ARM, 사물인터넷(IoT)이 성공하려면 보안 방식에 대한 합의가 필요

ARM, IoT 보안 강화 위한 'PSA Certified' 인증 scheme 공개

[서울] 사물인터넷(IoT) 기기 보안에 대한 표준화와 규제 부재가 심각한 문제로 대두되는 가운데, ARM이 업계 전반의 신뢰를 구축하고 IoT 생태계 확장을 가속화하기 위한 'Platform Security Architecture (PSA)'와 'PSA Certified' 인증 scheme을 공개했습니다.

일상생활에서 우리는 의사의 면허, 완구의 안전 기준, 온수기의 산업 규정 준수 여부를 확인합니다. 하지만 수많은 기업들이 공통된 표준, 규제, 일관된 보안 접근 방식 없이 수천 개의 IoT 기기를 설계, 배포, 관리하고 있습니다. 카지노의 VIP 데이터가 로비 수족관의 온도계를 통해 유출되거나, 로봇 청소기가 해킹되어 집안을 감시하는 사례는 이미 현실이 되었습니다. 스마트 게이트웨이부터 초저전력 센서까지, IoT 기기는 우리 삶의 모든 측면에 스며들고 산업 전반을 변화시키고 있습니다. 이러한 변화 속에서 IoT 보안은 신뢰 구축을 위해 일관되고 효과적으로 해결되어야 하며, 신뢰가 확보될 때 IoT는 확장되어 다양한 시장에서 새로운 서비스를 제공할 수 있습니다.

IoT 보안의 도전 과제는 점점 커지고 복잡해지고 있습니다. 자동차, 아기 모니터, 심박 조율기, 전구 등 모든 것이 해킹의 위험에 노출되어 기밀 또는 개인 정보가 유출되거나, 시스템 전체가 악의적인 공격의 무기로 전락할 수 있습니다. 최악의 경우, 수많은 IoT 기기가 봇넷을 형성하여 주요 타겟을 마비시킬 수도 있습니다. 그렇다면 제조사와 기업들은 어떻게 IoT 시스템을 보호해야 하며, 무엇으로부터 보호해야 할까요? 현재 대부분의 IoT 기기는 독립적인 보안 테스트는 물론, 기본적인 보안 테스트조차 제대로 거치지 않고 있습니다.

ARM의 2018년 보안 선언문에서 사이버 보안 기업 Cybereason의 최고 비전 책임자(CVO)이자 공동 창립자인 Yossi Naar는 "많은 경우 보안 기능이 설계 프로세스의 후반부에 고려됩니다. 제품을 더 안전하게 만드는 것이 기능을 줄이거나 제거하는 것을 의미하거나, 심지어 제품 출시를 지연시키는 결과를 초래할 수 있으며, 이는 판매에 부정적인 영향을 미칠 수 있습니다. 결과적으로 본질적으로 안전하지 않은 기기가 출시되는 상황이 발생하며, 이는 누구에게도 이득이 되지 않습니다."라고 지적했습니다. 이러한 현상의 원인은 명확합니다. 개발자들은 종종 보안 전문성이 부족하고, 기기의 보안 기능을 기반으로 구축할 수 있는 간단하고 일관된 프레임워크에 대한 접근성이 떨어집니다. 이러한 복합적인 문제들은 신뢰 부족을 강화하고 IoT의 채택을 늦추고 있습니다.

인증은 신뢰 구축에 기여합니다. 다행히도 많은 산업 기구와 컨소시엄이 IoT 표준을 홍보하기 시작했고, 규제 당국도 강력한 IoT 보안의 필요성을 인식하고 있습니다. 하지만 여전히 파편화가 심각합니다. 성숙하지 못하고 파편화된 시장 환경에서 다양한 요구사항과 방대한 데이터 문제를 안고 있기 때문에, 일관되고 포괄적인 접근 방식에 대한 필요성이 여전히 큽니다. 즉, 업계 전반의 인증만이 기기에 대한 신뢰를 구축하고 기존 및 신규 사용 사례에서 가치를 창출하는 데 도움이 될 수 있습니다.

IoT의 비전은 방대한 수의 연결된 장치를 배포하고, 이 모든 장치에서 엄청난 양의 데이터를 생성하는 것입니다. 기업들은 이 데이터를 로컬, 엣지 또는 클라우드에서 처리하여 비즈니스 통찰력을 얻고 생산성을 향상시킵니다. 그러나 이러한 비즈니스 통찰력의 유효성은 해당 장치와 그 데이터에 대한 신뢰에 달려 있습니다. 이러한 신뢰는 특정 사용 사례에 맞는 적절한 수준의 보안을 통해서만 구축될 수 있습니다. 그리고 독립적인 보안 인증만이 IoT가 비즈니스 가치를 제공하는 데 필요한 신뢰를 확립할 수 있습니다.

ARM은 파트너들과 긴밀히 협력하여 이러한 위험과 과제를 완화하는 데 도움을 주면서, 수조 개의 연결된 장치라는 현실을 충족시키기 위해서는 업계가 일관된 보안을 처음부터 구축할 수 있는 신뢰할 수 있는 IoT 보안 프레임워크를 개발해야 한다는 점을 인식했습니다. 그 결과가 바로 'Platform Security Architecture (PSA)'입니다. PSA는 많은 제조사들이 이미 IoT 프로젝트에 적절한 수준의 보안을 구현하는 데 사용하고 있는 아키텍처에 구애받지 않는 프레임워크입니다. PSA는 분석, 설계, 구현, 인증의 네 가지 핵심 요소를 가지고 있습니다. ARM은 PSA와 관련된 사양, 위협 모델, 참조 펌웨어를 무료로 공개했으며, PSA는 비용 효율적이고 일관된 보안 이니셔티브로서 폭넓은 업계의 지지를 받고 있습니다.

PSA를 보완하기 위해 2019년 2월 'PSA Certified'가 출시되었습니다. PSA Certified는 실리콘 공급업체, OS 공급업체, OEM이 장치와 이를 기반으로 하는 서비스에 대한 신뢰를 구축할 수 있도록 지원하는 독립적인 인증 scheme입니다. PSA Certified는 독립성과 광범위한 시장 지원을 보장하기 위해 선도적인 테스트 연구소 및 보안 컨설턴트와 파트너십을 통해 개발되었습니다. 이러한 연구소에는 Brightsight, CAICT, Riscure, UL이 포함되며, 외부 보안 컨설턴트로는 Prove and Run이 참여했습니다. 보안 수준을 높이려는 공동의 목표를 가진 업계 전문가들의 긴밀한 협력을 통해, PSA Certified는 다단계 보증 및 견고성 scheme으로 설계되었습니다. 이미 여러 선도적인 실리콘 공급업체들이 Level 1에서 PSA Certified를 획득했습니다. 다단계 scheme은 IoT 보안에 대한 일률적인 접근 방식이 비즈니스 또는 IoT 사용 사례의 광범위한 요구를 충족시키지 못하기 때문에 중요합니다.

PSA Certified의 다단계 특성은 기업들이 사용 사례에 맞는 적절한 보안 수준을 결정하고 독립적으로 검증할 수 있도록 합니다. 적절한 수준의 보증 및 견고성에 도달하면, 신뢰할 수 있는 서비스 배포를 대규모로 달성할 수 있습니다. 수조 개의 연결된 장치, 그중 상당수가 수년간 현장에서 사용될 것이라는 현실을 충족시키려면, 간단하고 독립적인 다단계 IoT 보안 인증과 일관된 개발자 API를 통해 이러한 장치에 신뢰를 구축해야 합니다. 그래야만 소비자는 올바른 선택을 했다는 안심을 할 수 있고, 기업은 IoT의 잠재력을 완전히 실현할 수 있습니다. Platform Security Architecture와 PSA Certified scheme은 이미 Internet of Things (IoT)를 보호하고 확장하는 데 기여하고 있습니다. 더 자세한 내용은 www.psacertified.org에서 확인할 수 있습니다.