사능방재대책법령및관련고시 KINAC 규제기준 (RS-015 및 RS-019) 필수디지털자산의식별및문서화 필수시스템식별 필수디지털자산을식별하기위하여원자력사업자는우선필수시스템을식별하여야한다. 이러한필수시스템들은디지털로제어되거나실배선을통해전기적으로제어될수있으며, 정보시스템보안규정의범위내에포함되거나포함되지않을수있다. 이를위해원자력사업자는원자력시설내모든운영시스템, 기기, 통신시스템, 네트워크, 지원시스템등에대한초기영향분석 (Initial Consequence Analysis) 을수행하여, 어떠한것들이원자력시설의 SSEP 기능에악영향을미치는지판별하고, 이들을필수시스템으로분류시켜야한다. 초기영향분석은필수디지털자산이침해를입었을때, 최악의영향을결정할수있도록수행되어야하며이때시스템에적용된기존의사이버보안조치들은고려되

26 지않아야한다. SSEP 기능과직접적으로연관이없는지원시스템과지원기기에대해서도원자력사업자는의존성분석 (Dependency Analysis) 을수행하여이들이사이버공격을당했을때, SSEP 기능에악영향을미치는경우이들을필수시스템으로분류한다. 다음의시스템들이필수시스템에해당된다. 가. SSEP 기능을수행하는시스템혹은 SSEP 기능이의존하는시스템나. SSEP 기능에영향을미치거나, SSEP 기능을수행하는필수시스템에영향을미치는시스템다. SSEP 기능을수행하는필수시스템으로의접근경로를제공해주는시스템라. 필수시스템을지원하는시스템마. 설계기준위협에정의된사이버위협으로부터상기시스템들을보호하는시스템 [ 그림 ] 은이러한필수시스템식별절차를도식화하여나타내고있다. [ 그림 ] 필수시스템식별절차 필수디지털자산식별 필수시스템을식별한후, 원자력사업자는어떤자산들이필수디지털자산에포함되는지분석하고식별하여야한다. 필수디지털자산은필수시스템의한요소이며, 사이버공격으로부터필수시스템을보호하거나, 필수시스템에직 간접적으로연결되어있을수있다. 여기서직접연결은유선경로를의미하며, 간접연결은 air-gapped 시스템간의단방향통신, 전용암호화통신, 휴대용매체를통한통신등을포함한다. 그리고원자력사업자는필수시스템및필수디지털자산을식별하기위하여안전성분석보고서 (SAR, Safety Analysis Report), 확률론적위험평가서 (PRA, Probabilistic Risk Assessment), 운영기술지침서 (TS, Technical Specifications),

27 물리적방호규정 (Security Plan) 등의문서들을참조할수있다. 다음의디지털자산들이필수디지털자산에해당된다. 가. SSEP 기능을수행하는디지털자산나. SSEP 기능에악영향을미치거나, SSEP 기능을수행하는필수시스템혹은필수디지털자산에악영향을미칠수있는디지털자산다. SSEP 기능을수행하는필수시스템혹은필수디지털자산으로의접근경로를제공해주는디지털자산라. 필수시스템혹은필수디지털자산을지원하는디지털자산마. 설계기준위협에정의된사이버위협으로부터상기시스템들을보호하는디지털자산 [ 그림 ] 는이러한필수디지털자산식별절차를도식화하여나타내고있다. [ 그림 ] 필수디지털자산식별절차 원자력사업자는식별된필수시스템및필수디지털자산과관련하여다음의정보들을문서화하여야한다. 가. 필수시스템식별절차혹은근거설명 ( 초기영향분석내용포함 ) 나. 필수시스템내에서의필수디지털자산식별내용다. 식별된필수시스템, 필수디지털자산의기능및그네트워크구성에대한설명라. 필수디지털자산이침해를입었을때, 필수시스템및 SSEP 기능에나타날영향분석마. 필수디지털자산개발시, 필요한사이버보안요건및충족여부평가

28 검사내용 방사능방재법령및관련고시와 KINAC 기술기준에따라, 원자력사업자는사이버침해를받을경우핵물질불법이전및원자력시설사보타주를야기시키고공공의안전에악영향을끼칠수있는자산을필수디지털자산으로식별하여, 사이버공격으로부터보호하여야한다. KAERI에서수행된 CSP 2단계및한수원 13개원전에서수행된 CSP 3단계 필수디지털자산식별 이행결과에대해, 서류 ( 사업자제출증빙자료 ) 심사, 현장입회검사및담당자인터뷰등을통하여, KINAC 기술기준 (RS-015, RS-019) 의요건및식별절차에맞게필수디지털자산을식별하였는지를확인하기위한검사를실시하였다. 세부검사항목은다음과같다. - 필수시스템식별 ( 초기영향분석수행여부등 4개항목 ) - 필수디지털자산식별 ( 디지털자산식별기준준수여부등 7개항목 ) - 문서화및변경통제 ( 필수디지털자산관련정보문서화등 2개항목 ) 검사결과 KAERI CSP 이행 2단계및한수원 13개원전의 CSP 이행 3단계 ( 필수디지털자산식별 ) 에대한특별검사를수행한결과, 시설의정보시스템보안규정및관련규제기준요건에따라시설내부의필수디지털자산을적절히식별하였음을확인하였다. 단, 한수원 CSP 3단계에서는일부절차및이행결과에서미흡한사항이발견되어, 이를 2018년 5월까지보완하도록요청하였으며, 보완결과의적절성에대한검토는 2018년 7월까지수행될예정이다. 시설의필수디지털자산식별결과는설비변경시에추가또는수정이필요할수있으나, 이는사업자의 필수디지털자산식별지침 상의변경관리절차에따라수행되어야하며, 변경에따른필수디지털자산식별결과의수정사항은향후 원자력시설등의방호및방사능방재대책법 에따른정기검사및특별검사등을통해지속적으로확인될예정이다.

29 1.2.2 한국원자력연구원 3 단계 ( 심층방호및비상대응 ) 개요 2015년 4월승인된방사능방재법에의해각원자력사업자가정보시스템보안규정제출 원자력안전위원회의원자력시설정보시스템보안규정에대한단계적세부이행계획승인에따라 1~7단계의특별검사를통해단계별이행결과검사수행 원자력통제기술원은이중 3단계에대항하는 심층방호및비상대응 에대한특별검사를실시 각시설의 17년 3단계심층방호및비상대응수행계획은다음과같음시설명이행결과제출일특별검사완료원자력연구원하나로연구로 한국수력원자력 (13개시설 ) < 표 심층방호및비상대응수행계획 > 심층방호및비상대응은각각다음과같은목적이있음 - ( 심층방호 ) 원자력사업자는사이버공격의탐지, 예방, 대응, 완화및복구능력을갖추기위한통합적인심층방호전략을수립해야하며, 이러한전략을정보시스템보안규정수립시에반영해야함 - ( 비상대응 ) 사이버공격으로부터필수디지털자산의기능이유지되도록보장하고, 악영향을최소화하도록사이버보안비상사건대응계획과비상복구계획을수립해야함 근거 원자력시설등의방호및방사능방재대책법 ( 이하방사능방재법 ) 및시행령 < 법제 9 조 ( 물리적방호에대한원자력사업자의책임 ) > 1 원자력사업자는대통령령으로정하는바에따라다음각호의사항에대

30 하여원자력안전위원회의승인을받아야하고, 이를변경하려는경우에도또한같다. 다만, 총리령으로정하는경미한사항을변경하려는경우에는원자력안전위원회에신고하여야한다. 4. 전자적침해행위에대한원자력시설컴퓨터및정보시스템보안규정 ( 이하정보시스템보안규정이라한다 ) < 시행령제 17 조 ( 물리적방호규정등승인신청 )> 1 법제 9 조제 1 항각호외의부분본문에따라같은항각호에따른물리적방호시설, 설비및그운영체제, 물리적방호규정, 방호비상계획및정보시스템보안규정 ( 이하물리적방호규정등이라한다 ) 에대하여승인을받으려는원자력사업자는이에관한승인신청서를원자력시설등의사용개시 5 개월전까지원자력안전위원회에제출하여야한다. 추진일정 2015년 4월, 정보시스템보안규정승인 2015년 8월, 1~7단계의단계별정보시스템보안규정이행계획승인 2016년 4월, CSP 3단계규제방안발표 ( 사이버보안워킹그룹 ) 2016년 5월, CSP 3단계임시사업자설명회 2016년 7월, CSP 3단계설명회개최 2016년 8월, CSP 3단계그린피아기술, 소야그린텍설명회 2016년 9월, CSP 3단계점검회의개최 2016년 10월, CSP 3단계이행결과제출 - KNF, 소야그린텍, 그린피아, KORAD( 대전 / 월성 ) 2016년 11월 ~12월, 원자력시설 CSP 3단계특별검사수행 - KNF, 소야그린텍, 그린피아, KORAD( 대전 / 월성 ) 2017년 5월, 원자력연구원 3단계이행결과제출 2017년 6월 ~8월, 원자력연구원 3단계특별검사수행 2017 년 11 월, 한수원 4 단계 * 이행결과제출 - 한수원은 CSP 이행일정변경으로인해 4 단계에심층방호및비상대응을수 행함 2018 년 1~3 월, 한수원 4 단계특별검사수행

31 추진내용 원자력통제기술원 원자력시설등의컴퓨터및정보시스템보안기술기준 (KINAC/RS ) 요건을기반으로하는심층방호및비상대응특별검사평가기준개발 평가기준개발에사용된 KINAC/RS 의항목들은다음과같음 심층방호 (Defense-in-Depth) 전략 사이버보안등급 2.3 비상사건대응및복구 비상사건대응 비상사건대응계획 비상사건대응훈련 비상사건처리 비상사건의모니터링 비상사건의보고 비상사건대응지원 비상복구 비상복구정책및절차 비상복구계획 비상복구계획점검및훈련 비상복구교육 필수디지털자산백업 복구및재구성 < 표 심층방호및비상대응평가항목 > 일반적인 IT환경에서는여러해킹사건들로인해많은연구가되고, 많은기관에서사이버사건비상대응계획을작성하여사이버사건을대비하고있으나, 원자력시설과같이일반적인 IT환경과특성이다른산업제어시스템을주로사용하는시설에서는이를바로적용하기가어려움 이러한어려움으로인해원자력시설사이버보안기술기준인 KINAC/RS 에추가로국제적인기관또는연구소에서발행한사이버사건대응관련문서를참조하였음 주요참조문서는다음과같음

32 - 국제원자력기구 (IAEA) Computer Security Incident Response Planning at Nuclear Facilities (2016) - 미국국립표준기술연구소 (NIST) Computer Security Incident Handling Guide (2012) 이러한문서들은공통적으로 [ 사전준비 ] - [ 탐지및분석 ] - [ 억제, 근절, 복구 ] - [ 사고후활동 ] 의 4단계를통한대응절차를제안하고있으며, 이는원자력통제기술원의 3단계규제에도참고를하였음 국내에서는한국정보보호진흥원 (KISA) 에서발간한 침해사고분석절차가이드 를통해 [ 사고전준비과정 ] - [ 사고탐지 ] - [ 초기대응 ] - [ 대응전략체계화 ] - [ 사고조사 ] - [ 보고서작성 ] - [ 해결 ] 과같이 7단계의절차를제시하기도함 심사대상서류 각시설의필수디지털자산네트워크구성도 사이버보안등급간데이터, 소프트웨어, 펌웨어등데이터이동시수행해야할사전검증절차 비상대응계획 추진결과 2017 년 5 월, 원자력연구원 3 단계이행결과제출 2017 년 6 월 ~8 월, 원자력연구원 3 단계특별검사수행 2017 년 11 월, 한수원 4 단계 * 이행결과제출 - 한수원은 CSP 이행일정변경으로인해 4단계에심층방호및비상대응을수행함 2018년 1~3월, 한수원 4단계특별검사수행 ( 예정 ) 한국원자력통제기술원은서류검사및현장검사를통해이들계획과자료들이 KINAC/RS 에서원하는수준을만족할수있는지를확인

33 검토결과원자력연구원의심층방호및비상대응이행결과가 KINAC/RS 을충족하고있음을확인함 이후계획 심층방호및비상대응을통해제출된활동및절차들은주기적인정기검사와전체훈련및부분훈련을통해주기적으로점검할예정 점검결과미흡한점이발견될경우마련된개선체계를통해비상대응계획을개정할수있는절차가마련이되어있어, 이를통해비상대응계획을지속적으로개선할수있도록함 기타원자력시설 * 4단계 ( 매체통제 ) 특별검사 기타원자력시설은 KAERI, KNF, KORAD( 월성 / 대전 ), 소야그린텍, 그린피아 개요 원자력시설정보시스템보안규정 (CSP)* 에따른 7단계특별검사중 4단계 매체통제 이행결과에대한특별검사계획마련 원자력시설컴퓨터및정보시스템보안규정 ( 정보시스템보안규정, Cyber Security Plan) 은 15.4월최초승인및 16.6월변경승인을득함 15.8월원안위는기타원자력시설사업자의정보시스템보안규정단계별세부이행계획에대한적합판정함에따라기타원자력사업자는 17.4월까지 4단계 ( 매체통제 ) 를위한체계를구축하고결과를제출하여야함 이후, 기타원자력시설의 1~3단계이행결과에대한지적 / 권고및이에대한시정조치로인하여 KAERI 연구용원자로시설은 17.8월, 나머지시설 (KNF 원자력연료제조시설, KORAD 중저준위방사성폐기물시설, 소야 / 그린피아대규모조사시설 ) 은 17.5월까지 4단계이행결과를제출하는일정으로변경됨 추진현황 17.3월 KINAC은 4단계 ( 매체통제 ) 에관한검사주요항목및계획에대해기타원자력시설사업자설명회를개최하고, 기타시설별이행현황파악및질의 / 답변을수행함

34 17.5 월 KNF, KORAD( 대전 / 월성 ), 소야 / 그린피아시설에대한 4 단계이행 결과에따른원자력시설매체통제이행지침 / 절차를제출받고, 17.6 월 ~9 월까지서류확인및현장검사를포함한특별검사를수행함 또한, 17.8 월 KAERI 시설에대한 4 단계이행결과에따른원자력시설매 체통제이행지침 / 절차를제출받고, 17.9 월 ~11 월까지서류확인및현장 검사를포함한특별검사를수행함 검사근거 원자력시설등의방호및방사능방재대책법령및관련고시 KINAC 원자력시설의컴퓨터및정보시스템보안규제기준 (RS-015) 휴대용매체및모바일기기접근통제원자력사업자는다음이수행되도록보장한다. 가. 휴대용매체및모바일기기사용제한에관한절차를수립및이행나. 필수디지털자산에접근가능한휴대용매체및모바일기기를별도로확보하고사용통제및모니터링 ( 휴대용매체라함은플로피디스크, CD, DVD, 마그네틱테이프, USB, 노트북등디지털저장장치를말함 ) 다. 권한을가진개인만이 나 의별도의휴대용매체및모바일기기에접근및사용하도록제한하며, 접근및사용기록의유지및불법적사용여부확인을위해주기적감사수행라. 휴대용매체및모바일기기가하나의보안등급내에서만사용되어지고다른보안등급으로이동되지못하도록적용및문서화 악성코드유입방지 원자력사업자는필수디지털자산이다음에의해악성코드에감염되는것을 탐지및제거할수있는방안을수립 적용및그내용에대해문서화하여야한다 가. 휴대용매체사용 나. 필수디지털자산의취약점악용 원자력사업자는악성코드탐지방안이다음을완수할수있도록구성하여야한다 가 외부로부터온파일에대해반드시악성코드감염여부를검사받도록 구성 나. 권한을가진자에의해서만악성코드탐지정책의업데이트가수행되

35 도록구성 원자력사업자는사용자가허가받지않은휴대용매체를필수디지털자산에 사용하지못하도록하여야하며 허가된휴대용매체의사용시에도반드시악성코드감염여부점검을받고사용해야한다 원자력사업자는필수디지털자산의운영에불필요한매체인터페이스 포트등 를사용하지못하도록통제하여야한다 유지보수도구 원자력사업자는다음이수행되도록보장한다 가 필수디지털자산을유지보수하기위한도구사용에대한승인 감독 및문서화 나 원자력시설에반입되는유지보수도구 진단및테스트장비 휴대용 매체 노트북등 에대한보안조치점검및문서화 다 유지보수도구는권한을가진사람만이사용하도록제한 라 반출되는유지보수도구에대해중요정보의포함여부를점검및문 서화 유지보수및테스트수행인력 원자력사업자는다음이수행되도록보장한다 가. 접근권한정책에따라승인된유지보수인력의최신목록유지및문 서화 나. 필수디지털자산에단독접근이가능한직원이승인된인력의유지보수 내용감시및통제 다 유지보수도구의불법적인사용을탐지할수있는대책수립 이행 및문서화 유지보수및테스트수행인력 원자력사업자는다음이수행되도록보장한다 가. 접근권한정책에따라승인된유지보수인력의최신목록유지및문 서화 나. 필수디지털자산에단독접근이가능한직원이승인된인력의유지보수 내용감시및통제 다 유지보수도구의불법적인사용을탐지할수있는대책수립 이행 및문서화 < 표 KINAC/RS-015 내 매체통제 항목 >

36 검사경위 (`15. 8) 원자력안전위원회 ( 이하, 원안위 ) 는원자력시설별컴퓨터및정보시스템보안규정 ( 이하, 정보시스템보안규정 (CSP) ) 승인및단계별세부이행계획승인 (`15. 12) 한국원자력통제기술원 ( 이하, KINAC ) 은한전원자력연료 ( 주 )( 이하, KNF ) 의 CSP 1단계 ( 보안조직 ) 이행완료에대한특별검사결과보고서를원안위송부 (`16. 8) KINAC은 KNF의 CSP 2단계 ( 필수디지털자산식별 ) 이행완료에대한특별검사결과보고서를원안위송부 (`16. 12) KINAC은 KNF의 CSP 3단계 ( 심층방호및비상대응 ) 이행완료에대한특별검사결과보고서를원안위송부 (` ) KNF는 4단계이행결과제출일정을 ` 에서 5.31로변경요청 (` ) KNF는 4단계 ( 매체통제 ) 이행결과를제출 ( 원안위, KINAC) (` ) KINAC은서류적합성검토후, KNF 4단계 ( 매체통제 ) 특별검사계획에관해원안위보고 (` ~ 8.31) KINAC은 KNF 4단계 ( 매체통제 ) 이행결과에대해서류검사및 4차례인터뷰 / 현장검사를토대로특별검사수행 (`17. 9) KINAC은 KNF 4단계특별검사결과보고서를원안위보고및송부검사내용요약 기타원자력시설들의필수디지털자산 (Critical Digital Asset, CDA) 은외부와의연결없이독립적으로구성되어있으나, 휴대용디지털매체로인해서외부악성코드에위협받을수있다. 그러므로사업자는디지털매체를통한사이버위협으로부터 CDA를보호하기위해 매체통제 를수행하여야한다. 검사자들은검사대상시설의 CSP 4단계특별검사를통해 매체통제 에대한사업자의이행결과가시설의정보시스템보안규정및사이버보안규제기준 (KINAC/RS-015) 에따라다음의 2개분야, 12개항목을만족하는

37 지여부를확인하였다. - 휴대용매체및모바일기기통제 ( 통제절차및점검등 8 개항목 ) - 유지보수및시험기기통제 ( 통제절차및점검 4 개항목 ) 항목 검사항목검사사항및증빙자료 ( 예시 ) 휴대용매체및모바일기기 (PMMD) 통제 (Portable Media & Mobile Device Control) CDA 에접근가능한 PMMD 를별도로확보하고있음을확인 PMMD : 플로피디스크, CD, DVD, 마그네틱테이프, USB 메모리, 노트북등 - 절차 / 규정내, 해당항목 - 전용 PMMD 목록 발전소내 PMMD 목록의단일관리, 다중관리파악필요 PMMD 사용제한에관한절차가수립되고그에따라이행되는지확인 PMMD 사용전, 최신악성코드점검을수행하는지확인 외부에서반입되는파일에대해최신악성코드점검을수행하는지확인 PMMD 에대한사용기록을유지하는지확인 PMMD 의불법적사용여부 * 를주기적으로확인하는감사가수행되는지확인 불법적사용여부 : 승인및미승인매체의불법적사용여부확인 보안등급별 PMMD 를확보하고, 보안등급간혼용을금지하는지확인 CDA 별불필요한매체인터페이스 (USB 포트등 ) 사용을통제하는지확인 - PMMD 사용제한절차 - 사용제한의현장적용계획확인 ( 물리적접근통제등 ) - 절차내, PMMD 사용전, 최신악성코드점검및기록사항 - 절차내, 외부반입파일에대한최신악성코드점검및기록사항 - 절차내, PMMD 사용에대해기록사항 - 절차 / 규정내, PMMD 불법적사용여부주기적감사이행사항 감사주체가이행과는독립적인조직이되어야함 - 절차내, 보안등급간혼용금지사항 - 행정망 / 인터넷망기기와의혼용금지사항 - 절차내, 불필요한포트통제사항 - CDA 별포트통제현장확인 유지보수및시험기기 (MTCD) 통제 (Maintenance & Test/Calibration Device Control) CDA 의 MTCD 사용제한에관한절차 ( 승인, 감독, 문서화 ) 가수립되었는지확인 MTCD : 유지보수및시험을위해 CDA 와디지털신호를주고받는디지털장비 - CDA 의 MTCD 사용제한절차 - 사용제한의현장적용계획확인 ( 물리적접근통제등 ) 발전소내 MTCD 목록의단

38 2.2 ( 노트북, PDA 등 ) 일관리, 다중관리파악필요 CDA 의 MTCD 사용이승인된유지보수인력의최신목록에따라이행되는지확인 - 절차 / 규정내, 해당항목 외부반입 / 반출되는 MTCD 에보안조치가수행되는절차가수립되었는지확인 MTCD 의불법적인사용여부를주기적으로확인하는감사가수행되는지확인 - 절차 / 규정내, 해당항목 - 보안조치에백신검사, 포트봉인, 무선통신통제, 논리적접근통제포함확인 - 반출시, 중요정보포함여부확인 - 절차 / 규정내, MTCD 불법적사용여부의주기적감사이행사항 감사주체가이행과는독립적인조직이되어야함 < 표 검사항목에따른검사사항및증빙자료 > 검사결과요약 기타원자력시설의 CSP 4단계 ( 매체통제 ) 이행에대한특별검사를수행한결과, 시설의정보시스템보안규정및규제기준요건에따라필수디지털자산에접근가능한 휴대용매체및모바일기기 및 유지보수및시험기기 에대한통제지침및절차, 양식이적절히마련되었음을다음과같이확인하였다. - 필수디지털자산에접근가능한휴대용매체및유지보수장비를별도로확보하고, 사용제한및사용기록에대한절차가적절히수립되었음. - 휴대용매체및유지보수장비사용전, 최신백신에대한검사를수행하도록하고, 보안등급간혼용을포함한불법적사용여부 * 를사이버보안담당부서에서주기적으로감사를수행하도록하고있음. 불법적사용여부 : 승인및미승인매체의불법적사용여부확인 따라서, 기타원자력시설의 CSP 4단계이행결과는총 2개분야, 12개검사항목에대해모두만족함을확인하였고, 시설의지속적인이행사항은정기검사, 특별검사를통하여주기적으로확인될예정이다 기타원자력시설 * 5 단계 ( 무결성유지 ) 기타원자력시설은 KNF, KORAD( 월성 / 대전 ), 소야그린텍, 그린피아 개요

39 2015년 4월승인된방사능방재법은각원자력사업자로하여금정보시스템보안규정 (CSP) 을제출하고이를이행하도록규제하고있다. CSP 이행의 5번째단계는 무결성유지 이다. 무결성유지 단계를통해원자력사업자는필수디지털자산을구성하는하드웨어및소프트웨어가논리적으로정확하고믿을수있음을, 즉필수디지털자산이무결함을보장하여야한다. 단, 5단계의중점사항은제어시스템에내장된제어로직과이의구동을위한정보의무결성유지이며, 하드웨어의무결성등은정보시스템보안규정을 1~7단계까지이행함으로써달성될수있다. 검사항목 무결성유지 와관련한검사항목은 KINAC/RS-015 부록 2.2.6항에따라, 기타시설이필수디지털자산의무결성유지를위한지침혹은절차를마련하고, 관련담당자들이실제로지침혹은절차를수행할수있는여건이마련되어있는지확인할수있도록구성되었다. 검사항목은모두 5가지이며, KINAC/RS-015 부록 2.2.6항을구체화한것이다. 이러한검사항목은사업자설명회및검사계획통보를통해, 특별검사전사업자에게배포되었으며, 사전질의및답변을통해명확한특별검사가수행될수있도록노력하였다.

40 항목 검사항목 검사기준 증빙방법 불법적인변경을탐지하여야할소프트웨어및정보의범위를기술하였는지확인 ( 소프트웨어 ) - 제어로직 ( 제어망 ) - 제어시스템펌웨어 ( 제어망 ) - 엔지니어링소프트웨어 ( 제어망 ) - 출입통제, CCTV 등보안망운영소프트웨어 ( 보안망 ) - 보안망연동장비의펌웨어 ( 보안망 ) - 기타필요한소프트웨어 ( 정보 ) - 셋포인트, 환경설정값, 출입통제시스템등록명단등 1 의필요정보소프트웨어및정보의불법적인 상기소프트웨어및정보는예시이며, 이를포변경을탐지및문서화하는가? 함하되상기예시에국한되지않음 불법적인변경을주기적으로탐지하는지확인 - 필수디지털자산이무결성검증기능이있는경우이의악영향여부를판단후, 탐지하는지확인 - 필수디지털자산이무결성검증기능이없거나, 있더라도악영향이있는경우대안조치를활용하여탐지하는지확인 - 불법적인변경탐지의주기가정의되어있는지확인 불법적인변경탐지결과를문서화및 10 년이상보관하는지확인 필수디지털자산별불법적인변경이탐지되어야하는소프트웨어및정보의범위가명시된문서화된정책 필수디지털자산별불법적인변경탐지방법, 방법의악영향여부판단, 악영향여부판단에따른대안조치수행이명시된문서화된정책 불법적인변경탐지의주기가명시된문서화된정책 정보시스템보안규정 5 단계이행결과제출후, 불법적인변경을탐지한결과 필수디지털자산별불법적인변경탐지결과를문서화하도록명시된문서화된정책 정보시스템보안규정 5 단계이행결과제출후, 불법적인변경을탐지한결과

41 항목세부검사항목검사기준증빙방법 2 기술적으로가능한경우, 불법적인변경을예방하기위한하드웨어적접근통제를수행하는가? 불법적인변경을예방하기위한하드웨어적접근통제수단의유무를점검하는지확인 하드웨어적접근통제가가능할경우, 이를실제로설정하는지확인 하드웨어적접근통제수단이있는지확인하고, 가능할경우설정하도록명시된문서화된정책 3 기술적으로가능할경우, 무결성침해에대한통보가사전에지정된담당자에게자동으로전달되도록구성하는가? 불법적인변경탐지시, 지정된담당자에게자동으로통보되도록설정할수있는지점검하는지확인 자동통보가가능할경우담당자를지정하여자동통보기능을설정하는지확인 자동통보기능이있는지확인하고, 가능할경우담당자를지정하여자동통보기능을설정하도록명시된문서화된정책 4 불법적인변경을탐지하기위한정책내에정책의목적, 역할및책임을기술하였는가? 불법적인변경을탐지하기위한문서화된정책이있는지확인 불법적인변경을탐지하기위한정책의목적, 역할및책임이명확히문서화되었는지확인 불법적인변경의탐지를위한문서화된정책 불법적인변경탐지정책의목적, 역할및책임이명시된문서화된정책 5 불법적인변경을탐지하기위한정책을주기적으로검토및갱신하는가? 불법적인변경을탐지하기위한정책이주기적으로검토및갱신되는지확인 불법적인변경의탐지를위한문서화된정책중, 주기적으로검토및갱신되어야함이명시된부분 < 표 무결성유지검사항목 >

42 검사일정검사대상 특별검사현장검사일정일정 검사원 한국원자력환경공단 ` 김시원 환경관리센터 ( 월성 ) ~` 김현두한국원자력환경공단 ` 김시원 RI폐기물관리시설 ( 대전 ) 한전원자력연료 권국희 ` ` 김상우 ~ ` 류진호 소야그린텍 ( 주 ) ( 주 ) 그린피아기술 ` ` 김태희박수진송동훈 6개원자력사업자 /19개원자력시설중, 13개시설을보유한한국수력원자력은 `18년 2월까지이행을완료할예정이며, 1개시설을보유한한국원자력연구원은 `17년 12월에이행결과를제출하여 `18년에특별검사가완료될예정이다. 검사결과 상기검사항목과검사일정에따른검사결과, 기타사업자의필수디지털자산무결성유지를위한정보시스템보안규정이행상태가양호함을확인하였다. 다만, 일부원자력사업자의이행결과에보완이요구되는부분이있어이를검사지적사항및권고사항으로발급의뢰하였다. 검사결과는, 원자력시설등의물리적방호관련사무편람에따라아래와같이특별검사결과보고서로발행되다. - 기타시설정보시스템보안규정이행 5단계특별검사결과보고및지적, 권고사항발급의뢰, 사이버보안실 -99, ` 또한, 원자력안전위원회는검사원들의검사결과에대한의견에따라, 원자력사업자에게 `18년 4월 27일까지아래의시정조치를요구하였다.

43 - 정보시스템보안규정이행 5단계특별검사에따른시정조치요구, 원자력통제과 -34, ` 상세한검사결과및시정조치요구내용등은대외비로써, 공개가불가능하다. 시정조치의완료여부는 `18년 5월 31일까지검토될예정이며, 향후에도정기검사등을통해정기적 / 비정기적으로확인될예정이다. 1.3 기록보관및유지 원자력시설컴퓨터및정보시스템에대한기록 비치하여야할사항은 2016년 1월에방사능방재법시행규칙일부개정안에포함되어입법예고되었다. 동개정안은 2016년 11월에공포되었으나, 다만별표 2에해당하는 기록 비치하여야할사항 은원자력사업자의이행준비기간을고려하여시행이연기되어 2017 년 6월에개정된규정이시행되었다. 해당규정은원자력시설의컴퓨터및정보시스템에대한사용자의접근에책임을부여하고, 발생한사이버보안사건의인과관계를규명한것으로, 시행규칙에따른요구사항은다음표와같다. 기록사항기록시기보존기간 7. 원자력시설컴퓨터및정보시스템에물리적 접근한때마전자적으로접근하는사람과기기에대한다접근기록설치ㆍ점검 8. 원자력시설컴퓨터및정보시스템의설치 점검및보수한및보수기록때마다 9. 원자력시설컴퓨터및정보시스템에대한점검한때마전자적침해행위발생여부점검기록다 10. 원자력시설컴퓨터및정보시스템에대한대응조치한전자적침해행위발생에따른대응조치때마다 10년 10년 10년 30년 < 표 원자력시설컴퓨터및정보시스템관련기록 비치야할사항 > 이에따라, 사이버보안실에서는아래와같은세부검사방안을수립하였다.

44 검사범위 물리적방호규정등의작성내용의항목별세부작성기준 에따라, 필수디 지털자산에대하여개정규정이행여부를검사 제2조 ( 정의 ) 필수디지털자산 이란핵물질불법이전과원자력시설및핵물질의사보타주를야기하기위한전자적침해행위로부터보호되어야하는안전, 보안및비상대응기능을수행하거나이러한기능에영향을미치는원자력시설컴퓨터및정보시스템을말한다. 필수디지털자산식별이완료되지않은시설 ( 한수원 ) 의경우, 정기검사시 검사대상이되는디지털자산에우선적용 개정규정검사요령 기록시기에따른실제기록이행여부검사 - 최근기록물제출요청및대조자료를통해누락또는허위기재여부확인 보존기간에따른기록사항의보존여부검사 - 임의의과거기록사항 ( 약 1 개월분 ) 제출요청및검사를통해보존기간에따른보존여부확인 기록사항의위 변조검사요령 접근기록 ( 기록 비치하여야할사항 7호 ) 의진위여부는설비가위치한장소의출입기록또는시스템의로그기록으로검사가능 설치, 점검, 보수기록 (8호) 및전자적침해행위발생여부점검기록 (9호) 의진위여부는접근기록 (7호) 을통해검사가능 전자적침해행위발생에따른대응조치기록 (10호) 의진위여부는접근기록 (7호), 설치, 점검, 보수기록 (8호), 전자적침해행위발생여부점검기록 (9호) 을통해검사가능

45 기록사항별검사방침 원자력시설컴퓨터및정보시스템에물리적 전자적으로접근하는사람과기기에대한접근기록 - 필수디지털자산에접근하는인원, 매체에대하여접근한때마다접근주체 대상 시간등에대한기록여부를확인함 - 근무자가 24시간상주하는곳에위치한필수디지털자산의경우, 안전한운전환경보장을위해해당장소의근무표로대체가능하나, 근무자별사용및접근가능한필수디지털자산이구분가능한지여부를확인함 원자력시설컴퓨터및정보시스템의설치 점검및보수기록 - 시스템의설치없이다른용도로부터전용가능한필수디지털자산 ( 정비용노트북등 ) 의경우, 구매또는도입기록으로설치기록을대체가능함 - 각원자력시설규정에근거한필수디지털자산점검및보수주기별이행여부를기록사항을통해확인할수있음 원자력시설컴퓨터및정보시스템에대한전자적침해행위발생여부점검기록 - 각원자력시설규정에근거한필수디지털자산전자적침해행위발생여부점검주기별이행여부를기록사항을통해확인할수있음 컴퓨터및정보시스템에대한전자적침해행위발생에따른대응조치 - 각원자력시설별사이버위기대응실무매뉴얼에따라작성및보고된사고신고서, 상황통보문등을대응조치에대한기록사항으로확인가능함 - 추후원자력시설사이버보안사건보고고시 ( 가칭, 예정 ) 시행시, 해당고시에따른서면보고서로대체예정임

46 기록 비치하여야할사항검사 방사능방재법시행규칙별표2에따른기록및비치하여야할사항의이행여부는 2017년 6월부터원자력사업자들의정기검사일정에따라검사하고있음 사업자의기록및비치하여야할사항이행을위한지침서가없는경우, 상세절차서또는매뉴얼을만들도록권고함 기록 비치하여야할사항검사결과 (`17. 06, 한수원월성 1 발정기검사 ) 기록사항기록시기보존기간 7. 원자력시설컴퓨터및정보시스템에물리적 전접근한자적으로접근하는사람과기기에대한접근기 10년때마다록 이행대상 Safety 설비 Security 설비 EP 설비 EWS 클린PC 사람의접근기록 다른필수디지털자산의접근기록 (MCR) 발전팀장일지, 작업오더, ( 전산실 ) 접근기록관리대장, 유지보수장비사용대장 ( 물리적접근 ) 열쇠대출이력, ( 한수원 표준지침 , ( 전자적접근 ) 작업오더 붙임 8.9) (CAS/SAS) 접근기록관리대장, 또는물리적방호보안시스템 사이버보안작업대장 ( 발전소정문 ), 청경대근무보직별단말 관리 ( 접근 ) 현황 수기대장 유지보수장비사용대장 ( 한수원표준지침 /02, 붙임 8.9) 수기대장 < 표 한수원접근기록이행현황 > MCR 설비들에대한접근기록은발전팀장일지를통해작성및관리됨 - 1차계통에접근한원자로차장 (RO), 2차계통에접근한터빈차장 (TO), 또는전력설비에접근한전기차장 (EO) 을식별할수있으며, 각설비에접근한시작및종료시간과주요작업내용을확인할수있음

47 필수디지털자산의물리적접근을통제하기위한열쇠가열쇠관리시스템등을통해관리되지않는경우, 별도의수기대장을통해기록및작성됨 작업오더는작업자가작업오더를승인받은후시스템에접근한때마다일일단위로시스템사용시작시간과종료시간을시스템상의 작업탭 에기입하여작성됨 중앙통제실또는보조중앙통제실출입시작성되는 출입관리대장, 물리적방호보안시스템사이버보안작업대장, 접근기록관리대장 중, 시행규칙에따른수기대장을명확히하고, 현장비치를통한기록 작성이용이하도록관리방안마련이필요함 ( 수기대장의통합또는작성양식의수정등 ) EP 설비에는 EOF 시설에위치한 RMS 감시용단말PC, 또는 TSC의비상경보방송설비 (ECB) 등이있으며, 해당디지털자산들의기록사항은 CSP 3단계 ( 필수디지털자산식별 ) 결과에따라수기대장마련이필요함 클린PC를관리하고사용하는부서별수기대장을통해작성됨 기록사항기록시기보존기간 8. 원자력시설컴퓨터및정보시스템의설치 점검및보수기록 설치 점검및 보수한때마다 10 년 이행대상설치기록점검기록보수기록 Safety 설비 작업오더 Security 설비 EP 설비 EWS 클린PC SAP 구매기록또는보안시스템관리대장유지보수장비관리대장 ( 한수원표준지침 , 붙임 8.9) 물리적방호보안시스템사이버보안작업대장 ( 과학화보안설비운영지침, 7.8.1, 7.8.2) 수기대장유지보수장비사용대장 ( 한수원표준지침 , 붙임 8.9) 수기대장 < 표 한수원설치 점검및보수기록이행현황 >

48 기록사항 기록시기 보존기간 9. 원자력시설컴퓨터및정보시스템에대한전점검한자적침해행위발생여부점검기록때마다 10년 10. 컴퓨터및정보시스템에대한전자적침해대응조치한행위발생에따른대응조치때마다 30년 이행대상 Safety 설비 Security 설비 EP 설비 전자적침해행위점검기록 제어시스템및유지보수장비보안점검표 ( 한수원표준지침 , 붙임 8.8) 보안시스템및유지보수장비보안점검표 ( 한수원표준지침 , 붙임 8.8) 수기대장제어 / 보안시스템및유지보수장비보안점검표 EWS ( 한수원표준지침 /02, 붙임 8.8) 클린PC 클린PC 사이버보안사전점검양식 ( 반기 ) < 표 한수원전자적침해행위점검기록이행현황 > 클린 PC 의전자적침해행위점검기록은사이버보안사전점검양식 ( 반기 ) 통해작성됨 추후사이버보안사건보고고시 ( 가칭, 예정 ) 시행시, 해당고시에따른 서면보고서보존이필요함

49 제 2 절원자력시설에대한사이버보안설계기준위협및훈련평 가 2.1 사이버보안위협평가및 EMP 방호규제기반구축 사이버보안분야위협평가서발간등위협평가현황 - 원자력시설등의방호및방사능방재대책법 ( 방사능방재법 ) 제4조제1 항및동법시행령제7조제1항에따라설계기준위협을설정하고원자력시설등에대한위협을평가하여야한다. - 사이버보안위협평가업무는원자력시설등의물리적방호관련사무편람에따라설계기준위협설정지원업무와설계기준위협설정에따른이행업무가명시되어있다. - 설계기준위협설정지원업무에는위협평가서작성업무와설계기준위협설정및검토업무가있으며, 설계기준위협설정에따른이행업무에는위협시나리오및위협대응시나리오검토및평가업무가명시되어있다 년도는위협평가업무에따라신규사이버위협정보수집및분석을통해사이버보안분야위협평가서를발간하였다. - 사이버보안분야위협평가서작성을위해사이버위협정보공유및분석체계활용방안을작성하였다. - 사이버위협정보수집을위해사이버보안월간동향, 정보공유분석보고서등공공기관간정보공유및분석체계를활용하여사이버보안이슈를수집및분석하였다. - 사이버보안이슈분석시필수고려사항으로원자력시설에대한사이버보안이슈를최우선으로분석하여야하며, 산업제어시스템과일반 IT 사이버보안이슈가차순위로분석필요하였다. - 최근 3년에대한사이버보안이슈를우선적으로분석하고, 차순위로과거사이버보안이슈분석이필요하였다. - 설계기준위협설정을위해각사이버보안이슈에대한 외부자유형, 내부자유형, 내부자수, 위협동기, 가용자원, 공격기법 ( 공격자능력 ), 공격시점, 접속권한 에대한분석이필요하였다. - 과거사이버보안이슈에대한통계정보, 사이버테러단체정보, 사이버보안이슈동향등포괄적정보분석이필요하였다. - 또한, 사이버보안월간동향, 국가정보보호백서등을수집하여분석을수행하였으며, 정보분석업체 (NSHC) 와의계약을통해사이버보안정

50 보제공서비스를활용하였다. - KINAC 자체적으로사이버위협정보수집및분석을위해뉴스기사수집등을통해 Daily News Clipping을작성하였다. - 사이버보안분야위협평가서목차는크게사이버위협유형별동향및사례, 국내외사이버위협분석, 주요사이버테러와사이버보안 DBT 대비중요성비교, 사이버보안설계기준위협일반등으로구성하였다. - 정보분석업체 (NSHC) 에게 2015년부터 2017년 3분기까지의연도별사이버사건에대한 공격목적, 공격주체, 공격대상, 공격경로, 공격자원, 공격방법, 피해현황, 대처방안 에대한분석을요청하였다. - 추가적으로 2015년 ~2017년사이의사이버공격을일으키거나위협을가한사이버테러단체에대한 위협사례, 소속국가 등정보분석을요청하였다. - 사이버보안분야위협평가서초안에대한내부검토를수행하여주요사이버사건에대한명칭을변경, 주요사이버사건정보수정, EMP 위협사례구분표시, 사이버위기경보발생이유추가, 필수디지털자산식별예정표시, 북한핵실험으로인한 EMP 위협대두기술, 현 DBT 대비중요도표시, DBT 일반내용을부록으로이동등검토의견을수정반영하였다. - 사이버보안분야위협평가서의질적향상을위해경찰수사연수원, KISA 국보연의전문가를초청하여자문회의를수행하였다. [ 그림 사이버보안분야위협평가서전문가자문회의 ]

51 - 검토의견에따라사이버사건중공격목적이 APT로분류된사건의피해현황을분석하여정치적이유, 정보탈취, 사회혼란, 금전적이익추구등으로변경하였으며, 이에따라, 제3장내용중국내 외사이버공격행위분석자료에 APT로분류된사이버사건을변경된공격목적으로수정하였다. - 공격경로에 SWIFT로기술된사이버사건은총 2건으로사건재분석을통해최초공격경로가네트워크로식별되어해당내용을변경하였으며, 이에따라, 제3장국외사이버공격행위분석자료중공격경로통계자료에서도 SWIFT를삭제하고그래프를수정하였다. - 청와대사칭악성이메일발송사건에대한피해현황 ( 일부사용자의메일열람이있었으나, 정보탈취와같은피해가발생되지않음 ) 을수정하였다. - 기선정된사이버사건중 2건을우크라이나 22만명정전피해사건과독일원전연료취급시스템악성코드감염사건으로변경및분석을수행하여사이버보안설계기준위협과의대비표를작성하였다. - 내부검토회의및외부전문가자문회의를통해사이버보안분야위협평가서를최종확정하였다. - 위협평가서중사이버위협유형별동향및사례에대한내용은국내외주요사이버사건총 47건의사건에대해방사능방재법의 전자적침해행위 의유형 ( 해킹, 컴퓨터바이러스, 논리 메일폭탄, 서비스거부및고출력전자기파 ) 에따라상세분석하였으며, 주요사이버사건의분석내용은설계기준위협의속성과비교하기위해공격목적, 공격주체, 공격대상, 공격경로, 공격자원, 공격방법, 피해현황등을포함하였다. - 국내사이버위협분석내용에는국내사이버보안대상및특징, 국내사이버범죄발생현황, 국내사이버공격행위분석및원자력시설대상증대된사이버위협고려사항이포함되었으며, 국내사이버보안대상및특징은총 19개원자력시설에대한특징과주요필수시스템, 국내사이버범죄발생현황은경찰청통계자료를바탕으로사이버범죄유형에대한분석내용, 국내사이버공격행위분석은국내를대상으로발생된사이버사건총 12건에대해공격목적, 공격경로및공격자원을심층분석, 원자력시설대상증대된사이버위협고려사항으로 EMP 위협을선정하여종류및특징을기술하였다. - 국외사이버위협분석내용에는위해사이버테러조직, 국외사이버공격행위분석및최신사이버위협동향및분석이포함되었으며,

52 사이버테러조직에대한내용은총 12개의국외사이버테러조직에대한위협사례및정보, 국외사이버공격행위분석은국외에서발생된사이버사건총 27건에대해공격목적, 공격경로및공격자원을심층분석하였다. - 최신사이버위협동향및분석은사이버보안월간동향및사이버위협동향보고서를참조하여최근 3년간사이버위협동향을분석하였다. - 주요사이버위협과사이버보안설계기준위협대비중요성비교내용은현재설정된사이버보안설계기준위협과비교하기위해사이버사건중원자력시설및기반시설관련사건등총 5건을선정하여설계기준위협의속성으로상세분석하였으며, 상세분석자료를바탕으로현재설정된사이버보안설계기준위협과의중요도를비교하여향후설계기준위협설정시반영이필요한위협을선정하였다. - 사이버보안설계기준위협정의및설정사항내용에는위협평가절차와현재설정된사이버보안설계기준위협내용을기술하였다. - IAEA 사이버보안가이드분석은 IAEA에서발행한보고서중사이버위협속성, 사이버위협시나리오등에대한내용을기술하였다. - 사이버보안분야위협평가서발간을통해향후예정된제3차사이버보안설계기준위협설정 ( 18.12월) 시에사이버보안설계기준위협에대한근거자료로활용할수있으며, 특히, EMP와랜섬웨어에대한신규위협은상세검토를통해향후사이버보안설계기준위협에반영되어야할것으로분석되었다.

53 [ 그림 사이버보안분야위협평가서 ] 원자력시설 EMP 방호규제기반구축 - 방사능방재법이 월개정됨에따라, 제2조제1항제5의3호에전자적침해행위가추가되었으며, 핵물질의불법이전과원자력시설및핵물질의사보타주를야기하기위해공격하는행위중하나로고출력전자기파 (EMP) 가추가되었다. - 방사능방재법제4조제1항및동법시행령제7조제1항에따라신규위협인 EMP에의한원자력시설등에대한위협을평가하여야한다. - EMP는핵폭발이나 EMP발생장치에의해순간발생되는전자기적위협으로모든전자기기의오작동및기능정지를유발할수있는새로운위협이며, EMP 발생장치가지속적으로개발됨에따라테러수단으로부상되고있다. - 원자력시설에 EMP 침해발생시, 전원상실및오작동에따른발전정지로막대한경제적손실과사회적혼란이발생될우려가있을확인된다. - EMP는핵폭발로인해발생되는핵EMP와 EMP발생장치로발생되는비핵EMP로구분되며, 전자기파가통과가능한건물내부전자장비와전력 통신선등을통해외부와연결된전자장비가 EMP 피해대상이될수있다.

54 - EMP 피해경로는공기중을통해전달되는복사성피해와외부와연결된전선을통해유기되는전도성피해로구분되며, EMP 방호를위해서는복사성 EMP 피해를막기위한차폐기술과전도성 EMP 피해를막기위한차단기술이필요한것으로조사된다. - 이에따라, 원자력시설에대한 EMP 방호대책을마련하기위한 EMP 연구필요성이대두되어 2017년 4월부터 9월까지 2,000만원예산으로서경대학교정연춘교수와 원자력시설고출력전자기파 (EMP) 방호규제기반구축연구 를수행하였다. - 연구목표는원자력시설등주요시설에대한 EMP 방호사례를분석하여, 원자력시설 EMP 방호기술기준및사이버보안위협평가서등을작성하기위한규제기반을구축하기위함이다. - 주요연구내용은국외고출력전자기파에의한피해사례및규제동향, 법 제도동향분석, 국내외핵심국가기반시설에대한 EMP 취약점점검제도조사분석, 원자력시설등중요시설에대한 EMP 취약성분석및영향평가방법론검토, 국내원자력시설에대한 EMP 방호의효과적인접근방안제안이다. - 연구개발성과는원자력시설등중요시설에대한 EMP 방호현황을파악하고, 원자력시설에적용가능한 EMP 영향분석방법론도출하여, 국내 외 EMP 방호대책분석을통한 EMP 방호대책을선정할수있다. - 계약체결에따라 2017년 6월8일에서경대학교정연춘교수와착수최의를진행하였고, 주요회의안건으로원자력시설 EMP 방호규제기반구축연구일정협의, EMP 방호관련국내외기술기준분석의뢰, 국내외기반시설에대한 EMP 취약점점검제고조사의뢰, EMP 취약성분석및영향평가방법론에대해논의하였다.

55 [ 그림 정책연구과제착수회의 ] - 정책연구과제가 2017년 9월에종료됨에따라연구결과를평가하기위해최종평가회의를 2017년 10월에개최하였으며, 평가위원으로한국원자력연구원, 국가보안기술연구소전문가를초청하여평가를진행하였다. [ 그림 정책연구과제최종평가회의 ] - EMP 위협을사이버보안설계기준위협에설정 ( 월 ) 전에, EMP 규 제기반구축을위한원자력시설 EMP 방호심 검사기준발간을추

56 진하였다. - 원자력시설에대한 EMP 방호규제기반구축을위해 KINAC 주관으로정책연구과제를수행 ( 17.4월 ~9월 ) 하였으며, 기반시설에대한 EMP 방호규제문서및 KINAC 정책연구과제결과물을바탕으로원자력시설고출력전자기파방호기술기준초안을작성 ( 17.8월) 하였다. - EMP 방호심 검사기준초안에대해내부검토회의를수행하였으며, 주요검토의견으로 EMP 방호대상원자력시설선정, 사보타주및불법이전방호대상식별필요등이도출되어수정보완하였다. - EMP 방호심 검사기준에대한품질향상을위해원안위, 서경대, 국립전파연구원, 국가보안기술연구소, 한국원자력안전기술원, 한국전력기술전문가를초청하여 2017년 9월에전문가자문회의를개최하였다. - 주요검토의견을접수하여 EMP 침해방지대책기술기준에제시된 EMP 방호기준은국외기준을참고하여작성하였으며, 국가기반시설에대한최대 EMP 방호수준을정의하고있기때문에원자력시설의 EMP 방호기준도동일하게 80dB를유지하였다. - 본기준의 EMP 방호대상기기식별기준에사보타주방호를위해안전정지기능을수행하는기기이외에비안전시스템을식별하도록하고있지만, 자문위원들의의견과같이효과적인 EMP 방호를위해서는 EMP 방호대상기기를최적화할필요가있어안전기능을수행하는기기로 EMP 방호대상기기식별기준을변경하였다. 하지만, 방사능방재법에따른불법이전방호를위해서는보안기능수행기기를식별하여야함. EMP 방호대상기기범위를고시수준에서정의한다면 EMP 방호대상기기를최적화할수있을것으로판단하였다. - 본기술기준중 EMP 종류에대한내용은 EMP에대한이해를높이기위해작성된것으로, 전문가의견에따라핵EMP 정의를수정하고방호대상 EMP 위협 (HEMP 및 IEMI) 에대한내용만기술하고나머지자세한설명은부록으로이동하여기술하였다. - 검토의견에따라원자력시설 EMP 방호구축에대한흐름도를작성할예정이며, 본기술기준의서술순서는내부검토를거쳐수정하였다. - 이에따라검토의견을반영한 원자력시설의고출력전자기파방호심 검사기준 을기술기준위원회에상정하여 2017년 11월 22일에최종발간하였다.

57 [ 그림 원자력시설의고출력전자기파방호심 검사기준 ] - 원자력시설 EMP 방호적용방법론내용에는원자력시설에서 EMP 방호체계를구축하기위한방법론으로순차적으로 EMP 위협식별, EMP 방호대상식별, EMP 방호대상의취약성평가, EMP 방호대책구축, EMP 방호대책유지관리순으로소개하였다. - 본기준은발전용원자로및관계시설 ( 원자력발전소 ) 에대한 EMP 방호기준을선제적으로제시하고향후개정시에기타원자력시설에대한 EMP 방호기준을제시할예정이다. - 원자력시설 EMP 위협식별내용에는 EMP 위협이핵EMP와비핵EMP 로구분되며, 원전의방호대상 EMP는악의적인의도를가진위협인고고도고출력전자기파 (HEMP)( 고도 30 km이상에서핵폭발로인해광범위한지역에발생되는핵emp) 와의도적고출력전자기파간섭 (IEMI)( 전자기파발생장치등을이용하여한정된지역에발생되는비핵EMP) 를기술하였다. - EMP 위협은복사성 ( 공기중을통해전달되는 EMP 경로 ) 및전도성경로 ( 전력 통신 제어선에유기되어전달되는 EMP 경로 ) 를통해전달되며, 이를방호하기위해서는 HEMP 및 IEMI 모두 80 db ( 국내 외기술기준에서제시하는 EMP 최대위협수준 ) 에준하는방호기준을만족하도록기술하였다. - 원자력시설 EMP 방호대상식별기준내용에는원전이 EMP 위협으로인해사보타주또는핵물질의불법이전이일어날가능성이있는원자력시설로기술하였다.

58 - EMP 방호대상기기는 EMP 위협으로부터보호해야하는전자기기로다음과같은기능을가지며, 안전기능 ( 원자로냉각재압력경계의건전성확보, 원자로의안전정지및정지상태의유지및소외피폭선량제한치를초과할우려가있는상황을예방하거나완화시키는기능 ) 과핵물질의불법이전방호를위한보안기능이기술되었다. - 원자력시설 EMP 취약성평가기준에는식별된 EMP 방호대상기기에 EMP 방호대책을적용하기전에현재원전의설계현황이 EMP 위협에대한상쇄정도에대한파악이필요하다고기술하였으며, 원전의구조를파악하여 EMP 방호대상기기가배치된구역방호현황을파악하고 EMP 방호성능을평가해야한다고기술하였다. - 원자력시설 EMP 방호구축기준내용에는사보타주방호를위한 EMP 방호구축기준과핵물질의불법이전방호를위한 EMP 방호구축기준으로구분하였으며, 사보타주방호는 EMP에대한완벽한차폐가이루어져야하며, 핵물질의불법이전방호는 EMP 피해발생후고장복구를통한기능회복이이루어져야한다고기술하였다. - 원자력시설 EMP 방호대책유지및관리기준내용에는 EMP 방호대책의유지및관리여부를점검하기위해관리적점검, 차폐문점검, EMP 필터점검, 기타점검기준을제시하였으며, EMP 방호대책이지속적으로유지되기위해서는추가적으로 EMP 방호성능재시험, EMP 방호대상기기의재고확보, 관련인력에대한교육훈련을요구하였다. - 부록의원자력시설 EMP 방호구축해설서내용은본기술기준본문에서제시된내용중 EMP 위협및 EMP 방호구축에대한상세내용을수록하고있으며, 원전의 EMP 방호대상위협에대한파형, 종류, 위협사례등을설명하였으며, EMP 방호구축예시를방호대상에따라시설단위 EMP 방호와함체단위 EMP 방호로구분하여설명하였다.

59 2.2 사이버보안훈련평가 개요 ( 법적근거 ) 방사능방재법에의거원자력사업자는연3회 ( 전체훈련 1회 / 부분훈련2회 ) 사이버보안훈련을실시하고, 원안위 /KINAC은사이버보안훈련평가를수행함 ( 규제대상 ) 한수원 4개본부, KAERI, KNF, KORAD월성 / 대전, 그린피아, 소야그린텍 근거 원자력시설등의방호및방사능방재대책법 ( 이하 방사능방재법 ) 제9조의3 및시행규칙제5조의4 물리적방호교육및훈련에관한규정 ( 이하 훈련고시 ) 제 호

60 < 법제9조의3 > 1 원자력사업자는총리령으로정하는바에따라물리적방호훈련계획을수립하여원자력안전위원회의승인을받은후이를시행하여야한다. 2 원자력안전위원회는물리적방호훈련에대하여평가할수있다. 3 원자력안전위원회는원자력사업자에게필요한조치를명할수있다. < 시행규칙제5조의4 > 1 원자력사업자는법제9조의3제1 항에따라물리적방호훈련계획을원자력안전위원회에제출하여야한다. 3 원자력사업자별물리적방호훈련의종류및방법등물리적방호훈련에관하여필요한사항은원자력안전위원회가정하여고시한다. < 훈련고시 > 1 원자력사업자는다음각호의구분에따라물리적방호훈련을실시하여야한다. 1. 부분훈련 : 사업소별대상으로비상조직별로매반기 1회이상방호비상훈련과컴퓨터및정보시스템전자적침해행위대응조치훈련을실시할것 2. 전체훈련 : 사업소별대상으로전비상조직이참여하여매년 1회이상방호비상훈련과컴퓨터및정보시스템전자적침해행위대응조치훈련을실시할것 법령신설 / 개정현황 방사능방재법제9조의3 물리적방호훈련 신설시행규칙제5조의 4 물리적방호훈련계획의수립 신설원안위훈련고시 ( 제 호 ) 개정원안위훈련고시 ( 제2017-1호 ) 일부개정

61 훈련평가목표 < 표 사이버보안훈련평가목표 > 훈련평가방법 원자력시설에발생할수있는사이버침해에따른원자력시설의대응역량을확인하고개선사항을도출하기위한전체 10개시설별연간훈련, 전체훈련및부분훈련계획에대한심사수행 전체 10개시설별전체훈련이행에대해 9개평가항목을토대로절차수립여부, 절차준수여부, 절차의적절성평가수행 평가지표및평가주안점 < 표 사이버보안훈련평가지표및평가주안점 >

62 훈련효과 2017년원자력시설의사이버보안훈련은방사능방재법령에따라제어시스템을대항으로사이버침해를대응하기위하여비상대응및긴급점검에초점을맞춘훈련으로, 훈련참가자와사업자의사이버보안인식제고에크게기여 향후지속적인사이버보안훈련과훈련평가를통해설계기준위협에따른위협 대응시나리오평가결과및정보시스템보안규정 3단계 ' 비상사건대응 ' 결과에대한사업자의실제이행여부를확인하고, 신규사이버위협및취약점에대해지속적인사업자의사이버보안비상대응체계를점검하고보완할수있는수단으로활용하고자함 추진일정 17년도원자력시설물리적방호 / 사이버보안연간훈련계획심사결과송부 (1.31) 고리본부사이버보안전체훈련계획심사, 평가 (4.10~4.13) 한울본부사이버보안전체훈련계획심사, 평가 (6.26~6.29) 한빛본부사이버보안전체훈련계획심사, 평가 (10.16~10.20) 월성본부사이버보안전체훈련계획심사, 평가 (11.27~12.1) 한국원자력연구원사이버보안전체훈련계획심사, 평가 (8.21~8.25) 한전원자력연료사이버보안전체훈련계획심사, 평가 (8.21~8.25) 월성환경관리센터사이버보안전체훈련계획심사, 평가 (10.24~10.26) RI폐기물관리시설사이버보안전체훈련계획심사, 평가 (9.4~9.5) 그린피아기술사이버보안전체훈련계획심사, 평가 (11.15~11.16.) 소야그린텍사이버보안전체훈련계획심사, 평가 (11.13~11.14)

63 추진결과 2017년도원자력시설연간훈련계획접수및심사 : 6건 상 / 하반기부분훈련계획심사 : 20건 전체훈련계획심사 : 10건 전체훈련평가보고서발간 : 10건 원자력시설사이버보안훈련평가설명회개최 : 4회 국정원주관사이버공격대응훈련평가위탁수행 : 4개원전본부 국정원주관사이버공격대응훈련설명회에서원자력시설사이버보안훈련평가사례발표 IAEA 사이버보안훈련전문가회의에서원자력시설사이버보안훈련평가사례발표

64 제 3 절건설원자력시설사이버보안심사 3.1 건설원자력시설사이버보안규제개요 배경 방사능방재법령에따라규제기준 KINAC/RS-015( 원자력시설의컴퓨터및정보시스템보안 ) 가발행 ( 14.10) 되었으며원자력사업자가시설사이버보안체계구축을위한보안조직의구성및역할, 필수디지털자산식별, 심층방호전략, 보안조치항목, 지속적인감시및평가, 비상사건대응및복구에관한기준들을포함하고있음. 특히, 사이버보안조치들중에서는공급망통제, 보안설계적용, 개발자보안테스트, 인수테스트, 형상관리및변경통제, 무결성확인, 로그저장등과같이원전건설단계 ( 즉, 디지털 I&C 시스템개발단계 ) 부터요구되는요건들을상당수포함하고있다. 가동원전의기술적보안현안발생 - 설치및운영중인디지털 I&C 시스템에대한사이버보안조치적용은설계변경및운영지연을초래할수있음 - 또한, 보안조치적용은기존시스템의신뢰성및안전기능에영향 ( 응답시간, 성능, 인간공학등 ) 을미치는등안전과안보사이에상충을초래할수있음 - 앞서언급된공급망통제, 보안설계적용, 개발자보안테스트등개발단계에서부터적용되어야할보안조치가상당수존재함 개발단계취약점제거로인한비용절감 - 미기술표준연구소 (NIST) 에따르면소프트웨어사용단계에발견되는결함을제거하기위해드는비용은설계단계시보다 30배의비용이요구됨 - 설계, 구현, 통합등의개발단계의취약점제거및보안조치적용은운영중인시스템에적용하여변경하는것보다전체비용이절감됨

65 결함발견시점설계과정결함 코딩과정결함통합과정결함 설계단계 코딩단계 통합단계 시제품 사용단계 1배 5배 10배 15배 30배 - 1배 10배 20배 30배 - - 1배 10배 20배 < 표 소프트웨어개발보안적용비용절감효과 > 개정 DBT내사이버공격시점개정 - 핵물질및원자력시설설계기준위협 (DBT) 내사이버공격요소가 12년말에추가된이후, 15년말개정 DBT에는사이버공격이시스템운영단계뿐만아니라, 개발단계및공급단계에도발생할수있음이추가됨 - 이는원전디지털 I&C 시스템의생명주기동안의보안평가및보호의필요성을요구함 IAEA 등국제지침의권고사항 - 개정핵물질방호협약 (CPPNM) 및 IAEA 핵물질 / 원자력시설방호권고서 (NSS-13) 에서국가는규제체제를통해사업자의보안조치가규제요건을만족하였을때인허가를승인하도록요구하고있음 - 14년 IAEA 국제물리적방호자문서비스 (IPPAS) 에서원자력시설건설전에보안사항을심사및평가하는체제를국내규제체제내포함하도록권고함 - IAEA 원자력시설 I&C시스템사이버보안기술서 (NST036), IEC 원전 I&C 시스템보안요건서 (IEC 62645) 등국제지침에서디지털 I&C 시스템의전주기에걸친보안조치를기술함 - 미원자력규제위원회 (NRC) 는 09년원자력사업자가시설구성, 보안, 형상등의변경을수행하기전, 안전및보안에대한영향성을평가하도록하는규제지침을발행하였고이를건설원전에도적용을계획하고

66 있음 개요 원자력시설에대한디지털시스템적용증가및사이버위협증가에따라사이버보안실은기존법령을근거로가동시설에대한사이버보안규제를 15년 1월부터위탁받아실시하고있다. 규제기준 (KINAC/RS-015) 에서많은사이버보안조치및지속적인위험평가를요구하고있지만가동원자력시설특성상, 운영중에시스템세부분석및설계변경을요구하기에는제한사항이많은편이다. 이러한사유로가동시설에서는반드시적용이필요한기술적보안조치가아니라면, 안전과의연계를고려하여대안적인보안조치를적용시키고있다. 이러한한계를극복하기위해서 IAEA, IEC를포함한원자력시설사이버보안지침및 NRC 규제지침에서는필수디지털자산의설계단계를포함한생명주기 (life-cycle) 동안의사이버보안을요구하고있다. 물론이러한국제지침들을인용하여발행된국내규제기준 (KINAC/RS-015) 에서도다음과같은세부요건을포함하고있다. 2.4 정보시스템보안규정 (CSP) 의유지원자력사업자는정보시스템보안규정 (CSP) 수립후, 필수디지털자산의생명주기 (life-cycle) 동안동계획이지속적으로이행되는지감시및평가되어야한다 기본형상관리원자력사업자는운영단계의기본형상과는별도로개발및테스트단계에서의기본형상도문서화및유지하여야한다 공급망통제 (Supply Chain Control) 원자력사업자는공급받은필수디지털자산이 RS-015 에서제시하는보안조치들을만족하는지분석하고, 공급과정의위협으로부터보호하기위한다음의대책마련및이행하여야한다 신뢰성확보원자력사업자는필수디지털자산내소프트웨어에대해결함을최소화하기위한품질보증절차를거쳐야한다.

67 3.1.3 보안설계적용원자력사업자는필수디지털자산에보안측면의설계가포함되어있고, RS-015 에서제시하는기술적보안조치들을적용시키기위한프로그램을수립및이행하여야한다 개발자보안테스트원자력사업자는요구된모든보안요건을만족하는지테스트및평가하며, 다음의취약점및악성코드가없음을보장하여야한다 인수테스트원자력사업자는개발자보안테스트결과에대해확인및검증 (V&V) 수행을통해보안요건이반영되었음을보장하여야한다. < 표 KINAC/RS-015 내건설단계사이버보안요건 > 사이버보안실에서는상기를포함한배경및근거를토대로 16 년 10 월 부터국내건설중인원자력시설 ( 기장연구로, 신고리 5,6 호기, 신한울 3,4 호기 ) 에대한사이버보안심사를진행하고있다. 방사능방재법에따라 원자력시설의컴퓨터및정보시스템보안규정 (CSP, Cyber Security Plan) 을포함한물리적방호규정등이핵물질반 입 5 개월전에심사가진행됨에따라건설기간 ( 약 6 년, 설계 / 구현포함 ) 동안에사이버보안에관한기술적요건이미반영되었다. KINAC 은이를개선하고자원안위에관련개선안및시정공문 ( 안 ) 을보 고하고원안위는제 44 조등을근거로건설허가 (CP) 신청된시설에대해 16.9 월까지규정승인신청을요구하는행정명령형태의시정공문을 송부하였다. 제목 : 원자력시설설계 건설단계에서의물리적방호 ( 사이버보안 ) 규제추진 1. 관련 - 원자력시설등의방호및방사능방재대책법제 9 조및제 44 조 - 동법시행령제 17 조 2. 원자력사업자는상기법에따라 물리적방호규정등 에대하여원안위승인을받아야합니다. 3. 이와관련, 사보타주및전자적침해행위등의위협으로부터원자력시설등을효과적으로방호하기위해서는설계 건설단계부터방호요건을적용하여안전과연계한방호 (security) 체계를구축할필요가있습니다.

68 4. 따라서원안위는 IAEA 의국제권고등을참고하여신규원자력시설의 물리적방호규정등 의심사를설계 건설단계에서부터시행하고자하오니, 5. 이미건설허가를신청한원자력시설은 까지, 그외신규원자력시설은건설허가신청시, 물리적방호규정등 의승인을신청하시기바랍니다. 끝. < 표 건설시설규제관련원안위시정공문 > 이에따라건설시설 ( 기장연구로, 신고리 5,6 호기, 신한울 3,4) 들은 16 년 4 분기부터핵물질반입전까지건설단계사이버보안심사를진행하고있 다. 심사계획 심사기준 - 원자력시설등의방호및방사능방재대책법, 시행령, 시행규칙 - 상기법령관련원안위고시및 KINAC 사무편람 ( 위탁규정 ) - KINAC/RS-015( 원자력시설의컴퓨터및정보시스템보안규제기준 ) - KINAC/RS-019( 원자력시설의필수디지털자산식별규제기준 ) 심사절차 - 건설원자력시설공정및안전심사활동을고려한단계별수행 1 신청단계규정심사자료접수 서류적합성검토, 심사계획서작성 2 심사단계심사질의 / 답변및실무회의개최 최종심사보고서제출 3 승인단계세부근거자료및최초검사결과보고서제출 최종승인 심사내용 - 사이버보안규제기준및보안규정 (CSP) 에따른심사수행 1 규정심사 :

69 기장연구로 / 신고리 5,6/ 신한울 3,4 컴퓨터및정보시스템규정심사 2 설계심사 : Ÿ Ÿ Ÿ 필수디지털자산 (CDA) 식별및분석, 심층방호계획에대한심사 CDA 별사이버보안성평가및보안조치이행계획심사 이행계획서에따른 CDA 별보안조치적용결과심사 3 최종심사 : 종합보고서, 운영정책및절차에대한심사 단계심사내용기준 CSP 심사 컴퓨터및정보시스템보안규정 (CSP) : 시설전체주기동안의사이버보안체계를위한상위규정 RS-015 및부록 1 설계심사 최종심사 필수디지털자산 (CDA) 식별및분석보고서 - RS-019 에따라시설전체계통에서필수시스템 (CS) 식별및근거문서 - CS 내에서 CDA 식별내용및근거문서 - 식별된 CS, CDA 의기능및구성에관한문서 사이버보안심층방호계획서 - 보안등급분류및등급간기본보안계획 CDA 별사이버보안평가보고서 - CSP 에따른 CDA 별 101 개보안조치적용평가사항 CDA 별사이버보안세부이행계획서 - 평가보고서에따른 CDA 별보안조치이행계획사항 ( 예 : 보안설계, 형상관리, 보안시험, 인수시험, 공급망통제등 ) CDA 별사이버보안세부이행보고서 - 이행계획서에따른 CDA 별세부이행완료사항 - 필요시, 현장검사및세부이행결과문서심사 사이버보안종합보고서 - 전체 CDA 적용결과에대한종합분석사항 사이버보안운영정책및절차 - 운영시사이버보안을지속적으로이행할정책 / 절차 ( 예 : 조직, 사건대응, 설계변경, 유지보수, 접근통제등 ) < 표 건설시설사이버보안심사세부내용 > RS-015/ 2.2.2~3 항, RS-019 RS-015/ 항 RS-015/ 항 RS-015/ 부록 2 RS-015/ 부록 2 RS-015/ 항 RS-015/ 항, 항및 2.3 항

70 3.2 건설원자력시설사이버보안심사 심사개요 사이버보안실은건설원자력시설심사규제 ( 안 ) 을마련하고외부전문가자문회의발표및안전규제와의연계를고려한 KINS와의자문회의등을수행을통하여심사규제계획을확정하였다. 그에따라시설별사업자와의질의 / 답변, 기술실무회의를통하여심사를진행하고있다. 안전규제연계및심사규제경험공유를위한 KINS 자문 - 건설시설심사관련안전규제현황및협력방안협의 - 건설시설심사실무경험공유및인허가절차현황회의 원안위보고및규제입장발표 - 건설시설규제계획및현황에대한안보팀장보고 ( 17.5) - 안전규제정보회의내건설시설사이버보안계획발표 ( 17.6) - 신한울1발심사현황및현안에대한원안위보고 ( 17.7) 사업자실무협의 - 기장연구로사이버보안심사관련 5~6차기술실무회의 ( 17.1~4) - 신고리5,6/ 신한울3,4 사이버보안심사관련 6~7차기술실무회의 ( 17.1~7) - 신한울1,2 사이버보안심사관련 1~7차기술실무회의 ( 17.2~12) 심사현황 기장연구로 - 사업자는 17년상반기기장연구로필수시스템및필수디지털자산식별보고서를제출하고, 전계통의공정표를확정하서 KINAC이심사일정 ( 안 ) 을마련하는데협력하는데협의함 - 방사능방재법개정 ( 15.12) 및시행 ( 16.11) 에따라요구되는 원자력시설의컴퓨터및정보시스템보안규정 (CSP) * 에대해 KINAC이요청공문을송부하고, 이에대해사업자는 CSP를재제출하기로함 법개정전에는, 3개물리적방호규정내사이버보안챕터가묶여서

71 CSP로제출됨 - 사업자는합의된사항들을반영한 CDA 식별보고서 ( 안 ) 를마련하여, 6차기술회의에서검토하기로함 ( 17년 2월말예정 ) - KAERI의사업공정확정후, KINAC은세부심사일정을협의하는데동의함 - KINAC은 CDA 식별목록 ( 안 ), CSP에따른기장연구로사이버보안이행일정및결과물도출일정 ( 안 ) 에대한요청공문을송부예정 - 상기공문에따라 CDA 식별목록 ( 안 ) 이제출되면, KINAC은주요계통에대해세부적인식별결과 ( 구성도, 연계도, 영향평가결과등 ) 를요청할예정 - 식별결과에대한기술적인검토의견이나추가자료요청은향후질의 / 답변을통해수행될예정 - 질의 / 답변과는별개로사업자는도출된 CDA 식별 ( 안 ) 을바탕으로건설단계사이버보안활동 ( 보안등급에따른심층방호전략, 보안평가등 ) 을수행하며, 필요시, 규제기관과의사전기술회의를진행할예정 신고리5,6/ 신한울3,4 - 사업자의 MMIS 사이버보안적용에있어 PLC/DCS 플랫폼에대한사전보안조치준수평가및개선이핵심이므로, 두플랫폼의보안조치평가및이행계획일정을제시해주기를협의함 - 보조기기내필수디지털자산 (CDA) 도 RS-015에따라사이버보안이적용되어야하며, 차기회의에서사업자의보조기기목록 ( 안 ) 을바탕으로적용방안에대해협의하기로합의함 - GE의터빈제어시스템 (Mark-VIe) 용사이버보안솔루션및 NEI 등의요건만족사항에대한추가적인조사가필요함을협의함 - 보안설비는 SSEP 기능중, Security 기능을수행하는설비들로, 대부분이필수디지털자산으로식별될것으로판단되며, KINAC 심사단계에따라 RS-015 적용심사가진행되어야함을협의함 - KINAC은사업자의사이버보안심사단계별이행결과물발행일정확인을위해 1차심사질의를송부할예정임

72 - 사업자는터빈제어시스템 (Mark-VIe) 용사이버보안솔루션의국내규제기준 (RS-015) 에따른요건이행평가결과를설명하기로함 신한울1,2 - 신한울1발운영전, 시운전실에서 지침-업무-09 ( 사이버보안운영지침 ) 에따라 KINS가요구했던안전계통에대해사이버보안을이행하고있음 - 설비인수인계후 ( 시운전실 운영기술실 / 계측제어팀 ), 표준지침 에따라매체통제를이행하는것이원칙이나, 현재계측제어팀에서는일부시스템에대해서이미적용하고있음 - 이와관련해서사업자는 표준지침 에따른증빙자료를제출함 - 시운전실이 지침-업무-09 에따른증빙자료중일부사본요청필요 ( 16.1 이후 ) - 사업자는 사이버보안조직구성이행 ( 안 ) 이라는보고서를통해서 RS-015에따른사이버보안조직구성과역할 / 책임에대해서설명 - 그러나, 보고서는조직구성및역할에대한증빙자료가될수없으며, 사업자는직재규정혹은내부규정에반영된근거자료제출이필요함 - 기장연구로 CDA 식별 ( 안 ) 및종합보고서심사경험을바탕으로개선된심사방안에대해설명하고, 사업자가합의함 ~7월사업자제출 ( 심층방호및비상대응보고서 ) - 표준지침 /02( 원전제어시스템 / 물리적방호시스템사이버보안관리 ) 에따라물리적 / 전자적접근통제를수행함을설명 - 기록및비치 사항은 17.6월부터시행규칙적용하며, 한수원본사차원에서방법론협의하기로함 - 가동원전의지적 / 권고되었던사항들에대해신한울1발현황질의가필요 - 표준지침 /02( 원전제어시스템 / 물리적방호시스템사이버보안관리 ) 에따라무선연결 / 외부연결접근통제를수행함을설명 - 본사항은사업자가포트통제, 무선랜통제등운영적보안조치를수

73 행하고있으므로, 3차질의에서제외하고최초검사시에현장확인하기로내부협의함 - Window계열, PLC(POSAFE-Q), UNIX계열별무결성점검방안에대해설명 - PLC, DCS에대한무결성점검기능이있는경우, 해당시스템의점검절차서내에무결성을점검하는절차가반영되고점검결과가기록되는지파악필요. 기능이있음에도점검절차서에반영되지않은경우, 일정을포함한반영계획에대한질의필요 - 상기추가질의는특별검사 5단계 ( 무결성점검 ) 에서별도진행될예정으로 3차질의에서제외하기로내부협의함

74 제 4 절심 검사이행체제강화및규제기반기술확보 4.1 심 검사절차서및지침서개발 2015년도부터본격적인사이버보안심 검사가수행됨에따라이를위한절차및지침의필요성이대두되었다. 이에 2015년 ~2016년도에는신규규제경험을축척하고이에대한효과성분석을내부적으로수행하였고, 2017년도에는국내 외의관련문서를분석하여내부업무매뉴얼 4종 ( 심 검사절차서및지침서 ) 을마련하였다. 심 검사지침서및절차서개발계획사이버보안심사업무는방사능방재법시행령제17조 ( 규정승인신청 ) 및제40조 ( 업무의위탁 ) 에따라 KINAC이원자력안전위원회로부터위탁을받아수행하고있는사항으로법령, 고시및사무편람 ( 위탁업무규정문서 ), 규제기준 (RS-015, RS-019) 에따라사업자의정보시스템보안규정을심사하기위한절차및지침개발이필요하였다. 또한, 사이버보안검사업무는방사능방재법시행령제18조 ( 검사 ) 및제40조 ( 업무의위탁 ) 에따라상기와같이 KINAC이위탁을받아수행하고있는사항으로, 법령및규제기준등에따라정보시스템보안규정에따른현장검사를수행하기위한절차및지침개발이필요하였다. 이러한필요성을기반으로하여, 아래와같은개발계획을수립하였다. 우선은국 내외의심 검사매뉴얼관련한자료를분석한후에, 절차서및지침서초안을마련하고이에대한유관부서검토를거친후에최종승인을통해발행되도록계획을수립하였다. 원내 지침및절차서관리절차서 에따라지침및절차서제정시, 본부장의최종확인후승인을받으므로심 검사지침서및절차서에대해원자력통제본부의본부장의승인을받아제정국 내외자료수집및분석사이버보안심사절차및지침개발을위해수립및분석한자료는다음과같다. 발전용원자로및관계시설인허가심사절차 (KINS) - 원자력안전위원회산하의안전분야심사절차서 경수로형원전안전심사지침 (KINS)