배경
2024년 7월 1일부터 국제선급연합회(IACS)의 통합규칙(Unified Requirements) UR E26과 UR E27이 본격 시행되었습니다. 이 규제는 신조선에 대해 사이버 복원력(Cyber Resilience)을 의무화하는 최초의 국제 표준으로, 조선·해양 산업 전반에 큰 영향을 미치고 있습니다.
UR E26 — 선박 사이버 복원력 (Ship Cyber Resilience)
UR E26은 선박 전체 수준의 사이버 보안 요구사항을 정의합니다.
주요 요구사항
- 자산 식별(Asset Inventory): 선박 내 모든 CBS(Computer Based Systems) 식별 및 목록화
- 보호(Protect): 네트워크 경계 설계, 접근 통제, 데이터 보호
- 탐지(Detect): 이상 행위 모니터링 및 로그 관리
- 대응(Respond): 사이버 사고 대응 계획 수립
- 복구(Recover): 백업 및 복원 절차 수립
적용 대상
- 2024년 7월 1일 이후 건조 계약된 모든 신조선
- 선주(Shipowner)와 조선소(Shipyard) 모두 책임
UR E27 — 시스템 및 장비 사이버 복원력
UR E27은 개별 시스템과 장비 수준의 보안 요구사항을 정의합니다.
주요 요구사항
- 보안 개발 수명주기: 공급사의 보안 개발 프로세스 증빙
- 강화(Hardening): 불필요한 서비스 제거, 기본 패스워드 변경
- 패치 관리: MSUS(Manufacturer's Software Update Service) 제공
- 네트워크 보안: 방화벽 규칙, 통신 프로토콜 보안
- 형식 승인(Type Approval): 선급별 TA 인증 취득
적용 대상
- 선박에 설치되는 CBS(Computer Based Systems) 공급사
- 항해 장비, 엔진 제어 시스템, 화물 관리 시스템 등
대응 전략
조선소
- 설계 단계부터 사이버 보안 아키텍처 반영
- 공급사 CBS 목록 및 네트워크 토폴로지 관리
- 선급 심사 대응을 위한 문서 체계 구축
선주
- 사이버 리스크 관리 체계 수립
- 선대(Fleet) 단위 보안 거버넌스 구축
- 운항 단계 사이버 보안 유지보수 계획
공급사
- UR E27 형식 승인(TA) 취득 준비
- 보안 개발 수명주기 문서화
- MSUS 패치 관리 체계 구축
맺음말
IACS UR E26/E27은 단순한 규제 대응을 넘어, 선박의 디지털 전환 시대에 필수적인 사이버 복원력 확보의 출발점입니다. 광명마리타임은 이러한 규제 변화에 대한 실질적인 대응 방안을 제공합니다.