클라우드를 사용한 반도체 공급망 보안

클라우드를 사용한 반도체 공급망 보안

Synopsys 최고 보안 책임자 Deirdre Hanford와의 대담

팟캐스트 | 2021년 7월 16일

Association of Certified Fraud Examiners의 보고서에 따르면 제조업체의 52%가 팬데믹 중에 사이버 사기의 ‘현저한 증가’를 목격했다고 합니다. 가장 흔한 공격은 랜섬웨어와 전자 결제 사기였습니다. Electronic Design Automation(EDA), 반도체 IP 및 애플리케이션 보안 테스트 도구 및 서비스 부문의 선두업체인 Synopsys의 최고 보안 책임자 Deirdre Hanford와 AWS 반도체 부문 전 세계 비즈니스 개발 책임자인 David Pellerin이 AWS Industrial Insights 팀과 함께 오늘날의 공급망이 직면한 보안 과제에 대해 논의합니다. 반도체 산업의 관점에서 문제를 진단하면서 현재의 보안 노출 검사, 네트워크에 액세스하는 사용자 모니터링 및 클라우드 활용을 통해 공급망 전체의 보안을 강화하는 방법을 설명합니다.

많은 압박을 받고 있는 반도체 공급망

많은 압박을 받고 있는 반도체 공급망

AWS: Deirdre 씨, 오늘날 반도체 공급망의 가장 큰 당면 과제가 무엇이라고 보십니까?

Deirdre Hanford: 기밀성, 무결성 및 가용성이라는 3가지 당면 과제가 있습니다. 이를 CIA라고 하는데, 특정 설계 데이터 또는 반도체 제조 데이터를 봐야 하는 특정인만 해당 데이터를 볼 수 있게 하고 데이터 손상을 방지하며 데이터 액세스를 보장하는 것을 말합니다.

코로나는 전 세계 공급망을 중단시켰습니다. 마이크로일렉트로닉스도 여기에 포함되었습니다. 이와 동시에, 추가 디바이스를 필요로 하는 개인의 수요는 크게 증가했습니다. 재택 근무 또는 온라인 수업으로 전환했거나 스마트 가전으로 업그레이드하는 사람들이 늘어났기 때문입니다. 비즈니스에서는 이 시기를 활용하여 디지털 트랜스포메이션을 가속화했습니다. 예를 들어 많은 회사가 제조 시설에 산업용 자동화 장비를 들였고, 클라우드 이전을 가속화했으며, 빅 데이터 분석을 활용하기 시작했습니다. 이 모든 것이 결합되면서 마이크로일렉트로닉스는 수요 측면에서 급증했습니다.

건전한 공급망 데이터를 결정하는 3가지 중요한 요인

  1. 기밀성: 특정 설계 또는 제조 데이터를 봐야 하는 사람만 볼 수 있음
  2. 무결성: 데이터가 손상되지 않음
  3. 가용성: 데이터에 액세스해야 하는 사람은 액세스할 수 있음

공급 측면에서 이 가용성 과제 및 CIA를 보면 전 세계에 있는 마이크로일렉트로닉스 제조 용량은 한정되어 있고 이러한 파운드리, 즉 반도체 제조 공장의 예약율은 현재 100%가 넘습니다. 공급은 일본 제조 공장 몇 군데에서 발생한 화재와 텍사스의 대규모 겨울 폭풍으로 인해 더 어려워졌습니다. 이와 같이 반도체의 가용성은 오늘날의 중대한 문제 중 하나입니다. 수요는 높고 공급에는 기본적으로 제약이 있습니다.

AWS: Dave 씨는 전 세계의 반도체 고객을 만나는데 이러한 추세를 목격하고 계십니까?

David Pellerin: 예. 반도체의 공급 문제는 거의 모든 사람에게 영향을 미치고 있습니다. 특히 지금은 자동차 산업이 어렵습니다. 자동차가 굴러가는 데이터 센터가 되었기 때문입니다. 차세대 자율 주행 차량이 특히 그렇습니다. 배기 가스 제어, 에어백 또는 인포테인먼트와 같은 공급망에서 작은 문제가 생기면 생산이 위축될 수 있습니다. 고객들의 이야기를 들어보면 공급망 위험 또는 반도체 생산량을 정확히 예측하여 칩 공급을 개선하고 공급망의 추적 가능성 및 예측 가능성을 개선할 방법을 찾고 있다고 합니다.

또한 고객들은 회전 속도를 극대화할 방법도 찾고 있습니다. 자동차 산업을 위한 차세대 설계를 만드는 경우 출시 기간을 크게 단축할 방법과 이 중요한 자동차 고객들이 필요로 하는 무결점 목표를 달성할 방법을 찾는 것입니다. 이러한 이유로 클라우드를 검증에 사용한다는 새로운 아이디어가 부상하고 있습니다.

Deirdre Hanford: 많은 산업에서 적시 인벤토리 시스템의 우수성이 드러나고 있다는 글을 읽었습니다. PC 하드웨어 산업에서는 한동안 관찰된 현상이었는데요. 자동차 산업은 적시 인벤토리 생산 방식에 자부심을 갖게 된 지 오래되었지만 이제는 전체 산업이 인벤토리 관리를 재고하고 있습니다. 반도체 공급망 문제로 영향을 받은 비즈니스가 많은가 봅니다.

David Pellerin: 길고 복잡한 공급망에서는 여러 소스를 세심하게 관리하여 초과 인벤토리를 비축할 위치와 시기를 결정해야 합니다. 수요가 신호를 보낼 때 공급망이 중단되면 어떤 조직은 필요 이상으로 구매하고 다른 조직은 부족하게 구매하게 되어 전체 인벤토리 균형이 무너집니다.

Deirdre Hanford: 대부분의 파운드리는 제조 용량을 추가 중이라고 발표했지만 새 제조 용량을 갖추려면 최소 1년은 걸립니다. 즉각적인 해결책은 없다는 것입니다.

나쁜 공급 업체의 등장

나쁜 공급 업체의 등장

AWS: 이 공급망 전체를 보면 불법 행위를 저지를 수 있는 지점도 많을 것 같습니다.

Deirdre Hanford: 맞습니다. 마이크로일렉트로닉스는 극도로 세분화된 산업입니다. 공급망 전체에 기여하는 당사자가 여럿이고 설계 프로세스, 제조 프로세스 및 포장을 마치고 마지막으로 현장에서 넘길 때 설계가 여러 손을 거친다는 것을 의미합니다.

Quote

보안은 모든 사람이 참여하는 여정입니다. 끝이 없고 완벽할 수도 없으므로 끊임없이 개선할 방법을 찾아야 합니다.”

- Deirdre Hanford

여러 당사자를 거치는 동안 설계의 기밀성을 고려해야 하고 무결성도 마찬가지입니다. 산업 환경에서는 이를 보장하기가 어렵습니다. 최근 한 파운드리에서 소프트웨어 업그레이드 시 맬웨어가 방출되는 보안 침해가 발생했습니다. 전체 환경의 기밀성이 손상되었습니다. 지금은 공급 문제가 심각하기 때문에 이전 부품을 재포장하고 새 레이블을 붙이고 위조 디바이스를 판매하는 나쁜 사람들로 인해 이러한 부품을 포함하는 모든 제품의 무결성이 위험해질 수 있습니다. 또 다른 보안 문제는 보안을 취약하게 하거나 부품 배포 시 백도어를 제공할 목적으로 디바이스에 삽입되는 트로이 목마입니다.

David Pellerin: Amazon에는 칩 개발 팀이 있습니다. 당사는 Synopsys 소프트웨어를 사용하고 파운드리 파트너를 통해 칩을 제조하며 지적 재산(IP) 공급 업체가 있습니다. 데이터 센터 칩을 설계하는 Annapurna Labs와 같은 Amazon 팀에서는 이것이 일상입니다. 그래서 더 안전하게 협업할 수 있는 방법을 찾고 있습니다. 예를 들어 칩 시스템을 개발했거나 칩 시스템을 작업 중인 경우 ARM 또는 Synopsys와 같은 서드 파티로부터 지적 재산 블록 또는 코어를 공급받아야 합니다. 따라서 이 독점적 IP에서 협업할 때 안전하게 사용자 지정하고 검증하고 확인할 수 있는 방법을 갖추는 것이 중요합니다.

복잡한 문제를 해결하려면 협업이 필수

복잡한 문제를 해결하려면 협업이 필수

AWS: 공급망 보안에서 기술이 더 중요한 역할을 할 수 있을까요?

David Pellerin: 예. 첫 번째 단계는 데이터를 분리할 수 있는 환경을 만들고 클라우드 기반 챔버를 사용하여 퍼스트 파티와 서드 파티 방식으로 안전하게 협업하는 것입니다. 이 종류의 협업에서 생각해봐야 할 것은 제조 문제를 분석하는 방법입니다. 예를 들어 조립과 테스트를 파트너를 통해 수행하는 경우 일부 데이터를 분리하고 장비를 테스트한 후 세심하게 선별되고 보호된 데이터 레이크를 통해 공유하는 것이 좋습니다. 이렇게 하면 생산량 문제를 파악할 수 있게 되거나 포장 문제를 좀 더 일찍 식별할 수 있습니다.

Quote

클라우드는 매우 안전한 협업 환경을 제공할 수 있습니다. 앞으로 클라우드는 협업 플랫폼으로서 자리를 잡게 될 것입니다.”

- Deirdre Hanford

당사는 최근 인터페이스에 대한 IP를 보유하고 있는 대만 반도체 회사인 Global Unichip의 사례 연구를 게시했습니다. 이 회사는 당사의 파트너 중 하나인 proteanTecs와 협력하여 2.5D 포장 안정성을 개선하고 현장에서 칩 인터커넥트의 중복 라인을 사용하여 이러한 칩을 안정적으로 복구할 수 있는 방법을 제공했습니다. 이 사례는 최종 고객이 IP 공급자인 Global Unichip과 협력하고 파운드리 또는 아웃소싱 조립 및 테스트 파트너와 협력하여 문제를 파악함으로써 고도로 안정적인 칩을 만든 사례입니다.

이러한 협업은 온갖 종류의 흥미로운 방식으로 나타나기 시작했습니다. AWS는 기계 학습을 활용하여 클라우드에서 고급 분석을 통해 IP의 안정성 및 추적 가능성 문제 중 일부를 파악하고 있습니다. 클라우드는 협업에 있어서 놀라운 조력자입니다. 고도로 안전한 환경을 빠르게 만들 수 있을 뿐 아니라 고급 분석 기능과 신속한 확장성까지 활용할 수 있기 때문입니다.

AWS: 그렇다면 보안 문제를 극복하는 데 클라우드가 도움이 될 수 있겠군요?

Deirdre Hanford: 클라우드는 이 협업을 위한 매우 안전한 환경을 제공할 수 있습니다. 클라우드에서는 누가 데이터에 액세스하는지 정확히 볼 수 있습니다. 갑자기 이상 상태를 보이는 것이 있다면 조치를 취하고 알림을 설정할 수 있습니다. 팬데믹으로 이 협업이 가속화되기는 했지만 AWS는 내부 작업을 통해 이미 이 분야를 개척했습니다. 앞으로 클라우드는 협업 플랫폼으로서 자리를 잡게 될 것입니다.

David Pellerin: 실제로 Synopsys와 Amazon의 협업은 이 길을 닦는 데 도움이 되었습니다. Synopsys는 EDA(Electronic Design Automation) 소프트웨어 공급 업체일 뿐만 아니라 Amazon 칩을 포함하여 광범위한 고급 칩에 사용되는 IP 공급자이기도 합니다. Amazon은 Synopsys와 같은 파트너와 협업하고 안정성이 높은 제품을 빠르게 개발함으로써 클라우드 기반 협업 방법을 지원하고 가속화할 수 있었습니다.

클라우드의 보안과 규모가 제공하는 이점

클라우드의 보안과 규모가 제공하는 이점

AWS: 협업을 보호하는 데 있어서 많은 장점이 있을 것 같은데 산업 회사에서 시작하려면 어떻게 해야 합니까?

Deirdre Hanford: 첫 번째이자 가장 중요한 일은 위협 환경에 대해 생각해보는 것입니다. 작업 환경을 고려하여 위협이 발생할 수 있는 위치와 데이터가 유출될 수 있는 위치를 파악하고 우선 순위를 정하는 것입니다. 전체적인 보안 프레임워크와 접근 방식이 필요하지만 위협 행위자를 파악하고 위협 요소를 완화하는 방법부터 찾아보는 것이 좋습니다.

당사에도 도전 과제는 존재했습니다. 최근에 업계 전체에 영향을 미친 보안 문제가 발생했습니다. 네트워크를 관리하는 거의 모든 회사가 취약성을 평가해야 했고 우리도 그렇게 했습니다. 침해를 받지 않았다는 것을 곧 알게 되었지만 취약성에 대한 고객의 질문에 답하려면 공급 업체들을 확인해야 했습니다. 서드 파티 소프트웨어를 네트워크에 사용하고 있고 그것이 SaaS 애플리케이션이라면 데이터를 관리하고 있을 수 있는 공급 업체가 침해되지 않았는지 확인해야 하므로 공급망을 파악할 필요가 있었습니다.

Quote

전체적인 보안 프레임워크와 접근 방식이 필요하지만 위협 행위자를 파악하고 위협 요소를 완화하는 방법부터 찾아보는 것이 좋습니다.

- Deirdre Hanford

내가 영향을 받지 않았다는 것을 보장하려면 전체 공급망에 문제가 없어야 하는 것입니다. 저희는 올해 초에 공급 업체, 파트너 및 공급자 공간을 파악하는 것과 이들에게 복원력이 있고 자산을 보호할 능력이 있는지 아는 것이 중요하다는 점을 깨달았습니다.

AWS: 공급망에서 적절한 파트너를 선택할 때 어떻게 하십니까? 파트너를 평가할 때 무엇을 보시나요?

Deirdre Hanford: 신규 공급 업체를 온보딩하고 공급 업체를 선정할 때 사용하는 내부 프로세스가 있습니다. 또한 서드 파티 도구를 사용하여 회사의 보안 프로파일을 평가합니다. 신규 공급 업체를 온보딩할 때는 해당 업체가 직원 또는 고객 데이터에 접근하는지, 당사의 네트워크에 액세스하는지 여부를 고려합니다. 이러한 질문에 대한 답을 바탕으로 해당 공급 업체가 당사의 프로세스 및 제어를 통과할 수 있는지 확인하는 심사 프로세스가 시작됩니다. 공급 업체 감사도 전례가 없는 것은 아닙니다. 특히 보안 데이터에 액세스할 것으로 여겨지는 업체에 대해서는 감사가 시행됩니다.

여기서 요점은 공급망 조직과 회사가 더 정교해졌다는 것입니다. AWS를 포함한 많은 회사들이 엄격한 공급망 관리 부서를 두고 있으며 공급 업체의 비즈니스 및 보안 프로세스가 지속적으로 개선되는지 확인합니다. 보안은 모든 사람이 참여하는 여정입니다. 끝이 없고 완벽할 수도 없으므로 끊임없이 개선할 방법을 찾아야 합니다.

AWS: Dave 씨, 설계를 위한 보안 환경으로 클라우드를 사용하려면 어떻게 해야 하며 현재 어떤 종류의 사용 사례가 있습니까?

David Pellerin: 지난 몇 년간 글로벌 반도체 회사에서는 그 규모를 불문하고 중대한 사고의 변화가 있었습니다. 클라우드 설계 지원에 대한 2018년 TSMC의 발표와 이후 삼성의 발표가 분수령이 되었습니다. 업계에서 가장 중요한 IP인 프로세스 설계 키트 또는 PDK를 보유한 파운드리들이 보안 IC(통합 칩) 설계에 클라우드를 수용하고 사용을 장려했습니다. 보안 관점에서는 큰 사건이었습니다. 파운드리, 즉 순수한 파운드리가 향후 비즈니스를 확장하려면 스마트 스타트업부터 중소기업과 수직 통합을 시행할 경우 칩 설계에 들어가는 시스템 회사에 이르는 모든 규모의 반도체 회사를 안전하게 운영할 수 있어야 합니다.

그러기 위해서는 클라우드 기반 인프라를 수용하는 것보다 좋은 방법은 없습니다. 클라우드 기반 인프라는 예측 가능성이 높고 맞춤형 수준의 보안을 제공할 수 있습니다. 솔직히 중소 규모의 반도체 회사에서는 이러한 보안을 직접 배포하기가 매우 어렵습니다. Deirdre 씨가 말한 것처럼 보안은 여정이기 때문입니다. 방화벽 몇 개, 네트워크 인프라 조금, 보안 관련 소프트웨어 몇 개를 사는 것으로 끝나는 일이 아닙니다. 다양한 공격 벡터에 끊임없이 대비하고 지속적으로 보안을 개선해야 합니다.

그리고 반도체 칩을 설계하는 게 목표라면 이 일은 특히 더 어렵습니다. 클라우드에서는 정부, 금융 서비스, 에너지, 생명과학, 의료 서비스 등 중요한 산업에서 자체 보안 요구 사항을 가지고 있는 고객의 규모와 범위를 활용할 수 있습니다. 가장 작은 반도체 회사라도 같은 수준의 보안을 누릴 수 있는데 파운드리 회사들이 이 장점을 본 것 같습니다. 가장 안전한 IP의 배치 장소에 대한 생각이 크게 달라졌습니다. 지금은 클라우드입니다.

이 스토리 공유


성공적인 보안 조직의 특징
ebook
성공적인 보안 조직의 특징
일부 회사가 위험 대비 태세를 강화할 수 있는 비결
더 보기 
보안 및 규정 준수 빠른 참조 가이드
빠른 참조 가이드
보안 및 규정 준수 빠른 참조 가이드
강력한 보안 및 규정 준수를 유지하기 위한 전략
더 보기 
보안 문화 조성
ebook
보안 문화 조성
위험에 대한 인식 확립에 도움이 될 수 있는 표준 및 관행
더 보기 

게스트 정보

Deirdre Hanford. Synopsys 최고 보안 책임자(CSO)

Deirdre Hanford
Synopsys 최고 보안 책임자(CSO)

Synopsys의 최고 보안 책임자로서 협업을 통해 조직을 보호하는 일을 담당합니다. 또한 소프트웨어부터 실리콘까지, 안전한 설계에 대한 업계의 인식과 지원을 개선하여 EDA, IP 및 소프트웨어 무결성 비즈니스를 지원하는 데 앞장서고 있습니다. 이전에는 Synopsys의 Design Group에서 공동 총괄 관리자로서 물리적 설계, 구현 및 아날로그/혼합 신호 제품 라인의 개발 및 배포를 이끌었습니다. 브라운대학교에서 B.S.E.E.를 취득했고 UC 버클리에서 M.S.E.E.를 취득했습니다. 현재 브라운대학교 공학자문위원회의 위원장이며 UC 버클리 공과대학의 공학자문이사회에서 활동하고 있습니다.

David Pellerin, AWS 반도체 부문 전 세계 비즈니스 개발 총 책임자

David Pellerin
AWS 반도체 부문 전 세계 비즈니스 개발 총 책임자

Amazon Web Services에서 하이테크/반도체 부문 전 세계 비즈니스 개발 총 책임자를 맡고 있습니다. AWS 입사 전에는 전자 설계 자동화 및 하드웨어 가속 가변형 컴퓨팅과 관련된 일을 했습니다. 디지털 논리 시뮬레이션 및 최적화, 상위 수준 합성, 그리드 및 클러스터 컴퓨팅과 이미지, 동영상 및 네트워크 처리를 위한 임베디드 시스템과 관련된 경험을 보유하고 있습니다. 5개의 Prentice Hall 기술 서적을 출간했습니다.

AWS에 문의하기

뉴스레터
Executive Insights 뉴스레터
AWS 내부 또는 외부 경영진의 최신 인사이트와 관점을 이메일로 받아보세요.
뉴스레터 구독 
블로그
엔터프라이즈 전략 블로그
개인적으로 클라우드를 통해 전환을 이끈 경영 리더들의 이야기를 들어보세요.
블로그 읽기 
소셜 미디어
AWS 경영진과의 교류
문화, 인재 및 리더십을 통한 혁신 및 전환 지원에 대한 시각
LinkedIn에서 팔로우하기