EU 규정 준수 의무의 이해: 통신-5G 및 그 이상

에서 첫 번째 부분 이 블로그 시리즈에서는 규정 준수 환경과 각 산업마다 사이버 보안에 대한 고유한 규제 또는 지침이 어떻게 적용되는지에 대해 논의했습니다.그 뒤를 이어 게시물 제가 직접 경험한 분야인 중요 시스템 및 운영 기술 부문의 규제 및 보안 통제에 대해 설명합니다.여기서부터 논의한 내용은 다음과 같습니다. 금융 서비스 규정 EU에 있습니다.마지막으로 GDPR, 사이버 에센셜/사이버 에센셜 플러스 사이버 보안에 관한 일련의 NCSC (영국 국립 사이버 보안 센터) 지침입니다.

오늘은 빠르게 발전하고 있는 보안 분야인 통신 및 통신 플랫폼에 초점을 맞출 것입니다. 물론 5G가 현재의 초점이지만, 오늘 시행되는 보안 지침과 법률은 5G를 넘어서는 미래를 위한 무대이기도 합니다.

텔레콤 산업

최근 몇 년 동안 업계와 정부 내에서는 취약한 보안이 점점 더 중요해지는 통신 비즈니스에 미치는 영향을 살펴보는 데 초점이 크게 바뀌었습니다.이 중 일부는 국가 차원의 고위급 영향에 관한 것입니다.예를 들어 통화와 데이터를 라우팅하는 기본 플랫폼인 “패킷 코어”에서 특정 공급업체 또는 국가의 네트워킹 장비를 사용하는 경우를 들 수 있습니다.이는 이러한 네트워크가 세계의 미래에 미치는 중요성을 보여줍니다. 존재할 가능성이 조금이라도 있는 잠재적 침해나 백도어는 광범위한 영향을 미칩니다.

이로 인해 주변 시스템, 조직 및 공급업체에 초점을 맞출 수 있습니다.예를 들어 영국의 NCSC는 5G 네트워크 자체에 대한 지침과 법률로 넘어가기 전에 먼저 통신 산업에 대한 공급망에 집중했습니다.

더 영국 통신 공급망 검토 보고서, 2019년 7월에 게시됨 2018년 초기 검토그는 “영국 통신 부문에 대한 가장 심각한 사이버 위협은 국가에서 비롯된다”고 말하면서도 모든 지원 시스템을 단일 공급업체에 의존하지 말라고 조언합니다.요약된 보안 위험은 다음과 같습니다.

• 특정 공급업체, 특히 위험이 높은 것으로 간주되는 공급업체에 대한 국가적 의존도
• 네트워크 장비의 결함 또는 취약성
• 공급업체 장비에 악의적인 기능이 내장되는 '백도어' 위협, 그리고
• 장비 지원을 제공하거나 관리 서비스 계약의 일부로 공급업체 관리 액세스

그런 다음 NCSC는 다양한 네트워크 유형 및 기능의 다양한 보안 민감도를 간략하게 설명합니다.

5G 인프라

5G와 같은 새로운 네트워크 기술이 발전함에 따라 장치를 연결하고 이러한 연결된 시스템을 관리하는 방식이 근본적으로 변화합니다. 5G는 단순한 속도 향상 그 이상입니다.지연 시간이 크게 단축되고 안정성과 가동 시간이 크게 개선되며 특정 영역에서 연결된 장치 수가 최대 100배까지 늘어났습니다. 5G를 사용하면 이전 기술과 관련된 지연 문제 없이 IoT 장치를 직접 제어하고 드론과 같은 기술을 실시간 원격 제어할 수 있으며, 차량 간 통신, 중요 시스템에 대한 기존 유선/와이파이 연결에 대한 의존도를 크게 줄일 수 있습니다.

이를 통해 얻을 수 있는 사용 사례는 최종 보안 모델을 크게 변경할 수 있습니다.

5G에는 Ericsson이 설명한 것과 같은 여러 내장 보안 개선 사항이 포함되어 있습니다. 이리.개선 사항으로는 5G 용어로 구독 영구 식별자 (SUPI) 라고도 하는 IMSI (국제 모바일 가입자) 를 사용한 종단간 암호화가 포함됩니다.

그러나 5G는 이전의 데이터 전용 통신 네트워크보다 더 확실한 “중요 인프라”입니다.자동차와 같은 중요 시스템의 신뢰성, 가동 시간 및 제어에 중점을 두고 있기 때문에 엔터테인먼트/데이터에 특화된 4G를 사용하는 대신 5G가 인프라의 필수 근간으로 자리잡았습니다.이는 Ericsson이 작성한 아래 다이어그램에 깔끔하게 요약되어 있습니다.

스마트폰 데이터 연결을 포함한 향상된 모바일 광대역 섹션은 가장 확실한 5G 사용 사례를 중점적으로 다루지만, 그 아래에서는 기계 간 통신의 전체 과정을 보여줍니다.

맨 아래에는 주요 산업 시스템, 교통 안전 등이 모두 각 용도에 맞는 맞춤형 네트워크가 아닌 직접 통신에 5G를 활용하고 있습니다.

지침 — 그 다음은 법률

초기 공급망 검토부터 영국의 NCSC가 먼저 움직였습니다. 영국 통신 부문의 보안 검토.

그 결과, “가장 높은 점수를 받은 공격 벡터의 대다수가 다음 다섯 가지 범주 중 하나에 해당한다.

• 운영자의 관리 플레인을 통한 악용
• 국제 시그널링 플레인을 통한 개발
• 가상화된 네트워크 악용
• 공급망을 통한 착취
• 네트워크 운영 및 보안을 위한 국가적 역량 상실 (의존성)”

여기서부터 급속한 발전은 이전 통신 보증 제도의 폐지 - CAS (T) 및 초안 작성 통신 보안 요구 사항 (TSR) 업무가 다른 안내.

이 내용은 아직 초안 상태이지만 다음 영역에 대한 특정 요구 사항이 포함된 것으로 알려져 있습니다.

• 범위 내 시스템의 공격 표면 이해
• 연결성 감소와 그에 따른 측면 이동을 통해 공격의 영향을 최소화합니다.
• 관리 및 핵심 영역의 강력한 세분화

마지막으로 관련 요구 사항이 새로 제정된 법률에 포함되는 것을 보았습니다. 통신 보안 법안.

다루어야 할 내용이 많습니다!이 게시물 전체에서 언급한 바와 같이, 영국에서는 2년 이내에 기본 검토부터 실제 법률에 이르기까지 이러한 새로운 지침 세트, 법률 및 검토의 개발이 매우 빠르게 진행되고 있습니다.

더 넓은 유럽 연합에서 우리는 훨씬 더 오래된 사람들부터 일하고 있습니다. 지침 2009/140EC 제13a조, 더 넓은 것의 일부 ENISA 텔레콤 패키지.2009년에 작성된 이 문서에는 아직 4G 및 5G와 관련된 많은 추가 사용 사례와 시나리오가 고려되지 않았지만 다음과 같은 (비교적 모호한) 사항이 여전히 포함되어 있습니다.

“회원국은 공공 통신 네트워크 또는 공개적으로 이용 가능한 전자 통신 서비스를 제공하는 기업이 네트워크 및 서비스의 보안에 미치는 위험을 적절하게 관리하기 위해 적절한 기술적, 조직적 조치를 취하도록 보장해야 합니다.최신 기술을 고려할 때 이러한 조치는 발생하는 위험에 적합한 수준의 보안을 보장해야 합니다.특히 보안 사고가 사용자와 상호 연결된 네트워크에 미치는 영향을 예방하고 최소화하기 위한 조치를 취해야 합니다.”

NCSC의 지침과 같은 지침에 부합하도록 하기 위해 이에 대한 중요한 업데이트가 이루어질 것으로 예상할 수 있습니다.

결론적으로

NCSC 프로세스가 영국에서 설명하는 분석, 지침 및 후속 법률의 급속한 확대를 보면 5G 기반 통신으로의 전환이 가져올 수 있는 엄청난 잠재적 공격 표면과 그 영향은 삶의 여러 영역에서 분명한 이점을 얻을 수 있습니다.빠르게 개선되고 구체적인 지침이 제공됨에 따라 업계 내에서 관련 프로젝트의 수가 증가하고 있습니다.

Illumio에서는 여러 통신 프로젝트에 참여했으며 이러한 복잡하고 중요한 인프라 환경에 필요한 가시성 및 세분화 요구 사항을 지원했습니다.

마이크로 세분화에 대한 Illumio의 접근 방식에 대해 알아보려면 다음을 확인하세요.

• 일루미오 코어에 대한 간략한 개요: https://www.illumio.com/resource-center/video/illumio-core
• 작동 방식: https://www.illumio.com/products/core/architecture

‍