ISA/IEC 62443

ISA/IEC 62443는 산업 자동화 및 제어 시스템(Industrial Automation and Control Systems, IACS)의 보안을 위한 국제 표준입니다. 이 표준은 국제전기기술위원회(IEC)와 국제자동화학회(ISA, International Society of Automation)가 공동으로 개발한 것으로, 산업 제어 시스템(ICS)과 운영 기술(OT) 환경에서의 보안 위협을 방지하고 보호하기 위한 프레임워크를 제공합니다.

---

ISA/IEC 62443의 주요 목적

 • 산업 제어 시스템(IACS) 및 관련 인프라의 보안 강화를 위한 요구사항 정의
 • 위협 모델 및 위험 관리 프레임워크 제공
 • 운영자, 시스템 통합자, 제품 공급업체 등의 이해관계자별 보안 역할 및 책임 정의
 • 정보 보안(IT Security)과 OT 보안의 차이를 반영하여 운영 환경에 맞는 보안 전략 제공

ISA/IEC 62443 표준 구조 및 주요 부분

 • ISA/IEC 62443는 총 4개 부문(시리즈)로 구성되며, 각 부문은 산업 시스템의 특정 계층에서 보안 요구 사항을 다룹니다.

부문	설명	적용 대상
62443-1-x (일반)	기본 개념, 용어 정의 및 보안 모델	전체
62443-2-x (정책 및 절차)	보안 관리 정책 및 프로세스	운영자(Asset Owner)
62443-3-x (시스템 수준 보안 요구사항)	시스템 아키텍처 및 보안 요구사항	시스템 통합자(System Integrator)
62443-4-x (컴포넌트 보안 요구사항)	제품 및 소프트웨어 보안 요구사항	제품 공급업체(Product Supplier)

 

ISA/IEC 62443

---

주요 특징

✔︎ 산업 환경(OT)에 적합한 보안 적용
  • 기존 IT 보안(ISO 27001, NIST CSF 등)과 달리 실시간 운영 환경과 물리적 시스템(OT)의 특수성을 고려
  • 가용성이 중요한 SCADA, DCS, PLC 등 산업 자동화 시스템을 보호하는 데 중점

✔︎ 보안 수준(Security Levels, SL) 개념 도입
  • 시스템이 충족해야 할 보안 강도를 4단계로 구분
  • SL 1 : 우발적인 위협(일반 직원, 실수 등) 대응
  • SL 2 : 저숙련 공격자(기본적인 해킹 도구 사용) 대응
  • SL 3 : 숙련된 공격자(맞춤형 도구 및 스크립트 사용) 대응
  • SL 4 : 고도의 조직적 공격자(국가 지원 공격 포함) 대응
✔︎ 각 단계별로 요구되는 보안 조치를 명확히 정의

✔︎ 역할 기반 보안 요구사항
  • 이해관계자(Asset Owner, System Integrator, Product Supplier)별 역할과 책임 정의
  • 보안 요구사항을 각 단계에서 준수하도록 가이드 제공

✔︎  존 & 콘duit 모델(Zone & Conduit) 적용
  • 네트워크를 보안 존(Security Zone)으로 나누고, 존 간 통신은 콘duit(보안 경로)을 통해 제어
  • 네트워크 분리 및 보안 경계 강화를 통해 위협의 확산 방지

✔︎ 위험 기반 접근 방식
  • 단순한 보안 지침이 아니라, 위험 평가(Risk Assessment)를 기반으로 한 보안 조치를 요구
  • 기업이나 조직의 특정 산업 환경과 위협 모델을 고려하여 맞춤형 보안 적용 가능

---

ISA/IEC 62443와 다른 보안 표준과의 차이점

구분	SA/IEC 62443	ISO/IEC 27001 NIST SP 800-82
초점	산업 제어 시스템(ICS), OT 보안	IT 정보 보안 산업제어 시스템(ICS) 보안 가이드라인
대상	SCADA, DCS, PLC, 산업 네트워크	기업 IT 시스템 ICS 환경에서의 NIST 보안 프레임워크 적용
접근 방식	보안 수준(SL), 존 & 콘duit 모델, 위험 기반 접근	ISMS(정보보호 관리체계), 위험 기반 접근 NIST CSF 기반의 실무적 가이드라인
국제 표준화	국제 표준(IEC 승인) 국제 표준(ISO 승인)	미국 정부(국립표준기술연구소) 가이드

적용 사례 및 활용 방안

  • 제조업(MES, PLC, SCADA 보안 강화)
  • 전력, 석유, 가스, 수도 등 주요 기반 시설 보호
  • 스마트 팩토리 및 IIoT(Industrial IoT) 환경 보안 적용
  • 국가 기반시설 보호법(CIP, Critical Infrastructure Protection)과 연계

ISA/IEC 62443 도입 시 고려 사항

  • 자사의 산업 시스템 환경 분석 → 위험 평가(Risk Assessment) 수행
  • 적절한 보안 수준(Security Level, SL) 설정 → 필요한 보안 요구사항 정의
  • 조직 내 이해관계자(운영자, 통합자, 공급업체) 협력 → 보안 정책 수립 및 역할 분담
  • 기존 IT 보안(ISO 27001, NIST 등)과 연계 방안 검토 → 통합 보안 프레임워크 구축

---

ISA/IEC 62443는 산업 제어 시스템(IACS) 보안을 위한 가장 포괄적인 국제 표준이며, 위험 기반 접근법, 보안 수준(SL) 개념, 존 & 콘duit 모델 등의 체계를 통해 산업 자동화 및 운영 기술(OT) 환경의 보안을 강화하는 데 필수적입니다. 기업이 이 표준을 준수하면 사이버 공격으로부터 산업 시스템을 보호하고, 운영 중단을 방지하며, 규제 요구사항을 충족할 수 있습니다.