[ISO/SAE 21434 8강(실무)] 보안 인시던트 대응과 복구 프로세스🔐

---

Title: ISO/SAE 21434 중급 강좌 8강 – 보안 인시던트 대응과 복구 프로세스
Description: ISO/SAE 21434 기반 보안 인시던트 대응 체계 구축 방법을 탐지, 분석, 완화, 회복 단계별로 실무 중심으로 설명합니다.
Keywords: ISO/SAE 21434, 보안 인시던트 대응, 차량 사이버보안, OTA 보안, CSMS, 자동차 보안

---

🚗 ISO/SAE 21434 중급 강좌 8강: 보안 인시던트 대응과 복구 프로세스 🔐

차량 사이버보안은 개발 단계에서 끝나지 않습니다.
양산 이후에도 취약점과 공격은 지속적으로 발생합니다.

따라서 ISO/SAE 21434는 운영 단계 보안 대응 체계(CSMS)를 필수로 요구합니다.
이번 강의에서는 실무에서 바로 적용 가능한 탐지–분석–완화–회복 체계를 중심으로 설명합니다.

---

1. 보안 인시던트 대응 전체 흐름 🔍

보안 인시던트 대응은 다음 4단계로 구성됩니다.

• 탐지(Detect)
• 분석(Analyze)
• 완화(Contain/Mitigate)
• 회복(Recover)

👉 핵심은 단순 대응이 아니라 폐루프(Closed-loop) 개선 구조입니다.

      ISO/SAE 21434에서는 이러한 활동을 지속적으로 수행하고,
      재발 방지를 위한 학습까지 포함할 것을 요구합니다.

---

2. 탐지 및 분석 전략 🛠️

탐지 단계에서는 다양한 데이터 소스를 통합해야 합니다.

• 차량 로그 (ECU, Gateway)
• 백엔드 서버 로그
• 고객 불만 및 서비스 데이터
• SOC(Security Operation Center) 알림

단순 이벤트와 보안 사고를 구분하는 것이 핵심입니다.

분석 단계에서는 다음을 반드시 확인해야 합니다.

• 영향 자산 (ECU, 기능)
• 공격 경로 (네트워크, 물리 접근)
• 안전 영향 여부 (ISO 26262 연계)
• 확산 가능성

👉 실무 팁:
      기존 TARA 결과를 재활용하면 분석 속도와 정확도가 크게 향상됩니다.

---

3. 완화 및 회복 전략 ⚠️

완화 단계에서는 빠른 리스크 감소가 목표입니다.

• 기능 제한 (Fail-safe)
• 네트워크 차단
• 인증 정보 변경
• 임시 패치 적용

회복 단계에서는 근본적인 해결이 필요합니다.

• OTA 기반 영구 패치
• 서비스 캠페인 수행
• 재발 방지 대책 수립
• 모니터링 룰 업데이트

👉 중요한 점은
      “완화 ≠ 해결”이며, 반드시 회복 단계까지 이어져야 합니다.

---

4. 역할 및 커뮤니케이션 구조 📢

인시던트 대응 실패의 대부분은 기술이 아니라
역할 정의 부족에서 발생합니다.

필수 참여 조직은 다음과 같습니다.

• CSMS 책임자
• 제품 보안 엔지니어
• SW/시스템 개발팀
• 품질 및 법무
• 고객 대응 조직

RASIC 기반으로 역할을 명확히 정의해야 합니다.

보고 체계는 3단계로 나누는 것이 효과적입니다.

1. 운영 보고: 실시간 상황 공유
2. 관리 보고: 사업 영향 및 리스크
3. 공식 보고: 고객사 및 규제 대응

👉 핵심 원칙:
       빠르게 공유하되, 검증되지 않은 정보는 전달하지 않습니다.

---

5. 실습 – 인시던트 대응 체크리스트 🧑‍💻

📌 실습 주제

차량 ECU 보안 인시던트 대응 프로세스 점검

✔️ 체크리스트

• 탐지 트리거 정의 (로그, SOC, 고객 데이터)
• 24시간 내 초기 분석 수행
• 심각도 분류 기준 적용
• OEM/협력사 보고 프로세스 확인
• 임시 완화 조치 승인 체계 존재
• OTA 기반 복구 전략 정의
• 재발 방지 리뷰 수행

👉 ASPICE 관점에서는
      문제 해결 관리 + 변경 관리 + 검증 활동과 연계해야 합니다.

---

6. OEM / Tier1 / Tier2 관점 정리 📊

• OEM
  • 전체 CSMS 및 인시던트 정책 수립
  • 규제 대응 및 고객 커뮤니케이션 주도
• Tier1
  • ECU 단위 분석 및 패치 수행
  • OTA 대응 및 기술 검증
• Tier2
  • 반도체/소프트웨어 취약점 제공
  • 기술적 원인 분석 지원

👉 핵심 구조:
     OEM = 전략 / Tier1 = 실행 / Tier2 = 기술 지원

---

핵심 정리 📝

• 인시던트 대응은 탐지–분석–완화–회복 4단계로 구성된다.
• 단순 대응이 아닌 폐루프 기반 학습 구조가 중요하다.
• 역할 정의와 커뮤니케이션 체계가 성공의 핵심이다.
• OTA 기반 회복 전략은 필수 요소이다.
• ISO/SAE 21434는 운영 단계까지 포함한 보안 활동을 요구한다.

---

👉 다음 강의 예고
ISO/SAE 21434 중급 강좌 9강 – 보안 감사 및 평가 대응 전략 📋

---

📚 참고자료

• ISO/SAE 21434:2021 (Clause 7, 8, 22)
• ISO/PAS 5112:2022 (Supplier Capability Guide)