🚗 1강. 자동차 사이버보안, 왜 중요한가요?

안녕하세요! 사이버보안 세상에 첫발을 내딛는 여러분, 반갑습니다. 🎉
오늘은 "자동차 사이버보안, 왜 중요한가요?" 라는 질문에 대해
아주 현실적이고… 약간은 무서울 수도(?) 있는 이야기로 시작해보려 합니다.

자, 시동 걸고 출발해볼까요? 🏎️💨


🧨 현실이 된 영화 같은 이야기

🔥 2015년 Jeep Cherokee 해킹 사건

한때 전 세계 자동차 업계를 깜짝 놀라게 한 사건이 있었습니다.
바로 “달리는 자동차의 엔진을 꺼버린” 해킹 사례, 기억하시나요?

  • 해커 두 명이 무선으로 Jeep Cherokee에 접근해,
    라디오 볼륨 조작 → 에어컨 제어 → 와이퍼 작동 → 속도 제한 → 엔진 종료!
    무려 고속도로에서 실험되었죠.
  • 이 사건으로 인해 140만 대 이상의 차량이 리콜되었습니다.

🙋‍♂️ "이거 영화 아니고 실제임?"

네, 진짜입니다. 그리고 이 사건은 사이버보안이 '선택'이 아닌
필수 안전요소라는 사실을 산업 전반에 각인시켰습니다.


⚡ Tesla Model S 해킹 (2016~2020 다수 사례)

자율주행의 선두주자 Tesla도 예외는 아니었죠.

  • 연구팀은 Model S의 브레이크를 원격으로 작동시켰고,
  • Wi-Fi 모듈을 통해 차량 전체 시스템에 접근,
  • OTA 업데이트 방식의 보안 취약점을 악용한 사례도 다수 보고되었습니다.

Tesla는 빠르게 패치를 배포했지만, “패치가 되기 전까지의 리스크”는 늘 존재합니다.


🚗 자동차, 더 이상 '기계'가 아니다!

예전엔 자동차는 기계+엔진+기름이면 충분했죠.
하지만 지금은?

  • 100개 이상의 ECU, 수백만 줄의 코드
  • V2X, OTA, 클라우드 연결
  • 자율주행, ADAS, IVI 등 복잡한 전자 시스템

즉, 자동차는 움직이는 스마트 디바이스입니다.
그리고 스마트 디바이스는 언제나 사이버 위협에 노출될 수밖에 없습니다.


🚨 자동차 산업에서의 위협 변화

예전 지금
기계적 고장 소프트웨어 취약점
엔진 오작동 ECU 해킹
브레이크 마모 원격 브레이크 조작
리콜 → 부품 교체 리콜 → 보안 패치 필요

사이버보안은 이제 자동차 품질의 핵심입니다.
“달리는 자동차”에서 “연결된 자동차”로 패러다임이 바뀌면서
해킹은 현실이 되었고, 보안 설계는 생명과 직결되는 기술이 되었습니다.


🔐 개발자에게 필요한 보안 마인드

여러분이 만드는 코드 한 줄, ECU 하나의 설정,
모듈 하나의 인터페이스에도 보안 사고의 출발점이 숨어 있을 수 있어요.

"보안은 보안팀이 알아서 하는 거 아닌가요?"
아닙니다! 이제는 개발자가 첫 번째 보안 책임자입니다. 👩‍💻👨‍💻


🏁 오늘의 정리

  • 자동차 사이버보안은 안전 그 자체입니다.
  • Jeep, Tesla 등 실사례는 사이버보안의 실체를 보여줍니다.
  • 보안은 개발 전 과정에서 처음부터 설계되어야 합니다.
  • 여러분의 코드가 차량 전체의 안전을 책임질 수 있다는 마음으로 접근해야 합니다.

⏭️ 다음 강의 예고

🔄 2강. 기능안전과 사이버보안, 무엇이 다를까?

기능안전(ISO 26262)과 사이버보안(ISO/SAE 21434)은
비슷한 듯 다른 친구들인데요,
"뭐가 어떻게 다르고, 어떻게 연결되나요?" 궁금하셨죠?
다음 시간에 확실히 정리해드립니다. 기대해주세요!


지금까지 함께 달려주셔서 감사합니다.
오늘도 안전한 코드, 안전한 개발, 그리고… 안전한 출근길 되세요! 😉

ISO/PAS 5112의 범위/관련 참조/감사 원칙

IOS/PAS 5112에서 지원하는 지침

  • 사이버 보안 관리 시스템(CSMS)에 대한 감사 프로그램 관리
  • 조직의 CSMS 감사 수행
  • CSMS 감사자의 역량
  • CSMS 감사 중 증거(Evidence) 제공

ISO/PAS 5112의 한계

  • 사이버보안 평가(Assessment) 에 대한 지침은 제공하지 않는다.

ISO/PAS 5112의 관련 참조

  • ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering
  • ISO 19011:2018, Guidelines for auditing management systems

ISO/PAS 5112 감사 원칙

  • ISO 19011:2018의 감사 원칙을 적용한다.
    • 성실성(Integrity)
    • 공정한 보고(Fair presentation)
    • 전문가적 주의 의무(Due professional care)
    • 기밀유지(Confidentiality)
    • 독립성(Independence)
    • 증거기반 접근방법(Evidence-based approach)
    • 리스크 기반 접근법(Riks-based approach)
  • 가이드라인은 ISO/SAE 21434에서 정의하는 조직 사이버 보안 감사를 대상으로 한다.
  • 제품 수준 주제는 범위에 포함되지 않는다.
    제품과 관련해서는 ISO/SAE 21434에 기반한 사이버 보안 평가를 통해 판단한다.

ISO/PAS 5112

ISO/PAS 5112는 ISO/SAE 21434(도로차량-사이버보안 엔지니어링)과 관련된 감사 표준이다.
ISO19011 지침을 자동차 영역으로 확장한다.

사이버보안 감사는 조직 차원의 사이버보안 활동을 대상으로 한다.

ISO/PAS 5112의 주요 내용

  • 감사 프로그램의 관리 지침
  • 관리 시스템 감사의 계획 및 수행 지침
  • 감사 팀의 역량 및 평가에 대한 지침

ISO/PAS 5112의 활용

  • 내부 감사(1차 당사자)
  • 조직이 외부 당사자를 대상으로 실시하는 감사(2차 당사자)
  • 제3자가 실시하는 외부 감사(예: 인증 목적)
  • 심사원 교육

CSMS(Automotive Cybersecurity Management System)

차량 관련 사이버 보안 이슈들이 증가함에 따라 OEM과 공급업체(소프트웨어 업체 포함)에서 사이버 보안 관련 법규와 규정을 준수하는 것에 대한 요구가 중요해졌다.

UNECE WP.29 R155 의 도입으로 차량 형식 승인에서 CSMS 인증이 의무화되고 있다.

 

한국은 자동차 자기인증 제도를 적용하고 있어서 형식 승인 기반의 UNECE R155를 채택하지 않는다.

출처: 자동차 안전기준 종합정보 시스템( 자동차안전기준 종합정보시스템 (katri.or.kr))

 

CSMS 평가OEM 의 사이버보안 프레임 워크에 대한 감사활동을 의미한다.
제품의 사이버 보안조직 환경을 포함한다.

2022. 07 : 신차 대상 차량 형식 승인 신청 시 CSMS 인증 제시  
2024. 07 : 기존 차량까지 CSMS 인증 확대 적용  

사이버보안 관련 규정 및 표준

  • UN
    Regulation R155
    Regulation R156
  • ISO
    ISO 21434 Cybersecurity
    ISO 24088 Software updates
    ISO/PAS 5112 CSMS Audit
  • VDA QMC
    Automotive SPICE for Cybersecurity
    ACSMS Audit
  • Local Law
    KR: 국토교통부 << 차량보안 가이드라인 >>
    NA: NHTSA << Cybersecurity Guidelines >>
    EU: Cybersecurity Act
    China: Cybersecurity Law

OEM (준거: UNECE R.155)

  • CSMS 인증 획득 및 유지(3년 단위 갱신)
  • Tier 1, Tier 2 의 CSMS 역량 관리

Tier1 (준거: ISO/SAE 21434)

  • 사이버보안 조직 구성 및 활동
    • 거버넌스 조직 구성과 R&R 검토 및 실행
  • 사이버보안 정책 및 프로세스 개발
    • ISO/SAE 21434 에 맞는 사이버보안 관리 활동을 실행하기 위한 정책 및 프로세스 개발 필요

+ Recent posts