스마트시티 보안모델

1. 스마트시티의 구성요소 및 보안 위협

(1) 스마트시티의 구성요소

  • 스마트시티의 구성요소는 서비스 흐름에 따라 디바이스, 인프라, 플랫폼, 서비스로 구분

(2) 스마트시티 구성요소의 특성 및 보안 위협

구성요소특성보안 위협
스마트시티
디바이스
– 서비스 개방형으로 상호 연동
– 실감, 지능, 융합형 서비스제공
– DoS 공격에 따른 통신 방해
– 악성코드 전이, 개인정보 변조/유출
스마트시티
인프라
– 초연결 네트워크, 저전력 통신망
– 멀티홉 라우팅, 트래픽 폭증
– 도청/감청, 비인가 접근
– DDoS 공격, Rogue AP
스마트시티
플랫폼
– 멀티 도메인, IP 기반 경량 서비스
– 데이터 중심 협업 및 공유
– 코드 및 설계의 보안 취약점
– MITM, 비인가 불법접근
스마트시티
서비스
– Open API 기반 IoT 서비스
– 개방형 플랫폼 기반 상호작용
– 데이터 손실, 미흡한 권한 관리
– 부적절한 인적 행위, 사생활 침해
  • 스마트시티는 정보통신기술이 매우 집약적으로 적용됨에 따라 사이버 공격에 노출되기 쉽고, 사이버 공격으로 인해 도시 기능이 마비될 수 있으며 심각한 경우 시민의 생명에도 위협이 될 수 있으므로 스마트시티 구축 및 운영 시 보안 요구사항 정의 및 요구사항에 따른 보안솔루션 적용 필요

 

2. 스마트시티 보안 요구사항

구분보안 요구사항점검 및 대응 방안
스마트시티
보안관리 
보안 운영 체계 구성– 스마트시티 보안 협의체 및 전담조직 구성
– 보안사고 대응 계획 수립 및 적절성 점검
정보자산 관리– 물리적 및 논리적 네트워크 망분리
– 중요 데이터 식별 및 접근 통제 정책 적용
도시 통합 운영 센터
물리적 보호
–  보호 구역 지정 및 설비 안전 관리
– 센터 출입 권한 관리 및 출입 기록 검토
스마트시티
구성요소 공통 
인증 및 인가– 로그인 횟수 제한, 1인 1계정 부여 등
– ID/PW, 인증키, 토큰 등 인증정보 관리
감사/위협/상태
모니터링
– 디바이스 및 시스템 비정상 행위 모니터링
– 취약점 정보 및 시스템 성능, 용량 모니터링
연속성 관리–  변경 사항 기록 및 관리, 백업/복구 계획
– 보안 패치, 업데이트 관리 및 모니터링
연계 구간안전한 API 개발– 데이터 연계 관련 API Secure Coding 적용
– API 개발 후 구현 단계 이관 전 취약점 점검
무결성 검증– API 기반 데이터 연계 시 메시지 무결성 검증
– 메시지 Signature 생성하여 전송 후 검증
연계 현황 모니터링– 데이터 연계 현황 모니터링 계획 수립/이행
– 데이터 흐름은 로그 형식 기록 및 주기적 검토
  • 스마트시티의 보안 위협은 다양한 위치에서 발생할 수 있으므로, 스마트시티에서 발생 가능한 보안위협에 대해 구성요소 별 예측, 예방, 대응 및 조치 가능한 보안 솔루션 적용 고려

 

3. 스마트시티 보안모델(보안 아키텍처 및 보안 솔루션)

(1) 스마트시티 보안 아키텍처

(2) 스마트시티에 적용 가능한 보안 솔루션

구분보안 솔루션 사용 목적
스마트시티
디바이스
탬퍼프루핑, 함체 잠금장치 등– 디바이스의 물리적 보안 강화
– 데이터 탈취 및 펌웨어 교체 대응
OTP, HSM, 인증서 기반 상호 인증– 수집데이터 위변조 및 도감청 방지
– 악의적 프로그램 실행 대응
디바이스, G/W, 서버 구간
통신 암호화
– 펌웨어 보안을 위한 암호화
– 통신내용 도감청 및 위변조 대응
MAC (Message Authentication Code)– 메시지 인증 코드 첨부 및 검증
– 디바이스 데이터 위변조 대응
스마트시티
인프라
DTLS/TLS 암호화– 데이터 암호화 기능 지원
– 패킷 도감청 및 정보 유출 대응
NAC(Network Access Control)– 비인가 단말 차단 및 접근 방지
– 우회경로를 통한 정보 유출 대응
IDS(Intrusion Detection System) / IPS(Intrusion Prevention System)– 네트워크 침입 탐지 및 차단
– 내부 유입 비정상 패킷 및 이상행위 대응
Anti-DDoS– DDoS 공격차단, 임계치기준 유입량 조절
– 대규모 서비스 거부 공격 대응
스마트시티
플랫폼
Secure Coding– 소스코드 취약점 점검
– 잠재 보안취약점 대응
웹방화벽– HTTP Packet Filtering
– WebApp 및 WebServer 보안취약점 대응
PSIM (Physical Security Information Management)– 운영센터 물리보안 통합 관리
– 물리적 침입, 설비 및 시설 파괴 대응
원격 로그 서버– H/W 사용 이력 등 로그 수집 및 보관
– 로그 저장 기반 침해사고 분석 불가 대응
SIEM / SOAR– 보안 모니터링 및 통합관제
– 대규모 IT Infra 사이버 보안 위협 대응
스마트시티
서비스
FIDO 인증, DID 인증– 사용자 및 서비스 인증
– 신원 도용, 인증 우회 대응
물리적 망분리, VDI– 업무망/인터넷망의 망분리 및 망연계
– 비인가자 네트워크 침입 대응
정형 및 비정형 암호화– 데이터 및 개인정보 암호화
– 데이터 위변조 및 개인정보 유출 대응
영상정보 마스킹– 민감 개인정보 보호 위한 비식별화
– 개인 프라이버시 침해 대응
  • 스마트시티 보안 모델을 스마트시티의 구축을 계획하거나 추진 및 운영하는 지방자치단체, 스마트시티 서비스를 위한 인프라 및 소프트웨어 등을 개발, 납품하는 민간기업 등에서 활용하여 안전한 스마트시티로 발전을 위한 노력 필요

[참고]

  • 한국인터넷진흥원(KISA), “스마트시티 보안모델”, 2021.12 

 

콘텐츠 사용 시 출처 표기 부탁 드리고, 댓글은 큰 힘이 됩니다^^