ISO/SAE 21434와 UN Regulation No. 155 (이하 R155)는 도로 차량(Road vehicles)의 사이버 보안(Cybersecurity)을 보장하기 위해 만들어진 두 가지 중요한 문서입니다. 두 문서는 서로 다른 역할을 하지만, 보완적인 관계에 있습니다. R155는 법적/규제적 요구사항을 제시하는 규정이고, ISO/SAE 21434는 이를 충족하기 위한 상세한 기술적 및 프로세스적 지침과 방법론(Detailed Technical and Process Guidelines and Methodology)을 제공합니다.
1. UN Regulation No. 155 (R155) 개요
R155는 차량의 사이버 보안과 사이버 보안 관리 시스템(Cybersecurity Management System, CSMS) 승인(Approval)에 관한 통일된 규정(Uniform Provisions)입니다.
목적 및 적용 범위
이 규정은 M, N 카테고리 차량(Category M and N vehicles)에 적용되며, 전자 제어 장치(Electronic Control Unit, ECU)가 장착된 O 카테고리 차량(Category O vehicles)과 레벨 3 이상(Level 3 onwards)의 자동 주행 기능(Automated Driving Functionalities)이 포함된 L6, L7 카테고리 차량(Category L6 and L7 vehicles)에도 적용됩니다.
주요 요구사항
- 차량 제조사는 CSMS를 갖추고 개발, 생산, 생산 후(Post-Production Phase)까지 전 과정에서 보안을 관리하고 있음을 입증해야 합니다.
- 공급망 전반의 위험 관리를 수행하고, 공급자 관련 위험(supplier-related risks)을 식별 및 관리해야 합니다.
- 차량 유형(vehicle type)별로 철저한 위험 평가(risk assessment)를 실시하고, 식별된 위험(identified risks)을 처리·관리해야 합니다. 이 과정에서 차량 요소(vehicle elements), 외부 시스템(external systems)과의 상호작용, 그리고 부록 5 파트 A에 언급된 위협(threats)을 고려해야 합니다.
- 차량 설계에 적절한 사이버 보안 조치(cyber security measures)를 반영하고, 위험에 대한 비례적 완화 조치(proportionate mitigations)를 적용해야 합니다.
- 위협, 취약점(vulnerabilities), 사이버 공격을 탐지·분석하기 위한 모니터링 및 데이터 포렌식(data forensic) 역량(capability)을 갖추어야 합니다.
- 보안 목적으로 사용하는 암호화 모듈(cryptographic modules)은 합의된 표준(consensus standards)을 따라야 합니다.
준수 증명 (Proof of Compliance)
형식 승인 기관 또는 기술 서비스(Technical Service)는 차량 제조사의 문서를 검토하여 필요한 보안 조치가 취해졌는지 확인합니다. 이 과정에서 기관은 적절한 사이버 보안 기술과 특정 자동차 위험 평가 지식(automotive risk assessments knowledge)을 가진 유능한 인력(competent personnel)을 보유해야 하며, R155는 ISO/SAE 21434를 이러한 지식의 예시 표준으로 명시합니다.
2. ISO/SAE 21434 개요
ISO/SAE 21434는 도로 차량의 전기/전자(E/E) 시스템 엔지니어링에서 사이버 보안 관점을 다루는 국제 표준입니다.
목적 및 적용 범위
공급망 전체를 대상으로 공통 이해를 위한 어휘(vocabulary), 목표, 요구사항, 지침(guidelines)을 제시합니다. 이를 통해 조직은 사이버 보안 정책과 프로세스를 정의하고, 사이버 보안 위험을 관리하며, 사이버 보안 문화를 조성할 수 있습니다.
포괄적인 사이버 보안 관리
이 표준은 조직 수준의 사이버 보안 거버넌스, 보안 문화, 위험 관리, 감사, 정보 공유, 관리 시스템, 도구 관리를 포함합니다. 또한 아이템 정의(item definition), 개념 단계(Concept Phase), 제품 개발, 사이버 보안 유효성 검사(Cybersecurity Validation), 생산, 운영·유지보수, 폐기(Decommissioning), 분산된 사이버 보안 활동까지 전 생애주기에 걸친 보안 활동을 다룹니다.
위험 평가 방법론
자산 식별(Asset Identification), 위협 시나리오 식별(Threat Scenario Identification), 영향 등급(Impact Rating), 공격 경로 분석(Attack Path Analysis), 공격 실현 가능성 등급(Attack Feasibility Rating), 위험 결정(Risk Determination), 위험 처리 결정(Risk Treatment Decision)까지 체계적인 방법을 제공합니다.
3. ISO/SAE 21434와 R155의 관계
ISO/SAE 21434는 R155에서 제시하는 규제적 요구사항을 충족시키기 위한 실질적인 방법론을 제공합니다. 두 문서는 상호 보완적입니다.
R155 준수를 위한 참조 표준
R155는 ISO/SAE 21434를 “적절한 사이버 보안 기술과 자동차 위험 평가 지식”의 대표 예시로 언급합니다. 이는 ISO/SAE 21434가 R155 준수를 위한 핵심 지침임을 보여줍니다.
CSMS 구현의 기반
R155는 차량 제조사에 CSMS 구축·유지를 요구합니다. ISO/SAE 21434는 이를 실제로 실행할 수 있도록 세부 엔지니어링 프로세스와 요구사항을 제공합니다. 예컨대 조직의 보안 정책과 규칙 정의는 R155와 직접 연결됩니다.
위험 평가 및 관리 상세화
R155가 위험 평가·관리 의무를 명시하는 수준이라면, ISO/SAE 21434는 이를 실질적으로 수행할 수 있는 단계별 방법을 제공합니다. 또한 R155 Annex 5 Part A의 위협 목록은 ISO/SAE 21434의 위협 시나리오 정의 과정에서 활용할 수 있습니다.
공급망 관리
R155는 공급망 위험 관리의 필요성을 강조합니다. ISO/SAE 21434는 분산된 사이버 보안 활동을 통해 공급자 역량 평가, 견적 요청 시 책임 명확화, 고객–공급자 간 사이버 보안 인터페이스 합의(Cybersecurity Interface Agreement, CIA) 등을 구체적으로 제시합니다.
품질 및 프로세스 관리 통합
ISO/SAE 21434는 품질 관리, 형상 관리, 요구사항 관리, 변경 관리 등을 기반으로 사이버 보안 엔지니어링을 지원합니다. Automotive SPICE® 같은 표준도 예시로 언급되며, 이는 R155의 CSMS가 단순 절차가 아니라 품질·프로세스 기반 위에 구축돼야 함을 의미합니다.
결론
R155는 도로 차량 사이버 보안을 위한 필수 규제적 프레임워크를 제공하며, ISO/SAE 21434는 이를 충족하기 위한 구체적이고 심층적인 엔지니어링 및 관리 표준을 제시합니다. 따라서 차량 제조사는 R155 승인을 받기 위해 ISO/SAE 21434의 지침과 방법론을 적극 활용하여 효과적인 CSMS를 구축하고 보안 위험을 체계적으로 관리해야 합니다.