제8부 안전·보안·시스템공학
8.15 기단 사이버 운영: 보안관제·사고대응·침투시험
8.15.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
8.11~8.13은 제품과 조직이 설계와 인증 단계에서 무엇을 갖추어야 하는지를 다루었다. 이 장은 운용 중인 기단을 감시하고, 사고에 대응하고, 보안을 시험하는 일을 다룬다. 기단에서는 한 소프트웨어를 사용하는 기체가 수백 대 동시에 운용되므로(8.11.8) 공격은 한 대가 아니라 기단 전체에 영향을 줄 수 있고, 규정은 사건을 알게 된 뒤 24시간·72시간 안에 알리라고 요구한다(8.12.7·8.13.8). 그래서 운영은 탐지·분류·봉쇄·보고·복구·개선의 순환이 되고, 이를 얼마나 자주·얼마나 빨리 돌리는가가 설계의 좋고 나쁨만큼 중요하다.
배우는 것:
- 탐지 전략 — Part-IS의 요구(기준선 이탈, 상관), 어떤 자산을 어떤 신호로 감시하는가.
- 사고 대응 틀 — NIST SP 800-61r3의 CSF 2.0 기반 대응 생명주기, 탐지·대응·복구와 개선, EASA의 봉쇄·복구 목표.
- 침투 시험·보안 시험 — NIST SP 800-115의 네 단계와 교전 규칙, 항공 문서의 요구(AMC 20-42 8절, U-space AMC), 비행 중인 기체를 시험할 수 없는 제약.
- 정보 공유와 취약점 공개 — ISAC·ECCSA·CSIRT의 역할, NIS2 제12조의 조정된 취약점 공개, CRA의 정책 요구.
- 네 가지 계산 — 기단 상관 탐지의 오경보와 탐지 확률, 분석가 인력(대기열 모형), 시험 예산(3/q 규칙), 대응 지연 동안 노출되는 기체 수.
선수 지식: 8.11(감항 보안, ICA·보고), 8.12(Part-IS·NIS2, IS.I.OR.220·230), 8.13(제품 보안, CRA 신고·패치 전파), 8.23(비행 기록)을 읽었다고 가정한다. 하이재킹의 공격 경로는 8.16이 다룬다.
특히 중요한 독자: 엔지니어는 8.15.4~8.15.8의 계산을, 인증·법무 담당자는 8.15.3·8.15.9·8.15.10을, 사업 담당자는 8.15.11(자체 관제와 위탁)을, 정책 담당자는 8.15.3과 8.15.10을 먼저 읽는다.
기준 시점과 정직성. 2026년 11월 기준이다. 원문을 읽은 것: EASA 정보 보안 쉬운 접근 규칙(2025-12판)의 IS.I.OR.220의 AMC·GM(탐지 전략·응답·복구)과 IS.I.OR.230, NIST SP 800-61r3(2025-04, CSF 2.0 공동체 프로파일, 48쪽), NIST SP 800-115(2008-09, 80쪽), JARUS SORA 2.5 사이버 확장의 부록 1(정보 공유), NIS2 제12조(조정된 취약점 공개와 유럽 취약점 데이터베이스), AC 119-1A, AMC 20-42, U-space 규정의 AMC2 제15조(1)(b). 읽지 못한 것: EUROCAE ED-206(EASA GM이 탐지·봉쇄·취약점 관리의 근거로 인용), ED-203A, ISO/IEC 27035·29147·30111, ARINC 852, 한국의 사이버 위기 대응 제도와 침해사고 신고 제도(보도·법령 모두), EASA의 책임 있는 공개 사례 원문(검색 요약만). 읽지 못한 부분은
(확인 필요)로 표시했다. 이 장은 군 체계의 사이버 운용 인가를 다루지 않는다.
8.15.2 개념 — 감시하고, 대응하고, 시험한다
기단 사이버 운영은 세 활동이 서로 입력을 준다.
- 보안관제(탐지). 로그·텔레메트리·네트워크·계정 활동에서 정상 기준선과 다른 것을 찾아 경보를 만든다. Part-IS의 IS.I.OR.220(a)는 미리 정한 기능 성능 기준선에서의 이탈을 식별하고 경보를 내라고 요구한다.
- 사고 대응. 경보를 분류해 사고를 선언하고 봉쇄·근절·복구하며, 규정이 요구하는 보고를 한다. NIST SP 800-61r3은 이를 CSF 2.0의 탐지(DE)·대응(RS)·복구(RC) 기능으로 구조화하고 개선(ID.IM) 을 모든 기능에 환류한다.
- 침투·보안 시험. 방어가 실제로 동작하는지 공격자의 관점에서 확인한다. 결과는 위험 평가(8.12.4)와 탐지 기준선의 입력이 된다.
NIST SP 800-61r3은 이벤트(관측 가능한 모든 일)와 사고(정보나 정보 시스템의 무결성·기밀성·가용성을 법적 권한 없이 실제로 또는 임박하게 위태롭게 하는 일, FISMA 2014 정의)를 구분한다. 부정적 이벤트가 사고인지는 추가 분석이 정한다. 이전 판(2012)이 대응을 별도 팀의 간헐적 활동으로 보았다면, 3판은 사고가 빈번하고 피해가 크며 복구에 몇 주에서 몇 달이 걸릴 수 있어 대응을 사이버 위험 관리의 일부로 조직 운영 전체에 통합해야 하고, 교훈도 복구가 끝난 뒤가 아니라 식별되는 대로 공유해야 한다고 한다. 이 책의 기단은 후자의 상황이다.
항공의 두 가지 특성. 첫째, 대응이 안전을 낮출 수도 있다. EASA의 AMC1 IS.I.OR.220(b)는 대응 조치를 시행하기 전에 그 조치가 추가적인 즉각적 안전 영향을 만들지 않는지 완전히 검증되지 않았다면 그 가능성을 고려하라고 한다. 둘째, 운용 수준과 안전 수준의 관계가 한 방향이 아니다. GM1 IS.I.OR.220(b)&(c)는 관제 서비스가 줄면 비행의 안전도 줄어드는 경우가 있는 반면, 항공기 적재 소프트웨어 프로세스가 침해된 경우 적재 작업을 중단하면 기존의 안전 수준이 유지된다고 예를 든다. UAS의 대응 선택지(비행 중단, 귀환, 안전 모드, 링크 키 교체)를 안전 영향과 함께 평가해야 하는 이유이다.
8.15.3 규정·지침의 지형
| 문서 | 요구·권고 | 이 장의 대응 |
|---|---|---|
| Part-IS IS.I.OR.220(a)(b)(c) | 기준선 이탈 탐지, 사전 정의된 자원으로 대응, 공격 확산 억제, 사전 정의한 복구 시간 안에 안전 상태로 복구(원문 확인) | 8.15.4·8.15.7 |
| AMC1·GM1 IS.I.OR.220 | 탐지 전략(자산·시나리오), 기준선 두 가지, 대응 시간은 영향에 비례, 봉쇄 기준, 기만(deception) 기법, 복구 절차와 복구 시간 목표(원문 확인) | 8.15.4·8.15.7 |
| IS.I.OR.215·230 | 내부 보고 체계, 외부 보고 72시간(8.12) | 8.15.7 |
| NIST SP 800-61r3 | CSF 2.0의 DE·RS·RC·ID.IM에 따른 사고 대응 권고(원문 확인) | 8.15.2·8.15.7 |
| NIST SP 800-115 | 기술 보안 시험·평가: 계획·발견·공격·보고, 교전 규칙(원문 확인) | 8.15.9 |
| AMC 20-42 7·8·9절 | 운영자 사건 보고, 공격자 관점의 보안 시험, 새 위협 평가(8.11) | 8.15.9 |
| AC 119-1A 10.2 | ANSP의 사건 인식·대응·보고·복구와 사건 평가, 시험은 형식 설계를 변조하지 않는다(8.11.10) | 8.15.9 |
| U-space AMC2 제15조(1)(b) | 완화 효과를 강건성 시험·검사·반박·침투 시험 등으로 입증, 방법은 당국과 합의(8.12.8) | 8.15.9 |
| JARUS 사이버 확장 OSO #1 | 보안 사건을 포함한 비행 기록, 업계 단체 참여, 감사 프로그램(8.11.10·8.11.11) | 8.15.4·8.15.10 |
| NIS2 제12·23조, CRA 제14조 | 조정된 취약점 공개, 사고·취약점 신고(8.12·8.13) | 8.15.10 |
8.15.4 탐지 전략 — 무엇을 어떤 신호로 감시하는가
취약점의 발견도 탐지 대상이다. GM1 IS.I.OR.220은 정보 보안 위험이 위협이 취약점을 악용할 가능성에 연결되므로 악용 가능한 취약점의 발견도 정보 보안 이벤트라고 한다. 따라서 IS.I.OR.220(a)의 탐지 활동은 취약점 발견을 포함하고, (b)의 대응 활동은 취약점 관리를 포함한다. 기단 운영에서는 공급자의 보안 공지, 자체 시험(8.15.9)의 결과, 연구자의 신고, SBOM의 구성요소와 공개 취약점의 대조(8.13.6)가 모두 탐지의 원천이다.
범위를 위험 평가에서 정한다. AMC1 IS.I.OR.220(a)는 탐지 전략이 최소한 안전에 수용할 수 없는 결과를 줄 수 있는 모든 알려진 위협을 포괄하게 하라고 한다. 방법은 둘이다. ① IS.I.OR.205에서 식별한 위협 시나리오 목록을 만든다. ② 침해되면 그 시나리오에 기여하는 자산을 식별하되 IS.I.OR.210의 처리 조치를 고려한다. 기능 사슬 전체를 고려해야 한다. 사슬 끝에 있는 자산이 침해되면 안전 영향이 직접적이고 즉각적일 수 있으나, 끝에서 먼 자산이 침해되면 영향이 전파되고 지연될 수 있다.
조건을 정의한다. GM1 IS.I.OR.220(a)는 사람의 개입과 추가 분석을 부르는 조건을 두 기준선으로 정의하게 한다. 기능 기준선은 시스템의 기대되는 기능 동작(보안 기능 제외)에서의 이탈이고, 보안 기준선은 보안 통제의 기대되는 동작에서의 이탈이다. 조건은 비정상 행동과 기준선에서의 큰 이탈, 그리고 독립된 여러 이벤트의 상관을 함께 고려한다.
UAS의 신호 원천(이 책의 정리). 아래 표는 본문에서 읽은 근거가 있는 원천을 모은 것이다.
| 신호 | 기준선 이탈의 예 | 근거 |
|---|---|---|
| 링크 인증·무결성 실패 | 위조·재전송 메시지 거부 횟수의 급증 | JARUS OSO #6, 8.11.7 |
| GNSS 건전성 | 수신 신호 세기·위성 수·시각 비교의 변화, 재밍 탐지 | JARUS OSO #5 기준 #2, 4.6 |
| 갱신·적재 이력 | 서명 검증 실패, 승인되지 않은 버전, 예상 밖의 적재 시각 | 8.13.9, 8.23 |
| 계정·접근 | 평소와 다른 위치·시간의 관리 로그인, 대량 명령 | JARUS OSO #1 기준 #2, #6 |
| 지상·정비 시스템 | 악성코드 경보, 비인가 장치 연결 | JARUS OSO #3 |
| 비행 기록의 보안 사건 | 보안 이벤트를 포함한 로그를 정기적으로 분석 | JARUS OSO #1 기준 #6 |
| 외부 서비스 | USSP·클라우드의 가용성·응답 이상 | JARUS OSO #13, 8.12.8 |
NIST SP 800-61r3의 DE.AE-02·03은 SIEM·SOAR 같은 도구로 로그를 지속 감시하고, 로그를 소수의 로그 서버로 계속 보내며, 여러 원천의 정보를 상관하고 위협 정보로 상관을 돕고, 자동화할 수 없는 기술은 정기적으로 수동 검토하라고 권고한다. DE.CM-06은 외부 서비스 제공자 활동의 감시를 포함한다.
내부 보고와 SOC(IS.I.OR.215). 탐지가 만든 이벤트는 내부 보고 체계로 모인다. AMC1 IS.I.OR.215(a)&(b)는 두 가지를 요구한다. ① 탐지 수단으로 얻은 사건을 근거로 삼고 직원과 외부 원천(공급자·협력사·고객·오픈소스 소프트웨어·정보 보안 연구자) 의 통지를 받는 메커니즘을 쉽게 접근할 수 있고 알려지게 둔다. ② 모든 이벤트를 내부에서 분석해 보고 대상인지, 안전에 어떤 잠재적 또는 실제 영향이 있는지 판정하고, 이벤트를 다른 이벤트와 결합해 상관해 안전에 영향을 줄 수 있는 사고·취약점을 식별한다. GM1은 내부 보고가 안전에 불안전한 상태를 낳을 수 있으면 IS.I.OR.230의 외부 보고를 시작하라고 한다. GM2는 대규모 조직이 정보 보안 운영을 SOC로 모으고 SIEM으로 모든 이벤트를 공통 데이터베이스에 수집해 분석가와 대응자가 함께 검토·조치하는 것이 일반적이며, SOC를 Part-IS 대상 이벤트만 다루거나 영업 이익 이벤트와 함께 운영할 수 있다고 한다. SOC와 SIEM이 없는 조직은 수집·평가 능력과 탐지·대응 시간을 충족하는 절차를 어떻게 마련할지 고려해야 한다(위의 24/7 인력 계산이 그 부담이다). 외부 서비스를 위탁하면 계약에 합의된 시간 안의 사고 보고와 사건 관리·위기 관리 연락 창구 지정을 넣는다(GM1 IS.I.OR.215(c)).
기단이라는 장점. 한 기체의 이상은 모호하지만 같은 이상이 여러 기체에 동시에 나타나면 의미가 커진다. 다음 계산이 이를 정량화한다.
8.15.5 워크스루 I — 기단 상관 탐지의 오경보와 탐지 확률
문제. 기체 $N=500$대에서 기체마다 하루에 오경보 표시를 낼 확률이 $p_f=0.02$(하루 평균 10대)이다. 같은 공통 취약점이 $k$대에 작용하면 영향받은 기체는 확률 $\mathrm{TPR}=0.7$로 표시하고 나머지는 $p_f$로 표시한다. 표시가 $m$대 이상이면 경보를 선언한다. 오경보 확률은 $P(\mathrm{Bin}(N,p_f)\ge m)$, 탐지 확률은 $P\big(\mathrm{Bin}(k,\mathrm{TPR})+\mathrm{Bin}(N-k,p_f)\ge m\big)$이다(8.15-calc.py).
| 임계 $m$ | 하루 오경보 확률 | 연 오경보 횟수 | 탐지 확률: $k=5$ | $k=10$ | $k=20$ | $k=50$ |
|---|---|---|---|---|---|---|
| 1 | 1.0 | 365 | — | — | — | — |
| 15 | 0.081 | 29.7 | 0.354 | 0.744 | 0.996 | 1.0 |
| 20 | 0.0031 | 1.14 | 0.038 | 0.210 | 0.869 | 1.0 |
| 25 | $3.8\times10^{-5}$ | 0.014 | 0.001 | 0.016 | 0.394 | 1.0 |
| 30 | $1.7\times10^{-7}$ | $6\times10^{-5}$ | 0.000 | 0.000 | 0.058 | 1.0 |
읽을 것. ① 기체 하나의 표시마다 경보를 내면($m=1$) 하루에 10건 안팎의 오경보가 생겨 분석가가 감당하지 못한다. ② 임계를 20으로 올리면 오경보가 연 1건 정도로 줄고, 공통 취약점이 20대 이상에 작용하면 87 % 이상 탐지한다. 즉 기단 규모의 공통 취약점은 상관으로 탐지할 수 있다. ③ 그러나 5대 이하의 표적 공격은 이 방식으로 거의 탐지되지 않는다(임계 20에서 4 % 이하). 소수 기체를 노린 공격은 기체 단위의 정밀한 기준선, 지상 계정 감시, 링크 인증 실패 감시처럼 다른 수단이 필요하다. ④ 임계는 안전 영향이 큰 시나리오일수록 낮게 두되 분석가 수용 능력(8.15.6)이 한계를 정한다.
한계. 오경보가 기체마다 독립이라는 가정은 같은 기상·같은 펌웨어·같은 노선에서는 성립하지 않는다(오경보도 상관된다). 이 경우 실제 오경보는 위 값보다 크다. $p_f$·$\mathrm{TPR}$의 값은 설명을 위한 가정이다.
8.15.6 워크스루 II — 분석가 인력과 대기열
경보는 분석가가 분류한다. 경보 도착률 $\lambda$ [건/시], 경보 하나의 처리 시간 $1/\mu$, 동시 근무 분석가 $c$명을 M/M/c 대기열(Erlang C) 로 보면 제공 부하는 $a=\lambda/\mu$, 도착한 경보가 기다릴 확률은
$$C(c,a)=\frac{\dfrac{a^{c}}{c!}\dfrac{c}{c-a}}{\sum_{k=0}^{c-1}\dfrac{a^{k}}{k!}+\dfrac{a^{c}}{c!}\dfrac{c}{c-a}},$$
평균 대기는 $W_q=C(c,a)/(c\mu-\lambda)$이다($a<c$일 때). 처리 시간 20분($\mu=3$/시)에서 평균 대기 5분 이하를 목표로 하면 아래와 같다.
| 도착률 $\lambda$ [건/시] | 최소 분석가 $c$ | 대기 확률 | 평균 대기 [분] | 대기 5분 초과 확률 | 24/7 인원 [명] |
|---|---|---|---|---|---|
| 1 | 2 | 0.048 | 0.57 | 0.031 | 9.7 |
| 2 | 2 | 0.167 | 2.50 | 0.119 | 9.7 |
| 4 | 3 | 0.181 | 2.17 | 0.119 | 14.6 |
| 8 | 5 | 0.162 | 1.39 | 0.090 | 24.3 |
24/7 인원은 좌석 하나를 연중 24시간 채우는 데 $8{,}760/1{,}800=4.87$명(연간 생산 근무 1,800시간 가정)을 곱한 값이다.
읽을 것. ① 경보가 시간당 1건뿐이어도 최소 2좌석이고 24/7로 약 10명이다. 소규모 운영자가 자체 24/7 관제를 갖추기 어려운 이유이다(8.15.11). ② 경보가 늘어도 분석가는 도착률에 정비례해 늘지 않는다. 도착률이 두 배가 되어도 좌석은 0~2개만 늘어난다(1→2건/시에서 2→2, 2→4건/시에서 2→3, 4→8건/시에서 3→5, 규모의 이득). ③ 이 모형은 처리 시간이 길어지거나 한꺼번에 도착하는 경보(대규모 사건)를 반영하지 않는다. 대규모 사건이 발생하면 도착률이 급증해 대기열이 불안정(a ≥ c)해진다. 그래서 상관과 자동 분류(SOAR)로 도착 건수를 줄이고 사건 때는 외부 지원(위탁, ISAC)을 호출하는 절차가 필요하다. 입력(20분, 도착률)은 가정이다.
8.15.7 대응·봉쇄·복구
대응(IS.I.OR.220(b)). AMC1은 대응 절차가 ① 단일 또는 조합된 경보를 받아 안전에 주는 잠재적 영향을 평가하고, ② 자산 범주마다 최악의 효과와 임무 제약을 고려한 봉쇄 전략과 봉쇄되었음을 알리는 기준을 정하고, ③ 각 자산이 위협 시나리오의 실현으로 고장 날 때의 수용 가능한 안전·보안 영향을 정의하라고 한다. 대응 시간은 영향 수준에 비례한다. 조치는 저항·봉쇄·기만·고장 양식의 통제 같은 행동으로 운영에 주는 영향을 최소화하면서 수용 가능한 안전 저하를 달성해야 한다. GM1은 공격이 봉쇄되었다는 것을 사건의 경계가 식별되고 위협이 그 경계를 넘어 전파되지 않는 상태로 정의하고, 기만은 공격자를 오도해 속도를 늦추고 비용과 위험을 올리며 방어자에게 시간과 정보를 주는 기법(예: 허니팟)이라고 설명한다. 취약점은 취약점 관리 전략(절차·역할·책임)과 최악의 악용 시나리오에 따른 허용 위험, 사전 분류와 잠재 영향에 비례한 대응 시간으로 다룬다.
NIST SP 800-61r3의 대응·복구 권고. RS.MA-01~05는 사고 대응 계획의 실행, 신고의 분류(triage), 사고의 분류·우선순위, 상향 보고, 복구 개시 기준을 다루고, RS.AN은 분석과 증거 보존, RS.CO는 내외부 이해관계자의 통지와 정보 공유(자발적 공유 포함), RS.MI-01은 봉쇄(자동화된 봉쇄와 담당자의 수동 선택을 함께 허용), RS.MI-02는 근절, RC.RP-01~06은 복구 계획의 실행·복구 행동의 선택·복구 자산의 무결성 확인·핵심 기능의 검증·복구 종료의 선언과 사후 보고서를 다룬다. 복구 절차는 사건 중에도 시작할 수 있다(RC.RP-01).
분류·우선순위·전략 선택. RS.MA-02는 새 보고를 예비 검토해 사고가 발생했는지 확인하고 심각도와 대응의 긴급도를 추정하며, 제3자가 사고를 신고하는 메커니즘(공격받고 있다고 주장하는 외부, 이용할 수 없게 된 서비스를 보고하는 사용자, 다른 대응 팀)을 두고 진지하게 감시하라고 한다. RS.MA-03은 사고를 유형(자료 유출, 랜섬웨어, 계정 도용, 서비스 거부)으로 분류하고 범위·예상 영향·시간 긴급성·자원 가용성으로 대응 속도의 우선순위를 정하라고 하며, 활성 사고의 대응 전략을 빠른 복구와 공격자의 관찰·철저한 조사 사이의 균형으로 고르라고 한다. NIST는 모든 전략 결정에 상충이 있다고 명시한다. 공격자를 관찰하는 전략은 정상 운영으로 빨리 돌아가려는 필요와 충돌할 수 있다. 기단에서는 이 상충이 조사를 위해 비행 중단을 늦출 것인가로 나타나며 안전 중요 사고에서는 신속한 봉쇄를 우선한다(이 책의 견해).
아래는 사고 유형별 대응 선택지를 안전 영향과 함께 적은 이 책의 정리(가정)이다.
| 사고(가정) | 봉쇄 조치 | 안전에 주는 영향 | 복구 | 보고 |
|---|---|---|---|---|
| 서명되지 않은 펌웨어 적재 시도 급증 | 정비 PC·데이터 로더 격리, 갱신 중단 | 기존 안전 수준 유지(GM의 적재 중단 예) | 승인된 이미지만 재적재, 키·로더 점검 | 안전에 중대한 위험이면 72 h(Part-IS), 악용 취약점이면 24 h(CRA) |
| 운영자 클라우드 계정 도용 | 계정·세션 차단, 대량 명령 취소, 명령 승인 흐름 강화 | 이미 전송된 명령의 되돌림이 필요(기체의 확인 절차) | 비밀번호·키 교체, 명령 이력 검증 | 같은 시한 |
| 다수 기체의 GNSS 이상 동시 표시 | 영향 구역의 이륙 정지·복귀, 항법 대체 모드 | 정지가 임무에 주는 영향 vs 비행 중 위험 | 재밍·스푸핑 종료 확인 후 재개 | 위치 교란 사건 신고(19.10) |
| USSP 서비스 침해 의심 | 연동 차단, 절차적 대체(수동 분리) | 공역 분리 능력 저하(8.12.8) | USSP의 복구 확인, 자료 무결성 검증 | USSP 당국에 알림(IS.I.OR.230) |
| 링크 하이재킹 의심(1대) | 해당 기체 키·세션 폐기, 안전 모드·귀환 | 비행 중 제어 상실의 위험 | 기체 점검·재인증 후 복귀 | 안전에 중대하면 보고 |
복구(IS.I.OR.220(c)). AMC1은 복구 절차에 ① 안전한 운용을 가능하게 하는 자산과 그 의존 관계, ② 안전하고 보안된 상태로 돌아가는 우선 조치, ③ 사건 뒤에도 바로 사용할 수 있는 자원, ④ 자산의 안전 중요도에 따른 복구 시간 목표를 넣으라고 한다. GM1은 사건 뒤 안전 수준이 시간에 따라 변하는 개념 도해를 제시하며(읽은 것은 문장이다) 완화·통제가 안전 저하를 억제하고 복구를 앞당기는 효과를 갖는다고 설명한다.
대응 지연의 노출 계산. 기체 500대, 연 1,000 비행 시간, 평균 비행 0.5시간인 기단은 어느 시점에 공중에 57.1대가 있고(8.11.8) 시간당 114.2대가 이륙한다. 사건 인지부터 이륙을 막기까지의 지연 $D$ 동안 새로 노출되는 기체 수는 $114.2\,D$이다.
| 이륙 정지까지의 지연 $D$ | 공중의 기체 | 지연 동안 이륙 | 합계 |
|---|---|---|---|
| 0 | 57.1 | 0 | 57.1 |
| 15분 | 57.1 | 28.5 | 85.6 |
| 30분 | 57.1 | 57.1 | 114.2 |
| 1시간 | 57.1 | 114.2 | 171.2 |
| 4시간 | 57.1 | 456.6 | 513.7 |
4시간 지연이면 노출되는 기체가 513.7대로 기단 규모(500대)를 넘는다. 이 계산은 이륙을 막는 조치의 가치를 보이며, 대응 시간 목표를 8.15.5의 탐지 지연과 8.15.6의 대기 시간, 분류·결정 시간의 합을 지연 버짓으로 정해야 한다는 것을 뜻한다. 단 이륙 정지가 임무(응급 의료·긴급 배송)에 주는 영향은 별도로 평가한다(AMC1 IS.I.OR.220(b)(5)).
운영 지표(이 책의 정리). IS.I.OR.260(a)는 적절한 성능 지표로 ISMS의 유효성과 성숙도를 평가하게 한다(8.12.4). 이 장의 계산이 지표의 후보를 준다.
| 지표 | 정의 | 목표를 정하는 근거 |
|---|---|---|
| 탐지 지연 | 사건 발생(또는 취약점 공개)부터 경보까지 | AMC1 IS.I.OR.220(a), 상관 임계(8.15.5) |
| 분류 대기 | 경보 도착부터 분석가 착수까지 | 대기열 모형(8.15.6), 평균 대기 5분 가정 |
| 이륙 정지까지의 시간 | 사고 선언부터 이륙 정지까지 | 노출 계산(8.15.7) |
| 복구 시간 | 선언부터 안전 상태 복구까지 | IS.I.OR.220(c)의 복구 시간 목표 |
| 보고 시한 준수율 | 24 h·72 h 시한 안에 낸 보고의 비율 | NIS2·CRA·Part-IS(8.12.7, 8.13.8) |
| 오경보율 | 경보 중 사고가 아닌 비율 | 분석가 부하, 임계 조정 |
| 연습 결과 | 연습에서 측정한 위 지표 | ID.IM-02 |
8.15.8 보고와 기록
대응이 사고를 선언하면 보고의 시계가 돈다. 시한은 8.12.7(Part-IS 72시간·NIS2 24 h·72 h·1개월)과 8.13.8(CRA 24 h·72 h·14일)이 정리한다. 운영 쪽 과제는 세 가지이다. 첫째, 보고에 필요한 정보(영향받은 기체·버전, 사고의 성격, 완화 조치, 침해 지표)가 분류 단계에서 모이도록 절차를 설계한다. 둘째, 여러 제도에 해당하면 가장 빠른 시한(24 h) 에 맞추어 첫 보고 양식을 하나로 준비한다. 셋째, 증거와 기록을 보존한다. NIST SP 800-61r3은 RS.AN-06에서 사건 중에 수행한 조치를 기록하고 RS.AN-07에서 사고 자료와 메타데이터를 수집·보존하라고 한다. 비행 기록(8.23)의 무결성이 증거 능력의 전제이다(JARUS OSO #1 기준 #6이 높음 수준에서 변조 방지 보관을 요구한다).
8.15.9 침투 시험과 보안 시험
SP 800-115의 방법. 침투 시험은 평가자가 실제 공격을 모의해 보안 기능을 우회할 방법을 찾는 보안 시험이다. 네 단계이다. 계획(규칙을 정하고 경영진의 승인을 문서화하고 시험 목표를 정한다), 발견(정보 수집과 취약점 분석), 공격(발견한 취약점을 실제로 시도해 확인하고, 얻은 접근으로 다음 발견으로 되돌아가는 반복), 보고(다른 세 단계와 병행해 작성). 계획 단계의 교전 규칙(ROE) 이 허용 범위·시간·대상·절차를 정하며 SP 800-115의 부록 B가 서식을 둔다. 취약점 스캐너는 취약점이 있을 가능성만 확인하고, 공격 단계는 실제로 악용할 수 있는지를 확인한다. 평가는 특정 시점의 스냅샷이어서 빈도는 위험·규제·시스템 변경에 따라 정하고(예: 대규모 갱신 직전에는 미룬다), 자원이 부족하면 대상을 표본으로 줄일 수 있다.
항공에서의 제약.
- 형식 설계를 변조하지 않는다. AC 119-1A 8.2는 운영자의 ANSP가 인증된 시스템을 변조하는 독립적인 항공기 시험을 포함해서는 안 된다고 한다(8.11.9). 시험 계획은 인증 계획이나 당국과 합의한 범위에서 수행한다.
- 비행 중이 아니라 지상·격리 환경에서 한다. 기체의 비행 안전을 위협하는 시험을 운용 중에 하지 않는다. 실물 기체는 지상 고정·전원 격리·프로펠러 제거 상태에서, 소프트웨어는 SITL·HITL(8.28)에서 시험하는 것이 통상이다(이 책의 정리).
- 시험 자체가 사고를 만들 수 있다. SP 800-115는 시험이 대상 시스템의 기능이나 보안에 영향을 줄 수 있으므로 일정과 범위를 신중히 정하라고 한다.
- 결과의 취급. 취약점 정보는 민감 보안 정보로 취급하고(AC 119-1A 7.2의 SSI 주석) 발견된 취약점은 IS.I.OR.220의 취약점 관리와 CRA·Part-IS 보고의 입력이 된다.
U-space와 EASA. U-space의 AMC2 제15조(1)(b)는 완화의 유효성과 강건성을 보안 지향 강건성 시험·검사·분석·반박·침투 시험 등으로 입증하되 당국과 합의한 방법을 사용하라고 한다. AMC 20-42 8(b)는 필요하면 공격자 관점의 보안 시험을 더하라고 한다(8.11.9).
연습과 시험(ID.IM-02). NIST SP 800-61r3은 보안 시험과 연습(공급자와 관련 제3자와 함께 하는 것 포함)에서 개선점을 찾으라고 한다. 대응 연습과 시험은 프로그램 평가에 유용한 정보를 주고, 직원과 관련 제3자(핵심 서비스 제공자, 제품 공급자)가 이후 대응에 대비하게 한다. 모의 훈련·토론 연습 같은 형태는 SP 800-84를 참조한다고 한다 (SP 800-84는 읽지 못했다). 기단에서는 분류→이륙 정지 결정→보고 초안까지의 시간을 연습으로 측정해 8.15.7의 지연 버짓을 보정한다.
시험 예산: 3/q 규칙. 보안 시험에서 입력을 무작위로 바꾸는 시험(퍼징)은 결함이 입력의 비율 $q$에서만 발현할 때 신뢰도 $1-\alpha$로 찾는 데 필요한 시험 수가 $n=\ln\alpha/\ln(1-q)\approx -\ln\alpha/q$이다. $\alpha=0.05$이면 $n\approx 3/q$로 8.8.2.1의 무고장 입증과 같은 구조이다. 아래는 신뢰도 95 %에서의 값이다(8.15-calc.py).
| 발현 비율 $q$ | 필요한 시험 수 | 초당 100회 | 초당 1,000회 |
|---|---|---|---|
| $10^{-3}$ | 2,994 | 30초 | 3초 |
| $10^{-4}$ | $3.0\times10^{4}$ | 5분 | 30초 |
| $10^{-6}$ | $3.0\times10^{6}$ | 8.3시간 | 50분 |
| $10^{-9}$ | $3.0\times10^{9}$ | 8,320시간(347일) | 832시간(35일) |
읽을 것. 드물게 발현하는 결함($q\le10^{-6}$)은 단순한 무작위 입력으로는 비용이 크다. 문법·상태를 이해하는 구조적 시험과 도달 범위 기반 시험이 필요하다. 시험이 결함을 찾지 못했다는 것은 $q$가 작다는 뜻이지 결함이 없다는 증거가 아니다(무고장 시험의 한계와 같다). 값은 독립 시험·균일 입력을 가정한다.
8.15.10 정보 공유와 취약점 공개
정보 공유. JARUS 사이버 확장의 부록 1은 항공이 많은 이해관계자의 상호 연결에 의존하므로 정보 공유가 규범이 되어야 한다고 적는다. 공유할 정보는 사용 중인 시스템의 세부(기밀이 허용하는 만큼), 알려진·잠재 취약점, 적용한 완화, 절차와 모범 사례이다. 세 조직을 든다.
- ISAC. 많은 이해관계자와 연결되어 사이버 위험 정보를 수집·분석·전파하는 기관이다(침해 지표, 하드웨어·소프트웨어 취약점, 위협 행위자, 위협 벡터). 분야별로 만든다. A-ISAC는 항공 분야 ISAC이고 지구적 항공 산업의 협력을 촉진한다.
- ECCSA(European Centre for Cybersecurity in Aviation). 항공 공동체의 자발적 협력 파트너십이며 사이버 사고·약점·비인가 상호작용에 대한 집단적 지원을 목표로 한다. 가입은 자발적이며 보안 선정 기준을 통과한 이해관계자가 신청한다.
- CSIRT·CERT. CSIRT는 컴퓨터 보안 사건의 대응을 조정·지원하는 책임이 지정된 조직이고, "CERT"는 카네기멜런 대학의 등록 상표이다. 항공의 예로 EUROCONTROL의 EATM-CERT를 든다. SORA 확장은 OSO #1의 높음 수준에서 사이버 안전 관리자가 당국이 적절하다고 보는 업계 단체(A-ISAC·ECCSA)의 구성원이어야 한다고 요구한다.
조정된 취약점 공개(NIS2 제12조). 각 회원국은 CSIRT 하나를 조정자로 지정해 취약점 신고자와 제조자·제공자 사이의 신뢰할 수 있는 중개자로 둔다. 조정자의 과업은 관련 기관의 식별·접촉, 신고자 지원, 공개 시점의 협상과 여러 기관에 영향을 주는 취약점 관리이다. 신고자는 익명으로 신고할 수 있어야 한다. ENISA는 유럽 취약점 데이터베이스(취약점 설명, 영향받는 제품, 심각도, 패치 또는 완화 지침)를 만들고 자발적 등록을 받는다. CRA는 제조자에게 조정된 취약점 공개 정책과 연락처를 요구한다(부속서 I 제2부 (5)·(6), 8.13.4).
EASA는 승객용 기내 위성 인터넷 시스템에서 발견된 취약점을 보안 업체가 공개 전에 EASA에 알리는 책임 있는 공개 사례를 소개했다(검색 요약만 확인했다 (확인 필요)). 이 책의 정리로, 운영자는 취약점 접수 창구와 제3자(연구자·공급자)가 신고하는 경로를 두고, 접수한 취약점은 IS.I.OR.220의 취약점 관리와 신고(8.12.7)로 연결한다.
8.15.11 설계 트레이드오프 — 자체 관제와 위탁
- ① 자체 보안관제센터(SOC). 기단 운영자가 분석가·도구·절차를 직접 운영한다. 장점은 기체와 운용 맥락(어느 정지가 안전한가, 어느 노선이 위험한가)을 아는 사람이 판단하고 통제권이 크다는 점이다. 단점은 8.15.6처럼 24/7 최소 인원이 약 10명이어서 소규모에는 부담이 크다는 점이다.
- ② 관리형 보안 서비스(MSSP) 위탁. 외부 서비스가 24/7 관제를 한다. 장점은 규모의 이득으로 비용이 낮고 전문성이 있다는 점이다. 단점은 항공 맥락을 모른 채 판단할 수 있고, 위탁한 활동도 조직의 감독 아래 있어야 하며 당국의 접근을 허용해야 하는 점(IS.I.OR.235, 8.12.4)이다. 사건 때 안전 판단은 운영자에게 있어야 한다.
- ③ 하이브리드 + 정보 공유. 1차 관제는 위탁하고 안전 영향의 분류와 봉쇄 결정은 자체 인력이 하며, ISAC·ECCSA에 참여해 위협 정보를 공유한다. 장점은 두 방식의 장점이다. 단점은 책임 경계와 인계 절차(경보→분류→결정)를 설계·훈련해야 한다는 점이다.
견해: 소규모·중규모 운영자는 ③을 기본으로 한다. 근거는 계산이다. 24/7 좌석의 인력 비용이 규모에 따라 거의 줄지 않는 반면(8.15.6), 안전 영향의 분류와 이륙 정지의 결정(8.15.7의 노출 계산)은 기체와 운용을 아는 사람이 해야 지연이 줄기 때문이다. 대규모 기단은 ①을 검토한다. 이것은 이 책의 견해이며 당국의 입장이 아니다.
8.15.12 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM(eVTOL) |
|---|---|---|---|
| 주된 기준 | 군 체계의 사이버 운용 규정(제19부, 이 장의 범위 밖) | SORA 사이버 확장 OSO #1·#3(기록·위생), CRA·NIS2 신고 | Part-IS IS.I.OR.220·230(운영 조직), AC 119-1A 방식의 ANSP, 인증 제품의 ICA |
| 관제 | 별도 | 기단 클라우드·지상국 중심, 소규모는 위탁 | 운영자 보안 프로그램, 항공 전용 ISAC |
| 대응의 안전 제약 | 별도 | 비행 중단·귀환이 임무에 주는 영향 | 승객 안전: 즉시 정지가 안전을 낮출 수 있음(대체 착륙장, 비상 절차) |
| 시험 | 별도 | 지상·SITL, 당국과 합의(SAIL V~VI는 제3자 검증) | 형식 설계 보존, 시험 범위를 인증 계획에서 합의 |
| 정보 공유 | 별도 | 업계 단체 참여(높음 수준) | A-ISAC·ECCSA, EASA·당국에 보고 |
8.15.13 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| EASA 정보 보안 쉬운 접근 규칙(2025-12) | EASA | IS.I.OR.220·230의 조문·AMC·GM(원문 확인, 비공식 편집본) | 이 장, 8.12 |
| NIST SP 800-61r3(2025-04) | NIST | CSF 2.0 기반 사고 대응 권고(원문 확인) | 이 장 |
| NIST SP 800-115(2008-09) | NIST | 기술 보안 시험·평가, 침투 시험 네 단계, 교전 규칙(원문 확인) | 이 장 |
| JARUS SORA 2.5 사이버 확장 부록 1 | JARUS | ISAC·A-ISAC·ECCSA·CSIRT·CERT(원문 확인) | 이 장, 8.11 |
| 지침 (EU) 2022/2555(NIS2) 제12조 | EU | 조정된 취약점 공개, 유럽 취약점 데이터베이스(원문 확인) | 이 장, 8.12 |
| 규정 (EU) 2024/2847(CRA) | EU | 취약점 처리·신고(비공식 사본) | 8.13 |
| EUROCAE ED-206 | EUROCAE | 항공 정보 보안 사건 관리 지침으로 EASA GM이 인용 (미확인) | — |
| ISO/IEC 27035·29147·30111 | ISO·IEC | 사고 관리, 취약점 공개·처리 (미확인) | — |
| ARINC 852 | ARINC | 로그의 무결성으로 JARUS가 인용 (미확인) | 8.23 |
전체 지도는 A.6에 있다.
8.15.14 관련 규제·인증 요구와의 연결
- 감항 보안(8.11)·조직 보안(8.12)·제품 보안(8.13). 이 장은 그 요구를 운용에서 이행하는 쪽이다. 인증 제품의 ICA와 Part-IS 220·230, CRA의 신고가 같은 사건에서 동시에 요구된다.
- 하이재킹 대응(8.16). 링크·항법·지상통제·펌웨어의 공격 경로별 방호가 탐지 신호의 원천이 된다.
- 비행데이터 기록·포렌식(8.23). 기록의 무결성과 보존이 사건 분석과 증거의 전제이다.
- 사고·사건 보고(8.24)·사고 사례(8.25). 보안 사건의 보고와 통계, 사고 사례에서 배운 교훈의 환류.
- 형상 관리(8.22). 서명된 이미지·버전·갱신 이력과 사고 대응의 복구 대상 목록이 같은 형상 체계에 있어야 한다.
- 안전성 평가(8.4). 대응 조치가 새로운 위험을 만들지 않는지, 안전 저하를 허용 수준 안에 두는지는 안전성 평가와 함께 정한다.
- 운영 승인(20.14). SORA의 OSO #1·#3·#13 증거(기록·위생·외부 서비스)로 이 장의 자료가 사용된다.
- 기단 데이터·클라우드(14.28). 관제의 대상이자 공격 표면이다.
- 국내 제도. 한국의 사이버 위기 대응·침해사고 신고 제도는 이 장에서 읽지 않았다(18.28·18.2).
8.15.15 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| 기체마다 경보를 내면 안전하다 | 오경보가 하루 10건 안팎이어서 분석가가 감당하지 못한다. 임계와 상관이 필요하다 | 8.15.5 |
| 상관 탐지가 모든 공격을 탐지한다 | 소수 기체를 노린 공격은 상관 임계에 걸리지 않는다 | 8.15.5 |
| 분석가는 경보 수에 비례해 늘린다 | 대기열 모형은 규모의 이득이 있으나 사건 때 도착률이 급증하면 불안정해진다 | 8.15.6 |
| 즉시 이륙을 막는 것이 항상 안전하다 | 임무와 안전의 관계가 한 방향이 아니다. 그러나 지연은 노출을 키운다 | 8.15.7 |
| 침투 시험은 운용 중인 기체에 하면 된다 | 형식 설계를 변조하거나 비행 안전을 위협하는 시험은 운용 중에 하지 않는다 | 8.15.9 |
| 시험이 결함을 못 찾았으면 결함이 없다 | $q$가 작으면 3/q회가 필요하다. 못 찾은 것은 증거가 아니다 | 8.15.9 |
| 위탁하면 책임도 넘어간다 | 위탁한 활동도 조직의 감독 아래 있고 당국이 접근할 수 있어야 한다 | 8.15.11 |
| 보고는 사건이 끝난 뒤에 한다 | 알게 된 즉시 통지하고 24 h·72 h 시한이 돈다 | 8.15.8 |
미해결 문제. 소형 UAS 기단의 정상 기준선을 정의하는 표준 방법, 상관 탐지의 오경보 상관(기상·펌웨어·노선)의 정량화, 이륙 정지와 임무·안전의 균형을 정하는 기준, 항공 맥락의 MSSP 자격 요건, 한국의 신고 제도와 EU 제도의 대응은 이 장의 자료로 답할 수 없다 (확인 필요).
8.15.16 체크포인트·연구 질문
체크포인트:
- $N=500$, $p_f=0.02$에서 임계 $m=25$의 하루 오경보 확률과 연 오경보 횟수를 구하고, $k=20$일 때 탐지 확률의 직관적 해석을 적어라.
- 처리 시간 30분($\mu=2$/시), 도착률 3건/시에서 평균 대기 5분 이하를 만족하는 최소 분석가 수를 구하라.
- $q=10^{-5}$인 결함을 신뢰도 99 %로 찾는 데 필요한 시험 수와, 초당 500회일 때 소요 시간을 구하라.
- 기체 1,000대, 연 800 비행 시간, 평균 비행 40분인 기단에서 이륙 정지까지 45분이 걸리면 노출되는 기체 수는 얼마인가.
- IS.I.OR.220(b)의 "봉쇄되었다"는 기준과 이륙 정지 결정이 안전을 낮출 수 있는 경우를 설명하라.
- 침투 시험 계획서에 들어갈 교전 규칙의 항목과 항공에서 추가해야 할 제약을 나열하라.
- 자체 SOC, MSSP 위탁, 하이브리드의 책임 경계를 사건 시나리오 하나로 비교하라.
연구 질문(25.7에 모은다):
- 소형 UAS 기단의 정상 기준선과 이탈 기준을 어떻게 표준화할 것인가.
- 기체 단위 이상과 기단 단위 상관을 결합해 소수 표적 공격을 탐지할 수 있는가.
- 대응 조치(이륙 정지·귀환·키 교체)의 안전 영향을 사전에 평가하는 방법은 무엇인가.
- 항공 사이버 사건 정보의 공유 형식과 시한을 ISAC·ECCSA·CSIRT 사이에서 어떻게 맞출 것인가.
1차 출처(이 장):
- EASA, Easy Access Rules for Information Security (Revision from December 2025) — IS.I.OR.220·230의 AMC·GM. 비공식 편집본.
- NIST, SP 800-61r3 Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (2025-04) — 2·3절, 표 1·3. 무료 공개.
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment (2008-09) — 5·6절, 부록 B. 무료 공개.
- JARUS, SORA 2.5 Cyber Safety Extension (JAR_doc_31) — 부록 1.
- Directive (EU) 2022/2555 (NIS2) 제12조(관보 PDF).
- FAA AC 119-1A, EASA AMC 20-42, U-space 쉬운 접근 규칙(AMC2 제15조(1)(b)).
- EUROCAE ED-206, ISO/IEC 27035·29147·30111, ARINC 852, 한국의 사이버 위기 대응·침해사고 신고 제도 — 읽지 못함
(확인 필요).
다음 장: 8.16 — 하이재킹 대응: 링크·항법·지상통제·펌웨어 공격 경로와 방호. 이 장이 기단을 감시하고 대응하는 운영을 다루었다면, 8.16은 어떤 경로로 기체의 제어가 위협받는지와 경로별 방호의 설계를 본다.