통신연결 기반 보안 강화...자동차 라이프사이클 전반에 걸쳐 확립 필요
사이버보안 관리 프로세스, ‘자동차-조직-공격-위헙’ 등 4단계로 구체화

[보안뉴스 김영명 기자] 자동차의 전자제어장치(Electronic Control Unit : ECU)는 각종 센서와 스위치가 자동차 주행상태에 따른 대기 온도, 차량 속도 등을 컴퓨터로 입력해 주행성능을 향상시키는데 사용된다.


[이미지=utoimage]

ECU는 일반적으로 자동차의 ‘두뇌’로 불리며, 엔진과 연관된 자동차 곳곳에 설치된 각종 센서에서 수집된 정보를 토대로 최적 연소를 통해 엔진 효율을 높이고, 운전자의 의도대로 엔진을 최적으로 제어해주기 위해 엔진을 제어하는 컴퓨터라고 볼 수 있다.

ECU의 경우 △엔진 제어모듈(ECM) △파워트레인 제어모듈(PCM) △변속기 제어모듈(TCM) △브레이크 제어모듈(BCM·EBCM) △중앙제어모듈(CCM) △중앙타이밍모듈(CTM) △일반전자 모듈(GEM) △차체 제어모듈(BCM) △서스펜션 제어모듈(SCM) 등이 포함된다.

한 대의 자동차에는 수많은 ECU가 들어가고, 기술이 발달할수록 ECU의 수는 증가하게 되며, 자동차 업계는 현재 기술 기반에서 완성차 한 대당 70~100개 이상의 ECU를 사용하는 것으로 알려지고 있다.

ECU가 주행을 위해 통신과 연결되면서 자동차 불법제어 및 프라이버시 침해 등 사이버보안 취약점과 위협이 증대되고 있어 대응방안을 마련할 필요가 커지고 있다. 자동차에 대한 사이버공격 등 해킹은 최악의 경우 사망 등 인명사고로도 이어질 수도 있어 사이버보안 확보가 필수다.

국제사회에서는 자동차 사이버보안의 중요성에 대한 공감대를 형성해 왔다. UNECE(유엔 유럽경제위원회) 산하 UNECE WP.29(국제 자동차기준 조화 회의체)에서는 2020년 6월 자동차 사이버보안에 관한 최초의 국제기준을 공식적으로 채택했으며, 이는 지난해 1월부로 발효됐다.

우리나라도 ECU가 포함된 자동차의 유통을 위해 자동차 사이버보안 제도를 마련할 필요성이 제기되고 있다. 국제기준을 충족시키기 위해서는 자기인증, 사이버보안 특성 등에 대한 사전 검토와 함께 자동차 자기인증 부분 성능평가 기준을 마련하고 관련 연구가 선행돼야 한다.

국토교통부는 자동차 사이버보안의 국내 기준이 마련되기 전까지 자동차 제조사들이 참조할 수 있도록 자동차 사이버보안 권고안과 기준 마련 및 인프라 계획 등을 담은 ‘자동차 사이버보안 가이드라인’을 마련해 발표했다.


▲자동차 사이버보안 관리체계의 프로세스[자료=국토교통부]

자동차 사이버보안 규정, 국제기준 대비 국내는 권고에 그쳐
국내에서는 아직 자동차 사이버보안과 관련한 법과 제도가 마련되지 않은 상황이다. 단, 국토교통부가 한국교통안전공단과 함께 관련 제도 마련 전까지 ‘자동차 사이버보안 확보를 위한 권고안’을 제정했다. 이 권고안은 자동차 사이버보안의 유일한 기준이자 세계 기준인 ‘UN Regulation No.155’를 바탕으로 마련됐으며, 향후 제정될 국내 기준에 대비해 제조사의 권고사항과 승인·시험기관 등의 역할을 제시하고 있다.

이번 권고안은 ‘UN Regulation No.155’을 바탕으로 향후 국내 기준으로 적용될 가능성이 큰 사항에 대해서만 우선으로 마련된 것이다. ‘UN Regulation No.155’는 해당 기준을 채택하지 않은 국가에 배타적인 조항이 적용되고 있어 정부는 이 세계 기준에 대한 충분한 검토를 거친 후 향후 법제화가 추진될 경우 국내 기준 반영 여부를 결정할 예정이다.

세계 기준 ‘UN Regulation No.155’과 현재 우리나라에서 임시로 마련한 ‘자동차 사이버보안 확보를 위한 권고안’은 △총칙(범위·정의 등) △사이버보안의 요건(CSMS, 자동차 형식의 보안 요건) 등 일부 규정은 동일하게 적용됐다.

다만, 차이점이 있다면 국제기준은 채택 시 필수로 지켜야 하는 의무규정이지만, 권고안은 의무와 강제성이 없는 권고에 그친다는 점이다. 또한, 국제기준의 기반은 형식승인이지만, 국내 권고안은 자기인증과 형식승인 등 체계와 무관하게 제시될 수 있는 내용만 포함됐다. 또한, 국제기준은 제조사 보고 의무를 규정하지만, 권고안은 제조사 정보공유에 대한 권고만을 제시하는 것도 다르다. 이밖에도 절차·서류·벌칙·부칙 등 행정사항과 함께 형식승인 특성이 반영된 사항(CSMS 인증서, DETA 정보공유) 등은 권고안에는 포함되지 않았다.

‘자동차 사이버보안 확보를 위한 권고안’은 △총칙 △사이버보안 관리체계 △자동차의 사이버 보안 확보를 위한 제조사 권고사항 △사이버보안 확보를 위한 자동차보안전담기관의 역할 등 크게 4개 주제, 17개 세부항목으로 구성됐다.

이번 권고안은 자동차 제조사와 자동차 보안전담기관 등에 권고되는 사항을 규정하는 것을 목적으로 만들어졌으며, 자동차 라이프사이클에 참여하는 자동차 부품사, 서비스 제공업체, 협력업체 등도 이 권고안을 참고해 활용할 수 있다.

‘UN Regulation No.155’에서는 자동차 제조사의 보안을 평가하고 CSMS 인증서를 발행하는 승인기관인 자동차보안전담기관을 별도로 지정하도록 권고하고 있다. 하지만 우리나라는 아직 국제기준에 부합하는 승인기관이 지정돼 있지 않으며, 향후 자동차 사이버보안의 승인기관의 역할 등을 수행할 기관을 자동차보안전담기관(가칭)이라고 부르기로 했다.


▲자동차보안 UN 기준 채택여부 국가 혜택[자료=국토교통부]

자동차 사이버보안 권고안 적용...통신 연결 차량 보안확보 필수
자동차 사이버보안 권고안은 ‘자동차관리법’(법률 제18744호) 제3조 제1항 제1호~제4호의 규정에 해당하는 승용자동차, 승합자동차, 화물자동차, 특수자동차, 전자제어장치가 장착된 피견인 자동차 등에 적용된다.

전기·전자적 설계요소가 존재하는 모든 자동차는 비중과 관계없이 사이버공격 대상이 될 수 있어 보안에 유의해야 하며, 자율주행차 및 통신 연결 기능이 있는 차량은 보안 확보가 필수로 요구되고 있다.

세계 기준에서 사이버보안 이슈와 주된 관련이 있는 자동차는 △Category M(최소 4륜 승객운송 자동차, 승용차, 승합차) △N(최소 4륜 화물운반 동력구동 자동차, 화물차) △전자제어장치가 장착된 O(트레일러) △레벨3 이상의 자율주행 기능이 장착된 L6와 L7(초소형 자동차)으로 범위를 한정해 적용하고 있다.

자동차 사이버보안 체계 구축...제조사, 협력업체 공동 관리해야
자동차 제조사는 사이버보안 관리체계(CSMS)를 갖출 것이 권고되는 추세다. CSMS의 구축 주체는 자동차 제조사이고, 제조사 이외에 공급업체와 협력업체 등 공급망에서도 CSMS 관리체계에서 자동차 제조사가 함께 관리할 필요가 있다.

사이버보안 관리체계는 자동차 제조사 품질관리시스템(Quality Management System : QMS)의 일부 또는 별도의 독립적으로 운영할 수 있으며, QMS의 일부로 관리되더라도 사이버보안 영역은 명확하게 구분이 가능해야 한다.

사이버위협은 특정한 때와 장소를 정하고 공격하는 것이 아니라 기술 발전에 따라 빠르게 변화하고 공격하기 때문에 자동차 제조사는 자동차 개발, 생산, 생산 후 단계 등 차량의 라이프사이클 전반에 걸쳐 사이버보안 관리체계의 적절한 프로세스를 활용해 조치를 취하는 등 위협에 철저히 대비하는 것이 중요하다.


▲자동차 사이버보안 관리체계의 활동[자료=국토교통부]

사이버보안 관리체계 프로세스...4단계 9개 프로세스로 구체화
자동차 사이버보안 관리체계 프로세스는 크게 ‘자동차-조직-공격-위험’ 등 4단계에서 9개 프로세스로 보안 관리가 요구된다.

먼저 ‘자동차’ 분야에서는 △위협 및 위험 식별 프로세스 △위험평가, 분류·처리 프로세스 △위험관리 및 검증 프로세스 △사이버보안 시험 프로세스 등을, ‘조직’ 분야에서는 △사이버보안 관리체계 운영 프로세스를, ‘공격’ 분야에서는 △모니터링, 탐지 및 대응 프로세스 △공격 분석 프로세스 등을, ‘위험’ 분야에서는 △위험의 최신 상태 유지 프로세스 △보안조치의 유효성 평가 프로세스 등으로 분류할 수 있다.

사이버보안 관리체계의 첫 번째 프로세스인 ‘제조사 조직 내에서 사이버보안 관리체계를 운영하기 위한 프로세스’는 사이버보안 관리체계의 구축 및 관리체계 자체의 적정성 유지·관리를 위한 활동과 매뉴얼 등을 아우르는 프로세스로 △사이버보안 관련 조직의 구조화 △사이버보안 관리에 있어 역할·책임 등의 규정 및 권한 배분 △자동차 형식 라이프사이클(개발-생산-생산 후 단계)에 따른 사이버보안 관리활동 매뉴얼 등을 포함하고 있다.

두 번째로 ‘자동차에 대한 위험을 식별하기 위한 프로세스’는 자동차에 대한 위험을 발견·인지할 수 있도록 하는 프로세스로 △사이버보안에 대한 시스템의 연관성 식별 활동 △각 시스템·기능 정의 및 다른 시스템과의 상호작용·제약 등을 고려한 전체 시스템을 기술·묘사하는 활동 △자동차의 안전한 운행과 관련해 보안의 대상이 되는 자산(중요 요소) 식별 활동 △사이버 위협과 취약점 식별 활동 등이 포함된다.

세 번째로 ‘식별된 위험을 평가하고 분류·처리하기 위한 프로세스’는 위험 식별 프로세스에 따라 식별된 위험을 적절히 관리하기 위해 시행되는 프로세스로 △식별된 위험에 대한 영향평가와 잠재적 공격 경로 분석, 예상되는 모든 공격 경로에 대한 실행 가능성 판단(위험분석과 산정) △산정 결과에 따라 위험을 분류하고, 보안조치를 통해 위험 수준을 현저하게 낮추는 등 적절하게 처리(위험 분류 및 처리)하는 절차가 요구되는 단계다.

네 번째로는 ‘식별된 위험이 적절하게 관리되고 있는지 검증하기 위한 프로세스’로 식별된 위험을 평가하고 분류·처리하기 위한 프로세스에 따른 보안조치 등의 처리를 거쳐 남아 있는 위험이 향후 자동차에 대한 실제 위험으로 이어지지 않도록 위험의 수준 등을 검증하는 프로세스다. 이 단계에서 위험 수준은 제조사가 명시한 위험 허용범위 이내로 유지해야 한다.

다섯 번째로 ‘자동차의 사이버보안 시험을 위한 프로세스’는 제조사가 개발하는 자동차의 사이버보안에 대해 자체적인 시험을 위한 프로세스다. 사이버보안의 시험 및 관리는 자동차 라이프사이클 전반에 걸쳐 이뤄져야 한다는 점을 고려해 이 프로세스를 구축할 필요가 있다.

여섯 번째는 ‘위험평가 정보를 최신 상태로 유지하기 위한 프로세스’로 사이버 공격방법의 진화 또는 자동차 시스템 교체로 인한 위험의 변화 가능성을 고려해 변화된 위험에도 대응할 수 있도록 두 번째 및 세 번째와 같은 위험평가를 최신화하는 프로세스를 뜻한다. 위험의 형태와 수준 등의 변화 여부를 식별하기 위한 절차와 위험의 변화 여부가 위험평가 과정에 반영되도록 하는 절차도 프로세스에 포함돼야 한다. 시스템 변경 또는 사이버보안 위협이 변경될 경우 상황에 맞게 업데이트를 철저하게 할 필요도 있다.

일곱 번째는 ‘사이버 공격, 위협, 취약점에 대한 모니터링, 탐지 및 대응을 위한 프로세스’, 여덟 번째로는 ‘새로운 사이버위협 및 취약점이 발생할 경우 그에 대한 기존 보안조치의 유효성을 평가하기 위한 프로세스’가 있다. 각각의 프로세스는 자동차의 다양한 위협에 시기적절하게 대응할 수 있는 보안조치가 실시간 모니터링을 통해 발견된 새로운 사이버위협 및 취약점에도 여전히 효과적인지를 평가하는 프로세스다. 이 단계에서는 △생산 후 단계의 자동차에 대한 사이버보안 모니터링 활동 △제조사 시스템·자동차 관련 수집된 정보와 사이버보안 연관성의 평가 활동 △관련 정보의 위험 판단·평가활동 △자동차 사고 대응절차 등이 포함된다.

마지막으로 아홉 번째는 ‘자동차에 대한 사이버 공격이나 공격 시도 등의 위협이 있는 경우, 그에 대한 분석을 지원하기 위한 데이터 제공에 사용되는 프로세스’다. 이 프로세서에서는 △보안사고 등이 발생한 경우 전담 대응팀 활성화 및 대응절차 등에 대한 매뉴얼 △사고 및 취약점에 대한 정보 획득을 위해 현장을 모니터링하는 절차 △취약점 발견 시 대응절차 등에 대한 매뉴얼 등을 포함하고 있다.
[김영명 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>