국내 법규에 대한 이해와 대응을 위한 법 제정자와 인증 심사자 인터뷰

[보안뉴스 원병철 기자] 국내 자동차 사이버보안 법규가 시행됐다. 신규 등록 차종은 2025년 8월부터, 기존 양산 등록 차종(양산차)은 2027년 8월부터 법을 준수해야만 차량 판매가 가능하다. 따라서 업계는 ‘국내 법규를 어떻게 이해하고, 어떻게 대응할 것인가’라는 과제에 직면했다. 이 문제를 해결하기 위해 법 제정자와 인증 심사자, 두 축의 관점을 담은 ‘자동차 사이버보안 법규 대응 가이드 시리즈’를 기획했다. 이 시리즈는 규제 대응을 준비하는 기업에 전략적인 방향성을 제시할 것이다.


▲안정식 페스카로 전문기술위원(좌), 최광묵 페스카로 전문기술위원[자료: 페스카로]

자동차 사이버보안 법규는 문서로 이해하는 규제가 아니라 ‘현장에서 통과해야 하는 기준’이다. 특히 국내 자동차관리법령(이하 자관법)에 기반한 사이버보안 제도는 유럽 법규보다 평가 항목이 세분되어 있다. 자관법 대응의 성패는 심사 기준을 얼마나 정확히 이해하고, 이를 실무적으로 구현했는가에 달려있다.

자동차안전연구원(이하 KATRI)은 국내 차량 제작사 및 수입사의 사이버보안 적합성 여부를 심사하는 공식 기관이다. 심사 업무에는 사이버보안 전문기업 페스카로(FESCARO)의 전문기술위원도 참여하고 있다. 글로벌 차량 제작사의 유럽 사이버보안 법규(UN R155, R156, VTA) 인증 획득 과정을 주도한 최광묵 기술위원과 자동차 사이버보안 엔지니어링 국제표준(ISO/SAE 21434), 정보보호 경영시스템 국제표준(ISO/IEC 27001) 및 국내 ISMS-P 인증 심사원 자격을 보유한 안정식 기술위원이 이번 인터뷰의 주인공이다. 두 전문가의 시선으로, 차량 제작사가 실제 심사 과정에서 마주하는 핵심 쟁점을 살펴본다.


▲자동차 사이버보안 관리체계(CSMS) 인증 심사 절차[자료: 페스카로]

Q. 국내 자동차 사이버보안 법규가 시행됐습니다. 차량 제작사는 법규 인증을 받아야만 차량 판매가 가능한데요. 인증 심사는 어떤 절차로 진행되는지 소개해 주세요
안정식 위원 우선 차량 제작사가 KATRI에 사이버보안 관리체계(이하 CSMS) 인증 심사를 요청해야 합니다. 이때 제작사는 12개의 기준으로 구성된 인증 체크리스트에 맞춰 제작사의 운영 현황을 상세히 기재하고, 이에 대한 증적자료를 제출해야 합니다.

자료가 접수되면 KATRI는 사전 검토를 통해 자료의 완성도와 적정성을 확인합니다. 이 과정에서 파일 누락, 증적 부족, 설명 미흡 등 보완 요청이 있을 수 있으며, 이 경우 제작사는 자료를 정비해 다시 제출해야 합니다. 사전 검토는 서류 심사로 넘어가기 위한 첫 관문인 만큼, 초기 단계에서 충분한 준비가 필요합니다.

사전 검토가 완료되면 서류 심사가 진행됩니다. 심사 기준은 적합, 조건부 적합, 경 부적합, 중 부적합, 보류로 구분합니다. 적합이 아닌 경우 추가 증적자료 보완을 거쳐 최대 3차까지 서류 심사가 반복됩니다. 서류 심사는 모든 세부 항목이 최소한 ‘조건부 적합’ 수준을 충족해야 현장 심사가 가능합니다.

현장 심사에서는 제출된 문서와 실제 운영 체계가 일치하는지, 보안 기능과 절차가 법규 취지에 부합하는지 등을 확인합니다. 미흡한 사항이 있으면 제작사는 이에 대한 ‘시정조치 계획서’를 제출해야 합니다. 이 모든 과정이 충족되면 최종적으로 ‘CSMS 인증서’가 발급됩니다.

최광묵 위원 전체 절차 중에서 가장 중요한 단계는 ‘사전 검토’입니다. 그동안은 KATRI가 제작사의 인증 일정을 고려해 자료 보완을 적극 지원하며 사전 검토를 반복적으로 진행했습니다. 그런데 이 방식은 심사 리소스의 편중과 전체 심사 일정 관리 측면에서 어려움이 있었습니다. 이에 따라 내년부터는 준비가 미흡한 제작사는 별도의 보완 절차 없이, 심사 순서를 후 순위로 조정할 가능성이 매우 높습니다. 사실상 사전 검토 단계의 완성도가 전체 심사 일정을 좌우하는 구조로 변화할 것입니다.


▲CSMS 인증 평가 항목[자료: 페스카로]

Q. 심사 과정에서 중점적으로 보는 항목은 무엇인가요
최광묵 위원 CSMS 인증은 크게 다섯 가지 영역으로 구성됩니다. 첫째는 거버넌스(정책·절차·조직)입니다. 사이버보안 책임과 의사결정 구조가 명확히 정의되어 있고, 관련 정책과 절차가 실제로 운영되는지 확인합니다. 둘째는 TARA(위협분석 및 위험 평가)입니다. 차량이 노출될 수 있는 위협과 위험을 식별·평가하고, 그 보안 목표가 설계·개발 과정에 반영되었는지 확인합니다. 특히 식별된 위험과 취약점이 문서 수준에 머무르지 않고, 실제 개발·운영 프로세스에서 관리되는지가 핵심입니다. 셋째는 사이버보안 시험으로 전략 및 절차가 체계적인지, 실제로 수행되고 있는지 확인합니다. 넷째는 차량 생산 및 생산 이후 단계에서 사이버보안 모니터링 및 사고 대응 절차가 수립 및 운영되는지 확인합니다. 위협 인텔리전스, 침입탐지시스템(IDS, Intrusion Detection System) 등을 통해 수집된 정보의 출처도 모두 포함되어야 합니다. 이는 체크리스트 12개 항목 중 8~11번에 해당하는 만큼 비중이 높은 항목입니다. 다섯째는 협력사 및 서비스 공급자에 대한 사이버보안 공급망 관리를 위한 절차를 확인합니다.

이 가운데 거버넌스와 공급망 관리는 대부분의 제작사가 이미 기본 체계를 갖추고 있어 미흡한 부분이 있더라도 시정조치로 충분히 보완 가능합니다. 반면 TARA, 사이버보안 시험, 모니터링 항목은 심사 과정에서 타협이 쉽지 않은 영역으로 KATRI에서도 면밀하게 평가하고 있습니다.

특히 사이버보안 시험은 제작사가 가장 어려워하는 영역이자, KATRI가 가장 엄격하게 평가하는 항목입니다. 사이버보안 시험은 크게 Verification과 Validation으로 구분합니다. Verification은 개발 단계에서 정의된 사이버보안 사양이 부품(컴포넌트)·시스템·차량 레벨에서 제대로 구현됐는지를 검증하는 시험입니다. Validation은 TARA를 통해 도출된 보안 목표가 차량에서 실제로 달성되었는지 확인하는 시험으로, 실차 기반 펜테스트(Penetration Testing) 등 실제 공격 시나리오를 통해 차량이 안전한지를 평가합니다. 이는 ‘자기인증 적합 조사’와 밀접하게 관련되어 있기 때문에 구체적인 시험케이스 수준까지 확인합니다.

Q. ‘자기인증 적합조사’에 대해 설명해 주세요
안정식 위원 사이버보안 인증은 크게 CSMS 인증과 VTA(차량 형식승인) 두 가지로 구분합니다. CSMS는 제작사의 사이버보안 조직 및 프로세스를, VTA는 실제 차량에 보안 대책이 제대로 적용됐는지를 검증합니다. 유럽이나 중국은 차량 판매 전에 두 인증을 모두 받아야 하는 ‘사전인증제도’를 적용합니다. 반면 국내는 제작사가 스스로 자동차 안전 기준 적합 여부를 인증한 뒤 차량을 판매하고, 정부가 이를 사후에 점검하는 ‘자기인증제도’가 원칙입니다. 다만, CSMS는 예외적으로 시전 승인 제도를 도입했고, VTA는 기존의 자기인증제도 방식을 유지합니다.

차량 제작사는 ‘자기인증 적합조사’에 대응하기 위해, 앞으로 제출될 사이버보안 시험에 대한 보고서 양식 등을 KATRI에 제출해야 합니다. 시험을 수행하는 것뿐 아니라 어떤 시험을 어떤 방식으로 수행했는지, 그 결과가 어떤 형식으로 기록됐는지가 명확하게 정리된 보고서 형식을 갖추어야 합니다. KATRI는 차량에 대한 사이버보안 리스크를 최소화하기 위해, CSMS 인증 심사 단계에서부터 시험 평가 항목을 세밀하게 확인합니다. 그리고 차량이 판매된 이후에는 제작사가 수행한 자기인증에 대해 ‘자기인증 적합조사’를 실시하고, 만약 적합하지 않을 경우 리콜 혹은 과징금을 부과합니다.

Q. 차량 제작사를 심사하면서, 사이버보안 규제 대응 준비가 잘 된 회사의 공통점은 뭐가 있을까요
최광묵 위원 자동차 사이버보안은 차량 전 수명주기에 걸쳐 관리해야 하고, 제작사 내부의 조직과 협력사들이 공동 대응해야 합니다. 따라서 처음부터 ‘어떤 전략’으로 접근하는지가 대단히 중요합니다. 사이버보안 업무를 표준에 맞춰서 정석적으로 진행하면 업무 부담이 과도해질 수 있기 때문입니다.

제가 심사에 참여한 글로벌 차량 제작사들은 공통으로 ‘일을 최소화하겠다’라는 목적하에 사이버보안 전략을 설계하고 있었습니다. 새로운 시스템을 무리하게 구축하기보다 기존의 개발·시험·품질 체계 위에 사이버보안 절차를 자연스럽게 통합해 업무 생산성 및 인증 대응 업무의 효율성을 강화합니다. 그래서 최소 인력으로도 유지되는 체계, 조직 전체가 감당할 수 있는 수준의 프로세스를 만드는 것이 핵심입니다.

예를 들어 사이버보안 규제는 국가별·차종별로 인증을 받아야 하지만, 사이버보안 아키텍처를 최대한 통일해서 인증 대응을 최소화하는 사례도 있었습니다. 최근 유럽, 한국뿐 아니라 중국, 인도까지 사이버보안 법규가 확대되고 있기 때문에 국가별 규제를 종합적으로 대응할 수 있는 체계를 갖추는 것도 중요해 보입니다.

Q. 심사 중 차량 제작사가 겪는 어려움은 어떤 것이 있고, 해결할 방법은 뭐가 있을까요
안정식 위원 현재 차량 제작사는 국내 자관법이 UN R155보다 준비할 것이 많다고 느끼지만, 자관법은 UN R155 및 해석서 범위 안에서 운영돼 새로운 업무가 추가된 것은 아닙니다. 다만, 평가 항목이 세분되어 각 항목의 요구사항을 정확히 해석하고, 그에 맞는 증적자료를 준비하는 데서 어려움이 발생합니다.

KATRI는 이를 위해 ‘자동차 사이버보안 및 소프트웨어 업데이트 가이드라인’을 준비하고 있습니다. 다만, 본 가이드라인만으로 업무 부담을 해소하기에는 한계가 있습니다. 사이버보안 전문성이 충분하지 않은 상태에서 모든 절차를 감당해야 하기 때문입니다. 특히 수입사의 경우 한국 법인의 담당자가 방대한 사이버보안 체계와 체크리스트를 단순 텍스트만으로 이해하는 데 어려움을 겪는 경우가 많습니다. 앞서 설명해 드렸듯 내년부터는 KATRI가 심사를 보다 엄격하고 압축적인 방식으로 운영할 예정이어서, 준비가 부족한 상태로 대응하면 전체 일정이 수개월 지연될 가능성도 있습니다. 이는 인증 일정뿐 아니라 차량 출시 계획 전반에 영향을 줄 수 있습니다.

결국 자관법 대응의 본질은 ‘일정과 리스크를 얼마나 통제할 수 있느냐’의 문제입니다. 자관법을 위해 준비해야 할 요구사항은 모두 동일하지만 이를 예측 가능한 일정 안에서 효율적으로 수행할 것인지, 아니면 준비 범위를 가늠하지 못한 채 대응할 것인지는 선택의 영역입니다. 차량 출시 계획이 중요한 기업이라면 초기 단계에서 사이버보안 전문기업과 협업하는 전략도 고려해 볼 수 있습니다.

[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>