SESIP(IoT 플랫폼 보안 평가 표준)은 GlobalPlatform이 발표하고 CEN/CENELEC이 EN 17927로 표준화한, 연결형 플랫폼 및 그 구성 요소를 위한 보안 평가 방법론입니다. 이 표준은 보안 기능 요구사항 목록과 IoT 제품에 맞춤화된 일련의 보증 수준을 정의하고 있습니다.

TrustCB는 TrustCB SESIP 제도를 운영하며, GlobalPlatform SESIP (GP_FST_070) 및 CEN/CENELEC EN 17927에 따라 인증서를 발급합니다. 평가 자체는 Keysight와 같은 인가된 시험소에서 수행되며, 해당 시험소는 TrustCB에 평가 기술 보고서를 제출합니다.

SESIP 요구사항은 공통 평가 기준(ISO/IEC 15408)을 기반으로 하되, IoT 플랫폼에 맞게 재구성되었습니다. 그 결과, 공통 평가 기준의 신뢰성을 뒷받침하는 방법론적 엄격성을 유지하면서도, 재사용 가능한 요구사항 목록과 일반적인 IoT 배포 환경에 맞춰 조정된 보증 수준을 통해 보다 간소하고 신속한 평가가 가능해졌습니다.

플랫폼 및 플랫폼의 구성 요소: 칩, 보안 요소, 신뢰의 근원(Roots of Trust), 실시간 운영 체제(RTOS) 및 소프트웨어 스택, 연결 및 암호화 구성 요소, 그리고 완성된 장치. SESIP는 조합을 지원하므로, 인증된 플랫폼을 기반으로 제작된 제품은 해당 플랫폼의 인증 정보를 재사용할 수 있습니다.

이는 제품의 위협 모델, 고객의 요구 사항, 그리고 준수해야 할 규제 사항에 따라 달라집니다. SESIP 2는 네트워크에 노출된 소비자용 제품 및 폐쇄형 소스 구성 요소에 적합하며, SESIP 3은 물리적 접근에 노출된 기기에 가장 일반적으로 적용되는 상용 등급입니다. SESIP 4와 5는 정교한 공격자의 위협에 노출된 고가치 구성 요소에 적용됩니다. 당사의 범위 설정 워크숍은 이러한 문제를 조기에 결정할 수 있도록 설계되었습니다.

소요 기간은 보증 수준, 평가 대상의 복잡성, 그리고 귀사의 문서화 성숙도에 따라 달라집니다. 레벨 2와 3은 기간이 정해진 테스트 활동을 기반으로 구성되어 있어 비교적 예측하기 쉽습니다. 가장 큰 변수는 대개 증거 준비 상태이며, 이것이 바로 저희가 인증 전 평가를 권장하는 이유입니다.

TrustCB SESIP 인증서는 제도 절차에 명시된 바와 같이, 평가 기술 보고서의 발행일로부터 5년간 유효합니다.

자동으로 이루어지는 것은 아닙니다. SESIP 인증은 CRA 기술 문서 및 적합성 평가를 뒷받침하는 강력하고 체계적인 보안 증거를 제공하지만, CRA는 SESIP 평가 범위를 벗어난 취약점 처리, 보고 및 제품 수명 주기와 관련된 의무 사항도 부과합니다. 당사는 SESIP가 다루는 범위와 여전히 해결해야 할 사항이 무엇인지 파악하는 데 도움을 드릴 수 있습니다.

네. SESIP 4와 SESIP 5는 SOG-IS 또는 EUCC 인증을 받은 플랫폼 및 부품을 재사용하기 위한 명확한 절차를 제공하며, 이를 통해 SESIP의 상용 제품 영역에 대한 매핑을 활용할 수 있게 합니다.

네. TrustCB 인증 제도는 GlobalPlatform SESIP와 CEN/CENELEC EN 17927을 모두 지원하며, 귀사의 시장 및 고객 요구 사항에 부합하는 버전을 기준으로 평가 범위를 설정합니다.

SESIP 프로파일은 SESIP 카탈로그를 기반으로 정의된, 특정 제품 범주에 대해 일반적으로 제공되는 보안 기능의 집합으로, 공식적으로 발표된 것입니다. GlobalPlatform 및 PSA Certified를 비롯한 여러 기관에서 이러한 프로파일을 발표해 왔으며, 이를 활용하면 보안 목표(Security Target)를 처음부터 새로 작성하는 수고를 덜 수 있습니다.