| 표준의
제정
에 관한 설명서 |
| 1. 일반사항 |
| 가. 제안표준명 |
ICT 제품 하드웨어 공급망 보안 강화를 위한 하드웨어 자재 명세서(HBOM) 요구사항 가이드라인 |
| 나. 제안목적 |
이 표준의 목적은 하드웨어 기반 제품의수명주기 동안 공급망 보안위협을 도출하고, 도출된 보안위협에 대해 검증기관(및/또는 시험기관) 관점에서 하드웨어 기반 제품에 대한 공급망 보안 여부를 검증하기 위해 제조사에서 관리하는 하드웨어부품명세서 요구사항 |
| 다. 추진경위 |
공급망 보안 위협 증가에 대응하여 하드웨어 부품의 투명성 확보를 위한 HBOM 표준 요구사항 정의 및 관리 체계 수립 추진 |
| 라. 적용범위 |
주 : ICT 장비를 비롯한 하드웨어 기반의 제품 전반
부 : IC, 전자제품 도입 모듈 등 |
마. 표준구현 제품
/서비스명
(회사명 및 서비스를
구체적으로 기재)
|
의료/산업제어/국방 등 국민의 생명과 재산에 위협을 줄수 있는 제품 대상으로 시작하여 확대 가능하고, 국내외 규제기관에서 요구하는 필수 요구사항으로 공급망보안 관련 시험인증을 위한 표준으로 예상
|
바. 정보통신표준
분류체계 |
Architecture분류
대분류: 기반기술 소분류: 정보보호
ServiceDomain분류
대분류: 공통 소분류: 보안 |
| 사. 표준도입시기 |
1년 이내
|
아. 표준활용 예상성과
(구체적으로 기재)
|
국내 다양한 산업분야 공급망보안을 위한 하드웨어기반의 보안관리 체계의 시작점으로 볼수 있는 표준으로, 현재 의료/산업제어/국방 등 국민의 생명과 재산에 위협을 줄수 있는 제품의 공급망보안관리에 즉시 사용가능한 표준으로 볼수 있음
|
| 자. 표준(안) 작성시기 |
(착수)20260424 ~
(완료)20270331 |
차. 개정대상표준
(개정표준에 한함) |
표준번호 :
제정일 : |
카. 내용요약
(개정표준의 경우 개정내용
위주로 작성) |
소프트웨어 자재명세서(SBOM)를 중심으로 한 소프트웨어 공급망 관리는 소프트웨어의 특성상 취약점이 발견되었을 때 신속하고 유기적으로 대응할 수 있다는 장점을 갖는다.
반면, 하드웨어 공급망 관리에서는 보안 취약점 대응에 있어 구조적인 제약이 존재한다. 보안 취약점이 내재된 임베디드 하드웨어 제품의 경우, 특정 부품 수준에서 취약점을 포함하고 있을 가능성이 높다. 이러한 부품은 소프트웨어처럼 단순한 업그레이드나 패치를 통해 결함을 수정하기 어렵고, 경우에 따라 전체 제품의 수리 혹은 폐기가 요구된다. 즉, 하드웨어는 물리적 실체를 기반으로 생산, 이동, 수리, 폐기의 단계를 거치는 공급망을 형성하기 때문에, 보안 취약점이 확인된 경우 그 영향 범위가 보다 광범위하며 개선 방법 또한 제한적이라는 점에서 소프트웨어 공급망과 본질적인 차이를 지닌다. 특히 하드웨어 제품의 경우 보안 취약점이 단일 부품 수준에서 존재하더라도, 그 부품이 사용된 모든 최종 제품이 동일하게 영향을 받게 된다. 단순한 결함이나 고장은 수리 과정에서 해당 부위만 교체함으로써 기능적 문제를 해결할 수 있으나, 보안 취약점은 설계 단계에서부터 내재된 시스템적 문제로서 수리만으로는 완전한 대응이 어렵다. 따라서 보안 취약점이 발견된 하드웨어를 사용하는 제품은 동일한 위험군으로 분류되어 수리 또는 폐기라는 물리적 조치를 수반해야 한다. 이러한 대응 방식의 차이는 하드웨어 공급망 보안 관리에 있어 HBOM과 본 표준의 필요성을 명확히 뒷받침한다.
|
타. 제안 초안의 종류
(중복선택 가능) |
국책과제
((세부)사업명: 정보보호핵심원천기술개발사업(과학기술정보통신부,R&D)), 과제명: HW 공급망의 안전성을 보장하기 위한 칩 무결성 및 시스템 보안 검증 기술 개발)
|
| 2. 국외표준준용(인용) 여부 |
| 가. 준용(인용)구분 |
순수고유표준
|
| 나. 준용(인용)표준 |
- 주 준용표준
(기구명/표준번호) |
,
제정일: |
- 부 준용표준
(복수표준준용 경우) |
,
제정일: |
|
| 다. 준용(인용) 내용
|
|
| 3. 시험인증 관련성 |
| 가. 시험표준의 필요성 |
Yes
No
|
나. 시험표준 필요 사유
(법적 강제성 여부 등
구체적 기재)
|
|
다. 시험표준 대상
(제품/서비스명
구체적으로 기재)
|
|
라. 시험인증 대상 종류
(중복선택 가능) |
해당사항없음
|
마. 시험표준 제정 현황
(본 표준에 시험방법
내용 포함 여부 등) |
시험표준 없음
|
| 4. 국가표준 추진 여부 |
Yes
No
(*국가 표준으로의 건의는 위 의견을 참고하여 표준화위원회에서 검토 후 그 여부를
정함) |
| 5. 기타특기사항 |
본 표준은 ITU-T SG17 국제표준으로 동시 진행되어 한국표준을 국가 표준으로 확대하는 글로벌 표준화의 의미가 부여된 표준 제안임 |