ISO/PAS 5112의 범위/관련 참조/감사 원칙

IOS/PAS 5112에서 지원하는 지침

• 사이버 보안 관리 시스템(CSMS)에 대한 감사 프로그램 관리
• 조직의 CSMS 감사 수행
• CSMS 감사자의 역량
• CSMS 감사 중 증거(Evidence) 제공

ISO/PAS 5112의 한계

• 사이버보안 평가(Assessment) 에 대한 지침은 제공하지 않는다.

ISO/PAS 5112의 관련 참조

• ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering
• ISO 19011:2018, Guidelines for auditing management systems

ISO/PAS 5112 감사 원칙

• ISO 19011:2018의 감사 원칙을 적용한다.
  • 성실성(Integrity)
  • 공정한 보고(Fair presentation)
  • 전문가적 주의 의무(Due professional care)
  • 기밀유지(Confidentiality)
  • 독립성(Independence)
  • 증거기반 접근방법(Evidence-based approach)
  • 리스크 기반 접근법(Riks-based approach)
• 가이드라인은 ISO/SAE 21434에서 정의하는 조직 사이버 보안 감사를 대상으로 한다.
• 제품 수준 주제는 범위에 포함되지 않는다.
  제품과 관련해서는 ISO/SAE 21434에 기반한 사이버 보안 평가를 통해 판단한다.

ISO/PAS 5112

ISO/PAS 5112는 ISO/SAE 21434(도로차량-사이버보안 엔지니어링)과 관련된 감사 표준이다.
ISO19011 지침을 자동차 영역으로 확장한다.

사이버보안 감사는 조직 차원의 사이버보안 활동을 대상으로 한다.

ISO/PAS 5112의 주요 내용

• 감사 프로그램의 관리 지침
• 관리 시스템 감사의 계획 및 수행 지침
• 감사 팀의 역량 및 평가에 대한 지침

ISO/PAS 5112의 활용

• 내부 감사(1차 당사자)
• 조직이 외부 당사자를 대상으로 실시하는 감사(2차 당사자)
• 제3자가 실시하는 외부 감사(예: 인증 목적)
• 심사원 교육

CSMS(Automotive Cybersecurity Management System)

차량 관련 사이버 보안 이슈들이 증가함에 따라 OEM과 공급업체(소프트웨어 업체 포함)에서 사이버 보안 관련 법규와 규정을 준수하는 것에 대한 요구가 중요해졌다.

UNECE WP.29 R155 의 도입으로 차량 형식 승인에서 CSMS 인증이 의무화되고 있다.

한국은 자동차 자기인증 제도를 적용하고 있어서 형식 승인 기반의 UNECE R155를 채택하지 않는다.

CSMS 평가는 OEM 의 사이버보안 프레임 워크에 대한 감사활동을 의미한다.
→ 제품의 사이버 보안과 조직 환경을 포함한다.

2022. 07 : 신차 대상 차량 형식 승인 신청 시 CSMS 인증 제시  
2024. 07 : 기존 차량까지 CSMS 인증 확대 적용  

사이버보안 관련 규정 및 표준

• UN
  Regulation R155
  Regulation R156
• ISO
  ISO 21434 Cybersecurity
  ISO 24088 Software updates
  ISO/PAS 5112 CSMS Audit
• VDA QMC
  Automotive SPICE for Cybersecurity
  ACSMS Audit
• Local Law
  KR: 국토교통부 << 차량보안 가이드라인 >>
  NA: NHTSA << Cybersecurity Guidelines >>
  EU: Cybersecurity Act
  China: Cybersecurity Law

OEM (준거: UNECE R.155)

• CSMS 인증 획득 및 유지(3년 단위 갱신)
• Tier 1, Tier 2 의 CSMS 역량 관리

Tier1 (준거: ISO/SAE 21434)

• 사이버보안 조직 구성 및 활동
  • 거버넌스 조직 구성과 R&R 검토 및 실행
• 사이버보안 정책 및 프로세스 개발
  • ISO/SAE 21434 에 맞는 사이버보안 관리 활동을 실행하기 위한 정책 및 프로세스 개발 필요