(ISO/PAS 5112 실무 2강) 사이버보안 관련 프로세스 관리

🚗 2강: 사이버보안 관련 프로세스 관리

안녕하세요!

오늘도 ISO/PAS 5112 Questionary를 가지고 두 번째 이야기를 나눠볼게요.
한 단계 더 나아가서 그 정책이 실제로 잘 굴러가고 있는가에 대한 주제입니다.
정책만 화려하고, 실제 프로세스는 관리되지 않으면 "보안은 PPT에만 존재"하는 상황이 되거든요. 😅

---

 

📖 ISO/SAE 21434 Objectives 연결

ISO/SAE 21434 에서는 여러 목표를 제시합니다:

• 보안 활동 수행에 필요한 책임과 권한 부여
• 보안 프로세스와 연관 프로세스 간 상호작용 관리
• 사이버보안 리스크 관리 수행
• 보안 정보 공유 기준 수립 및 관리
• 보안 지원을 위한 관리 시스템(QMS/CSMS) 유지
• 사용하는 툴이 보안을 해치지 않음을 보장
• 조직 차원의 사이버보안 감사 수행

즉, 프로세스가 문서로만 끝나지 않고 조직 차원에서 돌아가는지를 보는 항목입니다.

---

🔍 감사인(Auditor)의 체크 포인트

심사원은 이런 걸 확인합니다:

1. 자원 투입
   • 보안이 사람·시간·예산 배분을 실제로 받고 있는가?
   • “보안은 우리 인턴이 알아서…” → ❌
   • “전담 인력 + 예산 라인 확보” → ✅
2. 책임과 권한 명확화
   • 개발, 검증, 운영 단계별 책임자가 정해져 있는가?
   • "누가 TARA(위협분석)를 승인하는가?" 같은 포인트
3. 리스크 관리 체계
   • 사이버보안 위험을 식별 → 평가 → 대응 → 추적까지 닫히는 프로세스가 있는가?
4. 보안 정보 공유 기준
   • 어떤 상황에서 내부 공유, 외부(예: OEM ↔ Tier1 ↔ Tier2) 공유가 가능한지 정의되어 있는가?
   • “침해사고 발생 시 24시간 내 OEM 보고” 같은 규칙
5. 품질/보안 관리 시스템(QMS/CSMS)
   • ISO 9001, IATF 16949 같은 품질 시스템과 연동되어 있는가?
   • 별도 보안 관리 체계가 운영되는가?
6. 툴 관리
   • 컴파일러, 정적분석툴, 빌드 서버 등 보안에 영향 줄 수 있는 툴이 관리되는가?
   • 버전, 설정, 검증 절차까지 체크
7. 조직 보안 감사
   • 내부 또는 외부 감사를 통해 보안 프로세스가 주기적으로 점검되고 있는가?

---

📝 증적(Evidence) 예시

• 사이버보안 정책 / 규정 / 프로세스
• 조직 관리 시스템의 증적 자료
• 도구 관리의 증적 자료
• 조직의 사이버보안 감사 결과

👉 즉, 문서 + 실제 운영 기록(감사 결과, 툴 관리 로그 등)이 모두 있어야 합니다.

---

🏭 OEM / Tier1 / Tier2 관점의 대응 방안

✅ OEM (완성차 업체)

• 보안 프로세스 총괄 관리자 역할
• 사이버보안 관리 시스템(CSMS)을 전사적으로 운영
• 공급망(Tier1, Tier2)까지 포함한 리스크 관리/정보 공유 체계 구축
• 정기적인 조직 단위 보안 감사 수행

👉 OEM은 “탑다운(Top-down)” 방식으로 공급망 전체를 리드해야 합니다.

---

✅ Tier1 (시스템/모듈 공급사)

• OEM 요구사항을 내부 프로세스로 전환
• 사이버보안 활동(예: TARA, 보안 테스트)을 개발 프로세스에 내재화
• 보안 담당자에게 명확한 권한과 리소스 부여
• 사용 툴(컴파일러, 분석툴, 시뮬레이터)에 대한 보안 영향 검증 필수
• OEM과 정기적으로 보안 상태 공유

👉 Tier1은 OEM과 실행 레벨에서 보안을 연결하는 가교 역할을 합니다.

---

✅ Tier2 (부품/칩/소프트웨어 공급사)

• 자원이 적은 경우 경량화된 보안 관리 프로세스 운영
• Secure Coding Rule, 취약점 점검, 툴 검증 등 기술 중심 활동에 집중
• OEM/Tier1이 요구하는 증적을 즉시 제공 가능하도록 체계 유지
• 보안 정보 공유는 계약 기반 범위 내에서 최소화

👉 Tier2는 “경량이지만 확실한 보안 관리”가 핵심입니다.

---

💡 실무 꿀팁

• 프로세스 관리의 핵심은 문서화 + 운영 증거 두 가지가 같이 있어야 한다는 점!
• OEM은 공급망 리스크 관리, Tier1은 실무 프로세스화, Tier2는 기술적 품질 보장에 집중하세요.
• 감사 대비 시, “정책이 어떻게 실행되고 있는지 보여줄 수 있는 로그/기록”을 꼭 챙겨야 합니다.

---

🚀 오늘의 정리

Q1.2는 "보안 프로세스가 문서로만 있는지, 아니면 실제로 조직이 굴리고 있는지"를 확인하는 질문입니다.

• 책임과 권한 부여
• 리스크 관리
• 정보 공유 체계
• QMS/CSMS 운영
• 툴 관리
• 내부 보안 감사

이 요소들이 증적과 함께 관리되고 있어야만 심사원이 Pass!를 줄 수 있습니다.

---

👉 다음 회차에서는 “조직 내 사이버보안 문화”를 다뤄보겠습니다.