2.1 국외 SG 사이버 보안 관련 표준 및 규정 현황

SG 보안 관련 표준기술과 규정을 선도하는 국제기관은 IEC(International Electrotechnical Commission), IEEE(Institute of Electrical and Electronics Engineers), NIST(National Institute of Standards and Technology), NERC(North American Electric Reliability Corporation) 등이며, 각 기관별 주요 미션에 부합된 표준기술과 규정을 개발하고 상호 유기적으로 연계되어 운영 중이다. 본 논문 주제와 관련된 SG 사이버 위험성 평가 관련 표준 및 규정을 중심으로 정리하면 다음과 같다.

먼저, NIST는 통신 프로토콜과 네트워크 구조에 대한 SG 사이버 보안 가이드라인과 SG 운용과 관련된 프레임워크를 개발하였다^(13,14). SG 사이버 보안 가이드라인인 NISTIR 7628에서는 자산의 식별과 정보보안 3요소(기밀성, 무결성, 가용성) 기반 SG 위험성 분석 기법을 수립하였다(그림 1).

그림. 1. 스마트 그리드 위험성 평가[13]

Fig. 1. Risk Assessment of Smart grid[13]

다음으로 NERC는 북미 전력계통의 사이버 보안 관련 운영 및 기술기준인 CIP(Critical Infrastructure Protection)를 제도화하여 운영 중이다⁽¹⁵⁾. CIP는 북미 대규모 전력계통(BES; Bulk Electric System) 운영 관련 산업계의 의무적 보안규정으로 보안 대상의 식별, 관리, 교육, 사고 발생에 따른 대응 매뉴얼 및 후속조치 등을 다루며 이는 [표 1]과 같다.

[표 1]에서 CIP-002-5.1a는 대규모 전력계통에서 사이버 보안규정 대상을 분류하는 것으로 외란에 따른 전력계통에 미치는 영향에 따라 그룹화의 기준을 담당한다. 즉, 동 기준에서는 High(H), Medium(M), Low(L) 등급으로 정의하고, H는 주제어센터(PCC; Primary Control Center)와 3,000MW급 이상의 전력설비, M은 1,500[MW] 및 1,000[MVAR]급 이상의 전력설비와 300[MW]급 이상의 부하차단설비, 나머지 이하 규모는 L 등급으로 정의한다.

또한 CIP-014-2에서는 PCC에 대한 물리적 보안을 확보하기 위한 시스템 취약성 평가 및 보안계획 수립 절차를 정의하였다(그림 2). [그림 2]에서 R1의 위험 평가는 CIP-002-5.1a의 M등급에 해당되는 전력계통 관련 사업자(발전 및 송전)가 전력계통의 물리적 특성이 반영된 조류계산 및 안정도를 해석하는 자체 위험평가를 실시하고, 전력계통에서 핵심 PCC를 선별한다. 다음으로 R2는 R1의 검증단계로 자체적으로 선정된 PCC에 대한 검증 단계로 NERC에서 지정된 제3의 전문가를 통해 재검토하여 전력계통 관련 사업자에게 통보한다. R4는 R1~2에서 식별된 주요 설비(PCC)에 대한 위협요인과 취약성을 파악한다. R5는 파악된 취약성에 대한 물리적 보안 계획을 수립하는 단계로 중요 설비에 대한 보안 시스템 강화와 만일의 사고를 대비한 물리적 백업시스템(송전설비 증설 및 계통 운용 전략 등)을 구축한다. 마지막으로 R6에서는 다시 한 번 제3의 전문기관을 통해 최종 검토를 수행하여 대규모 전력계통의 물리적 사이버보안을 확보한다.

그림. 2. 대규모 전력계통의 물리적 보안 확보 절차[15]

Fig. 2. Physical Security Process of BES[15]

2.2 국내 SG 사이버 보안 관련 표준 및 규정 현황

국내의 SG 관련 표준기술은 주로 국가기술표준원, 한국정보통신기술협회, 한국스마트그리드협회에서 국가표준과 단체표준을 담당한다. 특히, 한국스마트그리드협회는 단체표준으로 스마트그리드 표준의 보안성 확보를 위한 요구사항(SGSF-121-1-1)을 2014년에 제정하였다. 본 단체표준은 FIPS 199, NISTIR 7628, IEC 62351 시리즈 등을 인용하여, 스마트그리드 표준 설비의 보안성 확보를 위한 절차와 보안성 확보에 있어서 최소한의 보안을 위한 전략(대책)을 제시한다⁽¹⁶⁾.

동 단체표준에서 보안 확보 절차는 보안대상 파악-보안위협 식별-보안요구사항 도출-보안대책 수립으로 총 4단계로 구성되어 있으며, 각 단계별 상호 연관성을 고려하였다.

그림. 3. 스마트 그리드 사이버보안 확보를 위한 표준[16]

Fig. 3. Standard Process for securing Smart Grid Cyber -security[16]

[그림 3]에서 첫 번째 단계인 보안성 확보 대상을 파악 방법은 3가지로 표준서에 정의된 표준화 대상(5가지 유형) 해당 여부, 정보보안 3대 요소 기반 잠재적 영향력 기준, 표준서에 정의된 체크리스트 활용이 있다. 두 번째 단계에서는 보안 확보 대상에 대한 잠재적인 보안위협을 식별하는 것으로, 총 11개의 보안위협별 기밀성, 무결성, 가용성에 대한 위험도 산정 기준에 따라 보안 취약성을 분석한다. 세 번째 단계에서는 식별된 보안위협을 바탕으로 보안 요구사항을 파악하고 네 번째 단계를 통해 보안대책을 수립한다. 각 단계별 세부적인 사항은 해당 표준서와 관련 선행연구 논문을 참고바라며 본 논문에서는 생략한다^(16,17).

2.3 국내외 SG 사이버 보안 관련 표준 및 규정 시사

상기 절을 통해, 미국은 SG 인프라 특성이 반영된 분야(정보보안, 전력계통)별 기술기준을 통합한 SG 위험성 분석 방법을 표준화하고 추진 중이다. 특히, NIST의 SG 위험성 평가 절차인 [그림 1]에서는 3단계(High Level Security Requirements) 이후 투트랙으로 사이버 관점에서 보안 솔루션(정보보안 아키텍쳐)과 물리적 관점에서 전력설비의 취약성을 평가하여 종합적인 SG 보안 대책을 수립하도록 설계되었다. 이는 전력계통의 특수성(실시간 수급균형 유지, 전력설비의 지리적 위치 등)을 반영한 것으로, 사이버 공격(외란) 발생에 따른 지능형전력망의 정상상태(건전성) 파악이 필수임을 나타낸다.

반면, 국내 SG 사이버 보안 관련 표준은 SG 인프라의 단위 요소별 사이버 보안 대책 수립으로 전력계통의 실시간 운용적 특성 반영이 어려운 상황이다. 이러한 국내 SG 사이버 보안 관련 기술의 한계성을 보완하고자 본 논문의 제3장에서는 국가 단위 지능형전력망 운영자 관점의 사이버 보안 대책 마련을 위한 SG 사이버위험성 평가 방법론을 제시한다.

4.1 사례연구 전제조건

본 사례연구를 위한 주요 전제조건은 다음과 같다.

첫째, 모의계통에서 전력제어시스템은 발전모선과 변압모선으로 국한하며, 발전기는 DCS, 변압기는 SCADA로 정의하고 이는 [표 4]와 같다. 여기서 전력제어시스템은 우리나라 전력계통 제어시스템 체계를 적용하였다⁽¹⁷⁾.

둘째, 제어시스템의 사이버 보안에 대한 정량화를 위해, 보안위협 식별과 정보보안 3요소 기반 위험도 분석은 국내 관련 표준(SGSF-121-1-1)에서 정의한 기준을 따른다.

셋째, 사이버 외란에 대한 상정사고는 N-1 제어시스템 고장으로 [표 4]의 해당 발전기와 변압기 차단으로 정의한다.

넷째, 상정사고 기반 전력계통 주파수 특성 해석은 유럽 송전계통운영기관(entso-e)의 기법인 CoI(Center of Inertia) Frequency를 이용한다⁽²¹⁾.

$H_{i}$ : 발전기(i) 관성정수

$f_{i}$ : 발전기(i) 주파수[Hz]

다섯째, 전력계통 주파수 과도현상에 대한 정량화는 국내 전력시장운영규칙을 근거로 [표 6]과 같이 정의한다⁽²²⁾.

4.2 사례연구 수행

[그림 4]의 SG 사이버위험성 평가 방법론에 따라 모의계통에서 SG 인프라는 발전기 제어시스템(DCS)와 변압기 제어시스템(SCADA)이다. 국내 관련 표준(SGSF-121-1-1)을 통해 DCS와 SCADA에 대한 보안위협을 식별하면 [표 7]과 같고, 식별된 보안위협(표 7)을 [표 5]에 적용하면 [표 8]과 같이 SG 인프라에 대한 정보보안 위험도를 도출할 수 있다.

다음으로 모의계통 기반 IPM-OPF 연산을 통해 [표 9], [표 10]과 같이 모의계통의 최적상태를 도출한다.

이어서, 모의계통의 최적상태를 기반으로 PSS/E를 통해 사이버 외란에 따른 N-1 차원의 상정사고에 대한 전력수급상태(부록A. 상정사고에 따른 전력수급균형 그래프 참조)와 전력계통 주파수의 과도해석을 정리하면 [표 11]과 같다. 여기서, N-1 상정사고 시나리오는 전제조건 셋째에서 정의한 모선별 트립이다.

[표 11]에서 전력수급균형의 상태 표시는 모의계통의 전체 부하(4,620[MW])를 기준으로 수급균형을 유지 못할 경우, 비정상 상태로 국부적인 정전 발생을 의미한다. 전력수급균형의 정상상태와 비정상상태의 그래프는 [그림 6]과 [그림 7]이며, 나머지 제어시스템 상정사고별 전력수급균형 그래프는 부록으로 정리한다.

그림. 6. 정상상태의 전력수급균형(DCS1)

Fig. 6. Balanced Power Supply and Demand in Steady State (DCS1)

그림. 7. 비정상상태의 전력수급균형(SCADA5)

Fig. 7. Balanced Power Supply and Demand in Abnormal State (SCADA5)

4.3 사례연구 결과 및 분석

최종적으로 사이버계층과 물리계층(전력계통)의 정량적 지수를 종합한 SG 위험성 평가 결과는 [표 12]와 같다.

[표 12]에서 사이버계층의 정보보안 3요소에 대한 위험도 평가 결과, DCS와 SCADA는 제어시스템으로 분류되어 제어시스템의 기능에 차이가 있음에도 동일한 위험도인 H로 평가되었다. 반면에 물리계층인 전력계통의 수급균형과 주파수 특성 기반 위험도 결과, 발전기 제어시스템(DCS) 1, 4, 5, 6, 7을 제외한 나머지 제어시스템이 모의계통의 물리적 취약지점이다. 특히, 본 모의계통에서 변압기 제어시스템(SCADA)에 사이버 외란 발생 시 국부적인 정전 발생으로 직결되며, 실시간 전력계통 특성을 고려시 SCADA 시스템의 사이버보안성 확보가 우선임을 유추할 수 있다.

상기 모의계통 기반 SG 사이버위험성 평가결과를 바탕으로 보안대책을 제시하면, 본 모의계통은 기본적으로 선로보강과 SCADA의 백업시스템이 우선적으로 요구된다. 또한 DCS 2, 3, 8, 9, 10에서의 사이버 외란에 대비하여 부하차단과 적정 급전계획이 필요하다.

본 사례연구(표 12)를 통해 기존의 단위 시스템에 대한 정보보안성 평가는 모든 제어시스템(DCS, SCADA)의 위험도가 동일한 H로 평가되어 다소 제한적인 결과가 확인되었으며, 전력계통의 실시간 운용성과 지리적 토폴로지를 고려시 동일한 제어시스템임에도 물리적 위험도(전력계통의 상태) 결과가 상이함을 확인하였다.