자동차 사이버보안 조치시 고려사항과 시험평가 항목 살펴보니
사이버보안 인증방식, 제도 시급성 고려 자기인증 방식 도입이 효과적

[보안뉴스 김영명 기자] 자동차 제조사는 자동차 사이버보안 관련 중요 요소의 식별과 위험관리를 수행해 식별될 위험을 적절히 처리하고 관리할 필요가 있으며, 이를 위해 다음 세 가지를 고려해야 한다.


[이미지=utoimage]

첫 번째는 위험평가와 위험관리를 총체적으로 시행해야 한다. 이때 자동차 내외부 시스템 간 인터페이스, 위험평가 시 잠재적 위협, 공급망 존재 위협 등을 충분히 고려하는 것이 중요하다.

두 번째는 수용 및 허용 가능한 위험수준과 위험심각도를 정의해 위험을 관리해야 한다. 위험평가를 통해 시정된 위험과 완화조치 이후 잔존한 위험 등에 대해 별도의 보안조치가 필요한지를 결정할 수 있도록 판단기준을 사전에 설정하는 것이 중요하다. 위험평가 시에는 위험관리가 효율적으로 이뤄지도록 위험의 심각도를 정의하고, 심각도에 따른 위험의 우선순위를 정할 수 있어야 한다.

세 번째는 위험평가 결과를 사이버 공격 방법의 진화 방향에 따라 변화되는 위험을 신속하고 정확하게 파악하며, 이에 대응하기 위해 위험평가 결과를 포함한 최신 정보를 꾸준히 업데이트하는 게 필요하다. 특히, 자동차의 사이버보안에 영향을 미치는 위협 발생 시 즉각적으로 이에 대한 위험평가를 수행할 수 있도록 대비하는 것도 고려할 필요가 있다.

자동차 사이버보안 조치시 고려사항 4가지
자동차 제조사는 자동차에 대한 사이버 공격과 위협, 취약점 등에 대해 △탐지 및 예방 △모니터링 및 원인분석 등의 보안조치를 취할 수 있어야 하며, 다음 네 가지를 고려해야 한다.

첫 번째는 자동차의 중요 장치가 식별된 위험으로부터 보호될 수 있도록 적합한 보안조치들을 마련해야 하며, 제조사는 위험평가 및 위험관리와 연계해 보안이 내재화되도록 제조 과정에서 준비해야 한다.

두 번째로, 이미 탐지된 사이버위협과 취약점에 대해서는 가능한 한 최단 시간 내 적합한 조치를 취해 더 큰 사고가 일어나지 않도록 해야 한다.

세 번째는 자동차에서 애프터마켓 소프트웨어, 서비스, 응용 프로그램, 데이터 등을 안전하게 저장·실행할 수 있도록 보안성을 갖춘 전용 환경을 마련하는 것이 필요하다. 이때 전용 환경이란, 외부에서 제공되는 소프트웨어, 서비스, 응용 프로그램 등을 자동차에서 이용하기 위해 구축하는 환경을 의미한다. 전용 환경을 조성할 때는 자동차 외부에 위치한 서버나 클라우드 서비스 등과 상호작용하는 경우 이들로부터 발생하는 차량에 대한 사이버 위험을 고려하는 것이다.

네 번째는 적합한 암호 모듈을 사용하고, 이는 충분한 보안 강도를 가진 암호 표준을 따라야 한다. 만약 제조사가 국제표준 등에 부합하지 않은 암호 모듈을 사용한다면, 이것을 사용하는 정당한 근거를 제시해야 한다. 암호모듈이란 작업을 처리하는 하드웨어와 소프트웨어, 펌웨어를 일컫는 것으로 차량 내외부에서 전송되는 데이터의 암호화 등에 사용되며 △FIPS(Federal Information Processing Standard : 연방정보처리표준인증) △FMVSS(Federal Motor Vehicle Safety Standards : 미연방자동차안전기준) 등 여러 국제·국가 표준이 존재한다.


▲자동차 사이버보안 법제화 방향[자료=국토교통부]

자동차 사이버보안, 객관적이고 충분한 시험평가 수행 필요
자동차 제조사는 보안조치가 적절한 수준으로 설계되고 구현됐는지를 확인하기 위해 객관적이고 충분한 시험평가를 수행할 수 있어야 한다.

시험평가 내용으로는 △시험 대상과 근거(시험의 성공 기준) △평가 방법론과 근거(시험평가의 범위 등) △시험 수행주체(사내, 공급업체 또는 외부 평가기관 등) △시험 근거(자격 및 경력에 관한 모든 관련 정보) △합격·불합격 기준과 시험 결과 등을 포함할 수 있다.

사이버보안 기록관리는 기록·보존과 변경이력 등을 관리해야 한다. 향후 자동차보안전담기관이 자동차 제조사에 관련 자료를 요청하는 경우 충분한 협조를 통해 보안상 문제점은 없는지, 보완해야 할 사항은 무엇인지 확인하며 관리해 나가는 것이 필요하다.

자동차 제조사는 첫 번째로 △자동차 사이버보안 관리체계 관련 정보 △자동차의 사이버보안과 관련된 자동차의 시스템·장치·아키텍처, 자동차 시스템과 차량 시스템과의 인터페이스 등 각 항목에 대한 구성 정보 △자동차의 위험평가 정보 △자동차에 구현한 보안조치와 위험관리 정보 △자동차의 사이버보안 관련 시험평가 정보 △부품 또는 장치, 서비스 등 공급망에서의 사이버보안에 관한 고려사항 △사이버보안 관련한 사건·사고 기록과 분석 정보 △그밖에 자동차 사이버보안을 위해 조치한 내역 등을 기록하고 일정 기간 보존해야 한다.

두 번째로 자동차 제조사는 라이프사이클 기간의 기록을 보존하는 것이 중요하다. 사이버보안 관리가 자동차의 라이프사이클에 걸쳐 이뤄지는 것을 생각하고, 관련 기록도 라이프사이클 기간만큼 보존될 필요가 있다. 해당 자동차 모델의 생산이 완전히 중단된 날로부터 최소 10년 이상 장기로 보존할 것을 권장하며, 기록 폐기 시에는 적절한 후속조치를 취하는 것이 중요하다.

자동차의 평균 수명주기는 자동차 생산기법의 향상으로 점점 증가하는 추세다. 국내에 15년 이상 고령차의 비율(2020년 9월 기준)은 승용차 11.5%, 화물차 21.6%로 높은 편이다. 국제기준(UNR)에서도 자동차 형식의 생산이 완전히 중단된 날로부터 최소 10년간의 기록 보존을 요구하고 있다.


▲UNR 제도를 기반으로 한 2가지 자동차 사이버보안 인증방식 비교[자료=국토교통부]

자동차 사이버보안 강화, 자기인증 방식 도입이 효율적
자동차 사이버보안 강화를 위해서는 ‘자동차관리법’(법률 제18949호)과 ‘자동차 및 자동차부품의 성능과 기준에 관한 규칙’(국토교통부령 제906호) 등 하위법령 개정이 우선으로 수반될 필요성이 있다.

특히, 아직 법제화가 되지 않은 사이버보안 인증방식을 결정하는 것이 중요한데, 사이버보안의 기술적 특성 및 현행 UNR의 제도기반을 고려해 자기인증 방식과 형식승인 방식 등 2가지 방향 중 하나를 결정하는 것이 필요하다. 현재 사이버보안 제도 도입의 시급성을 생각하면, 제도의 정합성을 위해 자기인증 방식을 유지하는 것이 타당할 것으로 판단된다.

자동차보안 법제화를 추진하면, 법률상에는 △자동차 사이버보안의 정의 △자동차 형식에 대한 사이버보안 자기인증 △자동차 사이버보안관리체계에 대한 자기인증 △자동차 사이버보안 관련 보고의무 △기타 등의 필수로 들어가야 한다.

먼저 정의 규정에서는 자동차관리법 개정을 통해 ‘사이버보안’과 ‘사이버보안관리체계’ 등 각각의 정의를 추가해야 한다.

두 번째로 ‘자동차 형식에 대한 사이버보안 자기인증’ 반영을 위해서는 자동차관리법 시행령 개정으로 ‘자동차 및 자동차부품의 성능과 기준에 관한 규칙’의 적용대상에 ‘사이버보안을 위한 장치’를 추가하고, 자동차안전기준 국토교통부령에서는 ‘자동차 및 자동차부품의 성능과 기준에 관한 규칙’에 상세 준수사항을 넣을 필요가 있다.

세 번째로 ‘자동차 사이버보안관리체계에 대한 자기인증’ 반영에는 자동차관리법의 개정으로 △제조사의 CSMS 운영 의무 △CSMS 자기인증 의무 △CSMS 관련 상세 부령 위임 규정을 추가할 수 있다. 자동차관리법 시행규칙은 ‘CSMS에 대한 자기인증제도 운영 상세사항’을 추가하고, 국토교통부령에 ‘자동차 사이버보안 관리체계의 운영 규칙(가칭)’을 신설해야 한다.

네 번째로 ‘자동차 사이버보안 관련 보고의무’의 반영을 위해 자동차관리법에서 ‘자동차 형식 중 사이버보안 관련사항 보고의무’와 ‘CSMS 관련사항 보고의무’를 추가하고, 국토교통부령에서 ‘자동차 사이버보안 관리체계의 운영에 관한 규칙(가칭)’ 신설과 함께 준수사항을 상세하게 설명하는 것이 중요하다.

이밖에도 자동차관리법에서 앞서 제시한 법제화 안건들이 적용됐을 경우, ‘자동차 사이버보안’과 관련한 사항에는 자동차관리법이 우선 적용됨을 규정, 명시해야 할 필요가 있다.
[김영명 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>