페스카로는 구성원의 성장과 복지향상에 힘쓰고 있습니다. 빠르게 성장하고 있는 페스카로의 최고 자산은 구성원인 만큼 직원의 DAY / LIFE / SPECIAL DAY까지 모두 책임지고 케어합니다. 페스카로 입사 지원자들은 채용공고에 기재된 다양한 복지제도에 대해, "정말 이 많은 복지를 모두 지원해 주나요?"라고 질문하곤 합니다. 오늘은 이러한 페스카로의 다양한 복지 프로그램을 하나씩 소개해 드리겠습니다. PART1 : 직원의 DAY를 케어합니다 ⦁ 행복한 점심시간 연간 240만 원, 법인카드로 마음껏 긁자! 페스카로는 모두에게 개인형 법인카드를 지원하여​ 동료들과 회사 근처 맛집 도장 깨기에 도전하고 있습니다. 주변에 호수공원이 위치해 있어 날씨 좋은 날이면 김밥을 싸들고 피크닉도 할 수 있어요. 출처 = 페스카로 ⦁ 조식 운영 “조식 먹기 위해 일찍 출근해요” 인기 만점 페스카로 조식. 든든하게 드실 수 있는 주먹밥, 핫도그, 햄버거와 간편하게 드실 수 있는 시리얼, 베이커리, 계란 등이 준비되어 있습니다. 이외에도 다양한 맛의 우유, 두유, 과일 주스, 요거트 등 신선 제품 또한 상시 구비되어 있기에, 아침 거르지 말고 든든한 한 끼 식사 후 업무를 시작해 보아요! 출처 = 페스카로 ⦁ 스낵바 운영 관리본부가 직접 진행하는 큐레이팅 서비스, 스낵바. 업무에 너무 집중한 나머지, 실시간으로 당이 떨어지는 느낌이 들거나, 배에서 꼬르륵 소리가 울리는 경험.. 한 번쯤은 있으시죠? 매일 먹어도 질리지 않는 스테디셀러와 처음 보는 신상 과자들까지, 모두가 만족할 만한 스낵바를 제공하고 있습니다. 쿠키, 스낵, 캔디, 차, 커피 등 '열심히 일하는 당신'을 위한 다양한 간식들이 준비되어 있어요. 출처 = 페스카로 ⦁ 교통비 지원 점점 비싸지는 대중교통 이용 요금, 부담된 적 있으신가요? 직원들의 교통비 걱정을 줄이기 위해 페스카로는 연간 교통비 120만 원을 지원하고 있습니다. 자차로 출퇴근하시는 분들은 주차비로 이용하세요. ​ ⦁ 통신비 지원 업무하면서 고객사와 연락하다 보니, 쌓여가는 통화와 문자 내역들... 한 달 동안 쌓이면 만만치 않은 양이 되죠. 통화 & 데이터 요금 걱정을 덜어드리기 위해 통신비를 연간 60만 원 지원해 드립니다. PART 2 : 직원의 LIFE를 케어합니다 ⦁ 일과 삶의 균형을 위한 제도 페스카로는 시차출퇴근제, 반반차, 외출 제도 등을 통해 주도적으로 업무 시간을 계획할 수 있는 근무 환경을 조성합니다. 시간에 끌려다니지 말고 셀프리더십을 발휘해 업무 스케줄을 주도합시다! ⦁ 페스카로와의 의리! 장기근속자 포상제도 직원들의 장기 재직과 자산 형성을 응원합니다. 5년 재직 시 회사로부터 총 1,440만 원 포상금을 받을 수 있는 재직자 내일채움공제를 운영합니다 (매월 24만 원, 60개월간 총 1,440만 원). 우리 오래오래 함께 해요. ⦁ 건강검진 지원 업무에 대한 열정도 중요하지만 가장 중요한 것은 건강입니다. 페스카로는 임직원 건강을 지속적으로 체크하고 케어하기 위한 종합건강검진 서비스와 유급 건강검진 반차 제도를 운영하고 있습니다. 직원의 건강을 위해 검진에 드는 비용, 시간을 모두 아낌없이 지원하고 있어요. ⦁ 소노호텔앤리조트 콘도 회원권 페스카로를 위해 열심히 일한 당신, 삶은 쉼표도 필요하죠! 페스카로는 임직원의 휴식 관련 복지제도를 확장하기 위해 2024년 여름부터 소노호텔앤리조트 (구 대명리조트) 콘도 회원권을 준비했습니다. 희망하는 임직원은 해당 리조트와 호텔을 회원가에 저렴하게 이용할 수 있습니다. 출처 = 소노호텔앤리조트 ​ ⦁ 가족에게 자랑스러운 페스카로 임직원의 가족까지 살뜰하게 챙겨요! 자녀가 초/중/고등학교 입학 시에는 입학 선물을, 수능 응시생인 경우 응원 선물을 챙겨드립니다. 자녀가 대학에 진학하면, 연 최대 600만 원 등록금도 지원합니다! 가족에게 자랑스러운 페스카로가 될게요. ​ PART3 : 직원의 SPECIAL LIFE를 케어합니다 ⦁ 명절 귀향 여비 보조금 지원 풍요로운 명절, 먼 길 귀향 여비 걱정을 덜어드립니다. 매년 명절(설·추석)에는 고향 귀경길을 위한 귀향 여비 보조금을 30만 원씩 지원해 드립니다. ​ ⦁ 스페셜데이 스페셜데이에는 다 같이 휴식을! 창립기념일에는 축하하는 마음으로 전사에 전일 유급휴가를 지급하며, 명절(설·추석) 연휴 전날과 12월의 마지막 영업일에는 오전 근무 진행 후 조기퇴근을 진행합니다. 가족, 친구, 연인과 즐거운 시간을 보내요. ⦁ HAPPY BIRTHDAY 페스카로에게 직원의 생일은 소중합니다. 임직원의 생일을 축하하는 마음으로 생일 당일 10만 원 상당의 기프트카드를 선물해 드립니다. ⦁ 근로자휴가지원사업 즐거운 휴가를 위한 지원! 페스카로는 정부에서 시행하는 근로자휴가지원사업에 참여 중입니다 ✈️. “내가 20만 원 내면, 회사와 정부에서 각 10만 원씩 지원해 주는 제도가 있다고?!” 총 40만 원의 포인트로 다양한 여행 상품을 이용해 보세요! ⦁ 경조사비 및 경조휴가 지원 경조사에 연차 사용하지 마세요! 경조 규정에 따른 경조사 휴가를 부여해 드려요. 결혼 시에는 회사가 누구보다 먼저 축의금을 드릴게요 (2년 미만 재직자 30만 원 / 2년 이상 재직자 50만 원 / 4년 이상 재직자 100만 원). 지금까지 페스카로에서 제공하는 다양한 복지 프로그램에 대해 자세히 소개해 드렸습니다. 페스카로가 빠르게 성장하는 만큼, 복지 프로그램 및 혜택도 계속해서 업그레이드될 예정입니다. 정말 이 모든 복지제도를 제공하는지 물으신다면, 자신 있게 "네!"라고 답할 수 있습니다. 다양한 복지를 누리면서 페스카로와 함께 성장해 나가고 싶으신 분들은, 현재 진행 중인 채용공고를 확인해 주세요. ​

FESCARO HyunJung Lee        페스카로 이현정 CTO

지난해 세계 4대 자동차 사이버보안 인증 컨설팅 그랜드슬램을 달성한 페스카로. 7월부터 적용되는 UNECE WP.29 자동차 사이버보안규제, SDV 시대의 차량 안전성 확보 등 자동차 업계의 사이버보안 이슈에 실리적인 기술적 돌파구를 제시하는 이 회사의 이현정 CTO와 만났다. 이현정 CTO는 자동차 보안은 복잡하고 다면적인 문제로 전체적(overall) 접근이 요구된다고 강조했다. 

글｜윤범진 기자_bjyun@autoelectronics.co.kr


FESCARO
페스카로는 8년이라는 짧은 업력에도 불구하고 글로벌 자동차 산업의 시급한 현안으로 떠오른 사이버보안의 협업 파트너로서 실력과 패기로 그 존재감을 드러내고 있다. 2016년 자동차 전자제어시스템(ECU) 개발자와 화이트해커가 의기투합해 설립한 페스카로는 국내외 자동차 제조사 및 제어기 개발사에 ‘맞춤형 사이버보안 솔루션’ 제공을 시작으로 2023년 세계 4대 자동차 사이버보안 인증 컨설팅 그랜드슬램(CSMS, VTA, SUMS, ISO/SAE 21434)을 달성했다. 최근 188억 원 규모의 시리즈 B 투자 유치도 성공적으로 마무리했다.

젊고 패기 있는 회사란 느낌을 받았습니다. 주요 구성원과 어떤 탤런트를 갖고 있는지 궁금합니다.

---

LEE  홍석민 CEO는 현대케피코와 현대오트론 출신의 자동차 전장 시스템 개발 전문가로 국내 최초 차량 사이버보안 모듈을 개발하고 국산화한 이력이 있습니다. 저는 IT 보안 분야에서 커리어를 쌓았는데, 홍 CEO와 차세대 보안 리더 양성 프로그램(BoB)에서 만나 공동창업을 했습니다. 휴맥스 출신의 구성서 CSO는 자동차 제어기 및 보안 솔루션을 포함한 임베디드 SW 개발 경력 20년이 넘는 베테랑입니다. 이랜드 및 버디버디 출신 이영탁 CFO는 국내 기업의 상장을 여러 차례 성공시킨 이력이 있습니다. 또, 국내외 유수 기업으로부터 평균 업력 20년 이상의 베테랑들을 신중하게 모셔와 탄탄하고 폭넓은 기술 리더십을 구축했습니다. 현재 페스카로 전체 임직원의 80%가 기술 인력입니다.

페스카로는 ‘젊은 기업’같다는 이야기를 많이 듣습니다. 실제로 창업 8년차이기도 하지만, 에너지와 활력이 넘친다는 의미로 이야기합니다. 주니어/시니어 구성원 모두 공통적으로 성장 욕구가 강하고, 도전을 두려워하지 않는 분들이 많아서 그런 것 같습니다. 이분들이 또다시 비슷한 기질을 가진 사람을 끌어당기는 효과가 있습니다. 저희는 주니어 양성에도 진심입니다. 신입도 이런 DNA를 가진 사람을 체계적으로 발굴하고 육성하니, 조직 전반적으로 업무 주도성이 높고 대응이 빠른 편입니다. 페스카로에서는 모두가 스스로의 기준을 높이는 ‘바 레이저(bar-raiser)’가 되기를 장려합니다. 이런 조직문화가 제로 베이스에서 2년 만에 사이버보안 전용 제어기(SGW)의 SW와 HW를 모두 자체 개발하고 누적 100만 대 수주를 이뤄낼 수 있었던 핵심 동력이라고 생각합니다.

페스카로가 일궈낸 주요 성과를 소개해주세요. 그리고 더 큰 도전은 무엇인가요? 

---

LEE  창업 당시에는 사이버보안이 자동차 업계의 주요 관심사가 아니었습니다. 그럼에도 페스카로는 꾸준히 관련 솔루션을 개발하고 각종 국제 인증을 획득하며 경험과 실력을 쌓아왔고, 이를 기반으로 KG모빌리티(KGM)로부터 자동차 OEM 대상 첫 프로젝트를 수주했습니다. 한정된 자원에도 불구하고 KGM이 조기에 UN R155와 R156 인증을 획득할 수 있도록 긴밀하게 협업했고, 그 성과를 인정받아 ‘KGM 파트너스 데이 2024(KGM PARTNER’S DAY 2024)’에서 우수 파트너로 선정됐습니다.

이런 성과의 구심점 역할을 하는 것이 바로 IT 인프라 솔루션입니다. 사이버보안은 지속적이고 체계적인 관리가 매우 중요합니다. 이를 위해 SGW, 보안 솔루션 등을 활용한 계층적 방어 체계 구축과 IT 인프라 기반 보안 관제 시스템 도입이 필요합니다. 페스카로의 IT 인프라 솔루션은 총 세 가지의 상호 유기적인 시스템으로 구성되며, 차량 개발부터 고객에게 인도된 후 폐차되기 전까지의 차량 생애주기 전반에 걸쳐 적용됩니다.

KGM은 이 IT 인프라를 통해 밸류체인 전체에 걸친 사이버보안 업무 관리를 일원화하고, 규제 대응 업무와 본래 업무를 연동하여 업무 효율을 향상시켰습니다. 또한, 소프트웨어 업데이트 시 발생하는 유기적 영향도를 모든 파생 프로젝트까지 추적 관리하고, SGW와 연동되는 실시간 사고대응 시스템을 통해 보안 이슈에 선제적으로 대응해 피해 확산을 예방할 수 있게 됐습니다. 모든 작업을 전산화해 전방위적으로 일어나는 보안 관련 업무 이력을 체계적으로 통합 관리할 수 있기 때문에 추후 소명자료로 활용할 수 있어 만족도가 높습니다. 

사실 현재의 IT 인프라 솔루션은 저희가 구상한 것의 절반도 실현되지 않았습니다. 앞으로 이것들을 순차적으로 실현해 궁극적으로는 국내 자동차 산업의 경쟁력 강화에 기여하는 것이 다음 목표입니다.

그동안 자동차 업계의 사이버보안 인식과 대응에 있어 현장서 느끼는 아쉬움은 없었나요? 

---

LEE  자동차 사이버보안이 국제적으로 법제화되기 전에는 그 필요성과 중요성을 인정하지 않는 분위기였습니다. 그러나 UNECE WP.29 총회에서 UN R155를 채택하고, 우리나라에서도 자동차 제작사의 사이버보안 및 소프트웨어 업데이트 안전관리 조치를 의무화한 ‘자동차관리법’ 개정안이 국회 본회의를 통과하면서 관련 규정 미준수 시 자동차를 판매할 수 없게 되었습니다. 이제 사이버보안 인증은 선택이 아닌 필수라는 인식이 지배적이지만, 그럼에도 아직은 ‘규제만 만족하면 되지’라든가 ‘한 번 인증 받으면 끝’이라는 인식에 머무르는 경우도 많습니다.

자동차 사이버보안도 컴퓨터 바이러스 백신처럼 지속적인 업데이트가 필수적입니다. 보안 기술과 동시에 해킹 기술도 진화하기 때문에 보안 솔루션을 적용했다고 100% 안전을 확신할 수 없습니다. 관련 규제에서 지속적인 업데이트와 관리를 요구하는 이유입니다. 따라서, 단발성 규제 대응을 넘어 궁극적으로 안전한 차량 보안을 구축하고 유지하기 위해서는 사이버보안 규제 대응이 본연의 업무에 녹아들어가야 한다고 봅니다. 현재 사이버보안 규제 대응 업무가 실제 업무와 별도 운영되는 경우가 많은데, 그 갭을 최소화하는 것이 중장기적으로 매우 중요합니다.

 

단순 규제 대응 넘어 지속적인 차량 보안 구축   
규제 업무와 실제 업무 연동해 업무 효율 제고

페스카로를 차별화해주는 핵심 기술은 무엇입니까. 고객에게 제공하는 가치는 무엇인가요? 

---

LEE  사이버보안은 자동차 산업 밸류체인은 물론, 차량 생애주기 전반에 걸친 복잡하고 다면적인 문제입니다. 페스카로는 단순히 서드파티 입장에서 보안 솔루션을 공급하거나 요구사항을 구현하는 것에 그치지 않고, OEM의 관점에서 차량에 대한 전체적 접근이 가능합니다. 이를 통해 규제 대응을 포함한 사이버보안 올인원 솔루션을 턴키로 제공하고, 사이버보안 관련 실질적인 티어 0.5 역할을 성공적으로 수행할 수 있었습니다. 올인원 솔루션은 차량의 내부 시스템, 차량과 인프라 간의 통신 채널을 보호하는 것뿐만 아니라 IT 인프라 기반 실시간 사고대응 체계도 포함합니다.

또한, 페스카로는 고객사의 상황과 환경에 최적화된 가장 실리적인 솔루션을 제공하려고 합니다. IT 인프라 솔루션으로, 예를 들면 부서 간은 물론 협력사와의 이해관계까지 고려해 최적화된 업무 플로를 설계하고 구현합니다. 기성 솔루션 도입 시 각 솔루션이 유기적으로 연계되어 있지 않기에 중복 업무 발생이 불가피하지만, 페스카로 솔루션은 전체 그림을 파악해 한 번에 여러 시스템을 연계해 구현하는 만큼 업무 효율과 시너지는 극대화하고 시간 및 비용은 획기적으로 절감할 수 있어서 높은 평가를 받고 있습니다.

여러 고객사에서 페스카로의 장점은 ‘복잡한 것을 쉽게 만드는 것’이라고 합니다. 예를 들어 IT 인프라 기반 보안관제시스템은 SGW와 연계해 보안 이슈가 발생하면 빠르게 인지하고 대응할 수 있는 실시간 사고대응 체계를 구축합니다. 차량 출고 후 SGW를 통해 필드 운행 차량 데이터를 수집하고, 지역별, 차종별, 차량별, 생산라인별 보안 이슈를 지속적으로 모니터링해 유저 친화적인 대시보드를 통해 시각화된 데이터를 제공해 신속하고 효과적인 대응을 가능하게 합니다.

자동차 산업의 생태계, 가치사슬에서 단계별 기업의 사이버보안 대응은 어떻게 다른가요?

---

LEE  OEM은 차량 관점에서 자체적으로 사이버보안 요구사항을 정의하고 관리체계를 구축해 지속적으로 운영해야 하며, 티어는 OEM의 요구사항에 기반해 제어기 관점에서 사이버보안을 구현해야 합니다. 

사이버보안은 특정 도메인에 한정되지 않고 전사적으로 접근해야 하는 분야인 만큼 OEM은 전문 업체 컨설팅을 통해 사이버보안 대응 전략을 수립하고 실현하는 편입니다. 티어 입장에서는 OEM마다 요구사항이 일부 상이해 OEM에 따라 대응하기에 파생 프로젝트 관리 등의 어려움이 존재합니다. 따라서, 티어도 다양한 OEM에 대해 일원화해 대응할 수 있도록 국제표준 및 규제를 모두 만족하는 자체적인 사이버보안 대응 전략을 수립하는 것이 좋습니다. 페스카로에서 컨설팅한 카네비오토모티브(현 카네비모빌리티)는 2023년 4월 자동차 사이버보안 엔지니어링 국제표준 ISO/SAE 21434에 기반한 사이버보안 관리체계 인증을 국내 최초로 획득하는 성과를 달성했습니다.

최근에는 OEM에서 티어에게 자체 키 관리 시스템(Key Management System, KMS)을 구축할 것을 요구하는 경향도 있습니다. 페스카로의 KMS 솔루션은 OEM별로 프로젝트를 관리할 수 있고, 티어의 생산라인과 연계가 가능하다는 점에서 기존 KMS와 차별화됩니다. 현재 HL 클레무브(HL Klemove와 긴밀히 협력해 KMS 프로젝트를 진행 중입니다.

자동차관리법 개정안의 시행을 앞두고 OEM과 티어는 어떻게 준비해야 하며, 페스카로가 제공하는 서비스와 솔루션은 어떻게 도움을 줄 수 있나요? 

---

LEE  자동차관리법 개정안에서 사이버보안 및 소프트웨어 업데이트 관련 내용이 중요한 부분을 차지하기에 고객사로부터 많은 문의를 받았습니다. 지난 4월 초, 당사에서 운영하는 ‘보안고민상담소’ 웨비나 시리즈를 통해 발 빠르게 해당 주제를 다뤘고, 자주 묻는 질문에 대해 전문 패널이 답변을 제공하는 방식으로 반응이 뜨거웠습니다. 핵심 내용은 자동차관리법 개정안이 UN R155/156 기준으로 수립되기에 큰 맥락에서는 다르지 않다는 것입니다. 자동차관리법 개정안과 UN 규정에서 공통적으로 요구하는 것은 크게 두 가지입니다.

첫째, 사이버보안 관리체계(CSMS)를 구축해 사이버 위협으로부터 자동차를 보호하고 안전성을 확보해야 합니다. 둘째, 자동차 안전에 영향을 미칠 수 있는 SW 업데이트 관리체계를 마련해야 합니다. 당연히 업데이트 후에도 이슈가 없도록 관리하는 것이 중요합니다.인증 획득에 대해서는 차이가 있습니다. 국내에서 자동차를 판매하려는 OEM은 반드시 사이버보안 관리체계(CSMS) 인증을 획득해야 합니다. 하지만, UN 규제에서는 소프트웨어 업데이트 관리체계(SUMS) 인증도 필수로 요구하는 반면, 국내법에서는 이 부분에 대한 인증을 별도로 요청하지는 않습니다. 다만, 자동차 SW 업데이트에 대한 필요 정보(사전, 사후)를 보고해야 합니다. 

티어는 OEM별 다각화된 요구사항에 효과적으로 대응하기 위해 앞서 언급한 자동차 사이버보안 엔지니어링 국제 표준인 ISO/SAE 21434을 준수한 사이버보안 관리체계를 수립하는 것이 좋습니다. 해당 표준은 관련 UN 규정과 밀접하게 연계됩니다.

페스카로는 기존 UN 규제 대응 솔루션을 자동차관리법에 맞게 최적화했습니다. 자동차관리법 개정안은 UN 규제 기준으로 수립된 만큼 UN 규제에 대한 핸즈온(hands-on) 성공사례를 보유한 페스카로가 효과적으로 도와드릴 수 있습니다.

국외 진출과 관련하여 현재 활동과 어떤 계획이 있나요?     

---

LEE  사이버보안이 글로벌 자동차 산업의 당면과제이다 보니 다양한 루트를 열어놓고 검토 중입니다. 변수도 많지만, 기회 요소가 많은 중국 시장에서는 올해 초부터 본격적인 영업 활동을 시작했습니다. 전기차 대중화 속도도 가장 빠르기도 하고 새로운 기술과 방법론에 오픈돼 있다 보니 창의력을 요하는 다양한 협업 기회가 존재한다고 보고 있습니다. 또, 꼭 차량이 아니더라도 충전기와 같은 미래 모빌리티와 밀접한 유관 산업으로의 확장도 긍정적으로 고려하고 있습니다.

SDV와 함께 차량의 E/E 아키텍처가 도메인 아키텍처에서 영역 아키텍처로 진화하고 있습니다. 사이버보안 측면에서는 대응 방식이 어떻게 달라져야 할까요? 페스카로는 어떤 역할을 할 수 있나요? 

---

LEE  SDV 시대에는 차량 생애주기가 DevOps와 같은 순환형 구조로 진화하고, 출시 이후 단계의 중요성이 높아질 것으로 전망합니다. 따라서 SW 기술도 지속적으로 고도화되고 SW 기반 유기적인 영향 또한 훨씬 더 복잡해지기 때문에 지금처럼 실제 업무 따로, 규제 대응 따로 하는 방식은 머지않아 사람이 수작업으로 대응할 수 없게 될 겁니다. 

KGM이 선제적으로 구축한 IT 인프라처럼, 밸류체인과 차량 생애주기 전체에 걸친 효율적인 운영관리 시스템의 중요성이 대두될 것으로 봅니다. 모든 SW 버전 관리는 물론, SW 업데이트 시 기존의 모든 항목 인증에 대한 영향과 잠재 부작용 등을 지속해서 체계적으로 파악하고 관리할 수 있어야 합니다. 페스카로의 IT 인프라 솔루션을 통해 이런 복잡한 업무 프로세스를 자동화함으로써 내부 관계자의 사용자 경험이 향상되고, 개선된 생산성은 결국 수익효율성 증대와 미래 경쟁력 제고로 이어질 것으로 보고 있습니다. 더 나아가, SDV로 패러다임이 전환되면서 단순히 제품만 소프트웨어 중심으로 개발하는 것이 아니라 일하는 방식이나 생각하는 방식도 소프트웨어 중심이 되면 시너지를 극대화할 수 있을 것으로 기대합니다. 

또한, 기존 방식으로 문제가 해결되지 않을 때 새로운 돌파구를 찾아내는 창의력이 중요한 핵심 역량으로 부상할 것으로 예상합니다. 페스카로의 새로운 비전이 ‘Hack the Mobility(핵 더 모빌리티)’입니다. 소프트웨어 중심적 사고를 가진 사람이 모여, 모빌리티 산업에 창의적으로 접근해 문제를 해결하고자 합니다. SDV의 영역(Zonal) 제어기 개발의 근간이 되는 사이버보안 강화 제어기(SGW)를 개발한 것도, SGW를 IT 인프라와 연계해 실시간 사고대응체계를 구축한 것도 하나의 예가 될 수 있겠습니다.

올해 Automotive Innovation Day 컨퍼런스에서는 어떤 메시지를 전달할 건가요? 

---

LEE  지금까지 이야기한 것과 연결되는데요. SDV와 시너지를 낼 수 있는 ‘SW 중심 운영관리 솔루션’의 필요성을 알리고 싶습니다. 협력 구조가 기존의 HW 중심 분업화에서 밸류체인 전반에 걸친 매트릭스 구조로 진화할 것으로 전망하며, 차량 생애주기 전체에 걸쳐 양산 이후에도 사이버보안을 지속적이고 체계적으로 운영할 수 있도록 유기적으로 연계된 관리체계를 갖춰야 한다고 생각합니다. 페스카로가 실제로 구축한 성공사례를 기반으로 소개할 예정이며, 이는 SDV 시대에 경쟁력을 좌우하는 핵심 요소가 될 것으로 전망합니다.

홍석민 CEO는 기조연설을 하게 되었는데, 앞으로 경쟁의 판도가 어떻게 바뀔지, 미래 경쟁력을 위해 필요한 핵심 역량은 무엇인지, 업계에 어떠한 인식 변화가 필요한지 등 저보다 더 큰 그림을 가지고 이야기할 것입니다.

출처: AEM(페스카로, SDV 시대 車 보안 ‘그랜드슬래머’ (autoelectronics.co.kr))

국내 티어(Tier)의 하드웨어 개발 능력은 상당한 수준에 도달했다. 그 안의 기능을 구현하는 소프트웨어는 미래 경쟁력을 좌우하는 핵심 요소가 될 것이다. 그렇다면 소프트웨어의 중요성이 증가함에 따라 티어는 어떤 전환점을 맞이할까? 티어의 개발 현황, 넘어야 할 허들, 나아가야 할 방향에 관해 페스카로의 이순철 부사장이 이야기한다.

​

글 | 이순철 부사장, 페스카로(FESCARO)

이순철 부사장

이 부사장은 보쉬(BOSCH)에서 애플리케이션 엔지니어로 커리어를 시작, 프로젝트 매니저와 세일즈 직무를 거쳐 임원으로 진급했다. 자동차 산업에 불어오는 전동화 바람을 타기 위해 27년간 근무한 보쉬를 떠나 자동차 미들웨어 회사 일렉트로비트(Elektrobit)로 이직했고, 한국지사 대표이사직을 수행했다. 현재 30년 외국계 기업 경험을 바탕으로 페스카로에 합류하여 SDV를 위한 차세대 제어기 사업을 확장하는 데 앞장서고 있다.

​

​

​

​

​

* 이 글은 7할의 날 것 같은 경험과 3할의 AI 협업으로 작성됐다.

​

전동화가 불러온 자동차 생태계의 4가지 변화

---

자동차 산업에 불어온 전동화 바람은 생태계에 변화를 일으켰다. 필자가 체감한 변화는 크게 네 가지로 요약할 수 있다.

​

첫째, 완성차 업체와 제어기 개발사(Tier) 간의 티어링(Tiering)이 무너졌다. 과거에는 반도체 제조사가 티어와 거래했으나 현재는 완성차 업체와 직접 거래하고 있다. 자동차에 고성능 그래픽 처리, 신호 처리, 통신 등이 필요해지자 반도체 제조사가 자율주행, 연결성, 안전 및 엔터테인먼트 시스템과 같은 통합 솔루션을 제공하기 때문이다.

​

둘째, 산업의 경계가 무너졌다. 전통적인 완성차 업체와는 별개로 모빌리티 서비스 제공업체가 나타나고 있다. 이들은 자율주행 택시 서비스, 공유 모빌리티 플랫폼, 수요응답형 차량 호출 서비스, 드론 배달 서비스 등을 제공하며 자동차 산업에 새로운 경쟁 요소를 제공하고 있다.

​

셋째, 경쟁사와 파트너의 구분이 모호해졌다. 전기차 보급이 확대됨에 따라 완성차 업체는 전기차 충전 인프라 구축 및 확대에 많은 노력을 기울이고 있다. 이 과정에서 완성차 업체 간 혹은 완성차 업체와 전기차 충전기 회사는 지역에 따라 경쟁사가 되기도 하고, 파트너가 되어 인프라를 공유하기도 한다.

​

넷째, 차량에서 소프트웨어 비중이 높아지고 있다. 소프트웨어는 하드웨어 대비 상대적으로 저렴하게 제작할 수 있고 자율주행, 연결성, 안전, 엔터테인먼트를 소프트웨어로 구현할 수 있는 동시에 업데이트와 유지보수가 용이하기 때문이다. 대부분의 완성차 업체는 소프트웨어 정의 자동차(SDV) 개발을 목표로 하고 있다. SDV 구현을 위해 차량 아키텍처가 조널(Zonal) 개념으로 전환되어야 하며, 자율주행·인공지능·실시간 데이터 분석 등을 위한 고성능 컴퓨팅(HPC)이 전제되어야 한다. 앞으로 조널이나 HPC에 다양한 기능의 소프트웨어가 탑재될 것으로 예상한다.

이미 국내 티어(Tier)의 하드웨어 개발 능력은 상당한 수준에 도달했다. 그 안의 기능을 구현하는 소프트웨어는 미래 경쟁력을 좌우하는 핵심 요소가 될 것이다. 그렇다면 소프트웨어의 중요성이 증가함에 따라 티어는 어떤 전환점을 맞이할까? 티어의 개발 현황, 넘어야 할 허들, 나아가야 할 방향에 관해 이야기해 보자.

그림 1 | SDV 컨셉 예시 (출처 = 페스카로)

4그룹으로 분류한 티어별 개발 현황

---

티어를 사업 영역에 따라 4그룹으로 나누었다. 글로벌 티어 1부터 티어 2에 대한 개발 현황을 살펴보겠다.

​

첫 번째 그룹은 글로벌 티어 1이다. 글로벌 완성차 업체에 제어기를 납품하며, 국내 및 해외 공장을 운영하고 있다. 자체적으로 하드웨어 및 소프트웨어 개발 인원을 충분히 보유했다. 중소 티어 1 및 IT 업체의 소프트웨어 인원이 이곳으로 이직하고 있으며, 대학교와 파트너십을 맺어 학생에게 장학금을 지원하고 채용을 연계하고 있다. 한때 IT 게임 업체 간 벌어졌던 경쟁적인 인재 스카우트 현상을 이곳에서 발견할 수 있다. 스카우트로 채용된 엔지니어는 1 ~ 2년 경력을 쌓은 후에 완성차 업체로 이직하고 있어, 인력 문제에 마냥 안심할 수 없다.

​

두 번째 그룹은 국내 완성차 업체를 주요 고객으로 하면서 일부 해외 완성차 업체에도 제어기를 납품하는 티어 1이다. 어느 정도 소프트웨어 개발 인력을 확보하고 있지만, 양산 및 선행 개발을 동시에 처리하기엔 인원이 부족하다. 해결책으로 선행개발은 자체 인력을 투입하고, 양산개발은 자체 인력과 외부 전문사와 협업하고 있다. 또한, 대부분의 업체는 연구소가 수도권에 있는데, 지방에 연구소가 있는 경우는 소프트웨어 부서만 수도권 근처로 이전해 부설 연구소를 운영하고 있다. 수도권에 인재가 몰려 있는 점을 고려한 결정이라고 본다. 이런 현상은 국내에 진출한 일부 외국계 기업에서도 찾아볼 수 있다.

​

세 번째 그룹은 국내 완성차 업체를 주요 고객으로 하면서 해외 진출을 준비하는 티어 1이다. 대부분 본사와 연구소가 지방에 있다. 제품은 차량의 상위 제어기보다는 하위 제어기를 개발하고 있다. 기존 소프트웨어 개발자의 상당수는 글로벌 및 수도권에 연구소가 있는 티어 1으로 이직했으며, 경력 및 신입사원을 채용하기 어려워 양산 및 선행개발은 외부 전문사와 협업하고 있다.

​

네 번째 그룹은 티어 2다. 하드웨어는 자사에서 개발하고, 소프트웨어는 티어 1으로부터 제공받는다. 제어기보다는 센서에 가까운 제품을 주로 개발 및 생산해, 연구소에는 소프트웨어 엔지니어가 거의 없는 편이다. 그러나 일부 업체는 특정 부품에 전문화된 기술을 보유하고 있어 전동화로 전환되는 자동차 생태계를 기회 삼아 제어기 개발을 확장하려는 의지가 있다.

​

이상 그룹별 티어의 개발 현황을 살펴봤다. 다음은 이런 현황을 바탕으로 티어가 넘어야 할 허들은 무엇인지 알아보자.

SDV 시대, 티어가 넘어야 할 허들은?

---

• 소프트웨어 인력 부족
  

앞서 언급했듯이 소프트웨어에 대한 가속화된 수요와 공급의 불균형으로 소프트웨어 엔지니어 부족 문제가 발생하고 있다. 글로벌 티어 1 및 완성차 업체로 엔지니어가 쏠리고 있는 것이다. 자본주의 경제에서 노동자는 본인 능력과 경력에 따라 더 높은 임금과 좋은 근로 조건을 제공하는 기업을 찾아 이직할 수 있으며, 이는 노동 시장의 유연성을 높이는 데 기여한다. 2022년 잡코리아(JOBKOREA)에서는 2030 직장인이 이직하는 가장 큰 이유가 ‘배움과 성장의 기회’ 때문이라는 설문 조사 결과를 공개했다.¹⁾

​

인력을 확보하고 싶다면 전문성을 갖춘 회사인지, 다양하거나 새로운 경험을 제공할 수 있는지 등 커리어 개발에 초점을 맞추는 것이 관건이다.

​

​

• 소프트웨어 가치 인정
  

소프트웨어 영향력이 확대되고 인력 쟁탈전이 벌어진 만큼 미래에 소프트웨어가 중요한 기업 자산이 된다는 것은 자명하다. 그러나 자동차 산업에서는 그 가치가 가격 측면에서 반영이 되지 않는 경향이 있다. 그동안 소프트웨어는 제어기에 포함되는 요소 중 하나로서 제어기 가격에 포함돼왔다. 하지만 앞으로 SDV가 Zonal과 HPC로 구성되는 상황을 고려할 때, 완성차 업체는 기존 티어 1이 개발했던 제어기에서 소프트웨어만 구매해 차량에 내장할 가능성도 있다. 완성차 업체에서 모든 기능을 개발하는 방법도 있으나 여러 가지 특허를 피하면서 모두 개발하기란 쉽지 않은 일이다. 진정한 SDV로 나아가기 위해서는, 완성차 업체와 티어 1 간 소프트웨어 가격에 대한 실리적인 해결 방안이 마련돼야 한다.

​

​

• 혁신을 만드는 아이디어 개발
  

소프트웨어 인력 부족은 조만간 AI와의 협업으로 일부 보완될 것으로 예상한다. 코딩은 AI가 작업하고, 엔지니어는 AI가 만들어낸 결과물을 점검할 수 있다. 결국, 소프트웨어 엔지니어의 가치는 새로운 서비스를 만들어낼 수 있는 아이디어 개발 능력에 있다. 창의적인 소프트웨어를 기반으로 정당한 가치와 가격을 인정받을 날이 오지 않을까 기대한다.

​

티어는 SDV 시대의 생존 전략으로, 아이디어를 만드는 데 집중하되 실제 개발은 외부 전문회사와 협업 및 파트너십을 통해서 구현하는 방안을 적극 고려해야 한다. 이로써 개발 기간을 단축하는 등 개발 생산성을 향상할 수 있다. 조금 더 나아가서 SDK(Software Development Kit)를 제공함으로써 개발자는 별도의 기능을 구현하지 않고도 솔루션에 필요한 기능을 쉽게 통합할 수 있도록 해야 한다. 스마트폰에서 다양한 애플리케이션을 사용하듯이 앞으로 자동차 안에서도 차량 내·외부의 네트워크에서 주고받는 수많은 정보로 새로운 서비스가 개발되고 이용하게 될 것이다. 티어는 자동차에서 사용할 수 있는 애플리케이션을 제작하는 분야에도 진출을 고려해야 한다.

​

​

​

7할의 아이디어가 있다면, 이제 3할의 창조력이 필요하다. 서두에 이 글은 7할의 경험과 3할의 AI로 작성했음을 밝혔다. 매일 쓰는 일기와는 다르게 인사이트 칼럼을 쓰려니 많은 고민이 필요했다. 그러다가 AI의 도움을 받는다면 좀 더 쉽게 글을 쓸 수 있을 것 같았다. 우선, 그동안 현장에서 보고 듣고 발견한 것을 신속히 써 내려갔다. 그리고 AI의 도움으로 부담 없이 글을 마쳤다. 근거 자료를 찾거나 말하고 싶은 단어는 있는데 문장의 흐름이 좋지 않을 때 AI의 도움을 받아 칼럼의 완성도를 높였다.

​

SDV를 위한 혁신적인 소프트웨어 아이디어가 있는데 어떻게 구현할지 몰라서 막막하다면, 그것은 날 것 같은 아이디어만 있던 나의 모습과도 같다. 티어는 창의적인 아이디어만 있어도 이미 개발의 7할은 마쳤다고 생각한다. 중요한 건 그 아이디어를 실현하는 것이다. 가이드가 없어도 아이디어를 실현할 수 있는 ‘창조력’ 있는 기업이 혁신을 만드는 키포인트가 될 것이라 감히 예상한다. 7할과 같은 아이디어가 있는가? 나머지 3할은 페스카로와 같은 소프트웨어 전문 업체가 아이디어를 구현하는 데 가장 실리적인 솔루션을 제공할 것이다.

1) [잡코리아, MZ세대에게 이직이란? '성장할 수 있는 기회'] https://www.jobkorea.co.kr/goodjob/tip/view?News_No=20099&schCtgr=120002&page=1

​

출처: AEM (SDV 시대, 티어가 직면한 세 가지 허들은? (autoelectronics.co.kr))

페스카로가 4/3(수) 개최한 <자동차관리법 개정안이 OEM과 Tier에 미치는 영향은?> 웨비나가 뜨거운 관심 속에 마무리되었습니다. 약 160명이 넘는 분들이 사전 신청해주신 것을 보고 '자동차관리법 개정안'이 업계에서 핫한 주제라는 것을 실감했습니다.

​

페스카로는 자관법 관련 문의사항을 바탕으로, 업계 실무자들이 가장 궁금해하는 내용을 중점적으로 다뤘습니다. 자관법 대응 전략과 실무 노하우가 궁금하신가요? 영상과 텍스트를 통해 전문가 패널의 속 시원한 답변을 확인해주세요!

■ 전문가 패널 소개

​ㆍ페스카로 웨비나의 상징, 구성서 상무 : 자동차 제어기 및 보안솔루션을 포함한 임베디드 시스템 SW 개발 경력 20년+

ㆍ페스카로 그랜드슬램의 주역, 최광묵 팀장 : CSMS, SUMS, ISO/SAE 21434 등 자동차 관련 인증 컨설팅 20년+

■ 질문 LIST

1. 자동차관리법 개정안이 궁금해요.
   

2. UN 인증(R155 · R156)과 어떻게 다른가요?
   

3. UN 인증(R155 · R156)이 있으면, 대체가 되나요?
   

4. 자관법의 사이버보안 과 소프트웨어 업데이트 내용이 궁금해요.
   

5. 무엇을 어떻게 준비해야 하나요? (OEM/Tier)
   

6. 자관법 대응 시 제어기 소프트웨어에 대한 변경이 있을까요?
   

7. AUTOSAR(오토사)를 반드시 적용해야 할까요?
   

8. AUTOSAR(오토사)를 직접 만들 수 있나요?
   

9. AUTOSAR(오토사) 적용 시 고려해야 할 부분은 무엇인가요?
   

■ 영상 Ver.










■ 텍스트 Ver.







1. 자동차관리법 개정안이 궁금해요.

---

자동차관리법 개정안 타임라인

먼저 '자동차관리법'부터 설명 드리겠습니다. 자동차관리법이란 국내에서 운행되는 자동차를 관리하고 자동차의 성능과 안전을 확보하여, 공공복리의 증진을 목적으로 하는 대한민국 법규입니다. 자동차의 등록부터 안전 기준, 자기인증, 제작 결함 시정 등을 포함합니다.

​

이러한 자동차관리법의 개정안이 지난 2024년 2월 13일부로 공포되었습니다. 개정안의 배경은 기존 자동차가 내연기관 및 기계 부품 중심에서 소프트웨어 중심으로 전환되면서, 보완이 필요해진 관련 조항을 개정한 것입니다. 개정안 핵심 내용은 사이버 공격 및 위협으로부터 자동차의 안전성을 확보해야 하며, 자동차 안전에 영향을 줄 수 있는 소프트웨어 업데이트 관리 제도를 마련해야 한다는 것입니다.

​

즉, 사이버보안 관리체계와 소프트웨어 업데이트에 대한 자동차관리법 개정안이 공포되었으니, 이에 대한 대비를 하시는 것이 중요합니다. 물론 인증 주체는 자동차 제작사(OEM)지만 협력사(Tier)도 관련 요구사항 대응이 필요합니다. 자동차관리법 개정안의 발효 시기는 신차가 25년 8월, 기존차는 27년 8월부터 시행됩니다.

자동차관리법 개정안 - 사이버보안 관리체계

​

여기서 CSMS란 Cyber Security Management System 약어로써 사이버보안 관리체계를 의미합니다. 법규에서 CSMS의 정의는 '자동차를 사이버 공격 및 위협으로부터 보호하기 위한 관리적, 기술적, 물리적 보호조치를 포함한 종합적 관리체계'를 의미합니다. 사이버 공격 및 위협이란 해커의 공격을 의미합니다.

​

CSMS를 구축하기 위해서는 기술적인 요소 뿐만 아니라 조직의 보안을 위한 관리적인 체계가 필요합니다. 사업장 및 생산시설에 대한 물리적인 보호 조치 또한 필요합니다. 자동차 제작사는 안전한 자동차 제작을 위한 사이버보안 공급망 관리를 책임져야 하므로, 협력사에게 CSMS를 요구할 수 밖에 없습니다. 협력사는 자동차 제작사의 사이버보안 관리 및 사이버보안 엔지니어링 요구에 대응할 수 있어야 합니다.

​

자동차관리법 개정안 - 소프트웨어 업데이트

다음으로 소프트웨어 업데이트에 대한 내용입니다. 자동차 제작사는 안전 기준과 관련된 기능에 대한 소프트웨어를 업데이트하는 경우, 해당 정보를 국토교통부에 사전 통지한 후에 전개할 수 있습니다. 이를 준수하지 않는 경우 위반 사항에 따라 벌칙 또는 과태료가 부과될 수 있습니다. 협력사는 소프트웨어 업데이트의 안전기준 등에 대한 영향도 분석 결과를 자동차 제작사에 사전 전달해야 하며, 자동차 제작사는 이것을 바탕으로 해당 법규의 대응 여부 등을 검토할 것입니다. 자세한 사항은 뒤에서 더 다루겠습니다.

​






2. UN 인증(R155 · R156)과 어떻게 다른가요?

---

​자동차관리법 개정안 및 CSMS(Cyber Security Management System, 사이버보안 관리체계) 인증 가이드라인은 UN R155 · R156을 기준으로 수립되었다는 점을 감안하고 설명 드리겠습니다. 해당 인증은 시스템 인증과 자동차 인증으로 2원화 되어있습니다.

1. 시스템 인증 : CSMS 인증과 SUMS 인증. 국내법에서는 자동차 제작사 및 수입 판매사에 CSMS 인증만을 요구함.

2. 자동차 인증 : 국내에 판매되는 자동차 형식에 대해 시행되는 인증. 인증 방식은 VTA 인증 또는 자기인증이며 국내법은 자기인증이 적용됨.

여기서 주의할 점은 자동차관리법에서 자동차 인증과 시스템 인증은 서로 별개의 것이 아니라는 것입니다. 자동차관리법의 CSMS 인증은 동차 제작사의 사이버보안 관리체계에 대한 시스템 인증입니다. 기존의 ISO 9001, IATF 16949와 같은 국제 표준에 대한 시스템 인증과는 달리, UN 규정 및 국내 법규에서 요구되는 CSMS에 대한 시스템 인증이라는 것입니다. 해당 시스템 인증이 없으면 관련 자동차 인증이 진행될 수 없습니다.

자동차관리법과 UN 인증 비교

국내법(자동차관리법)과 유럽법(UN R155 · R156)을 간단하게 비교하겠습니다. 인증 기관부터 보시면 국내법은 국토교통부, 유럽법은 UNECE 회원국 지정 승인기관이 됩니다. CSMS 시스템 인증은 국내법, 유럽법 모두 사전인증을 요구하고, SUMS 시스템 인증은 유럽법에서만 사전인증을 요구합니다. 해당 CSMS 시스템 인증이 없으면 국내법은 자동차 판매가 불가하며, 유럽법에서는 VTA 인증이 불가하여 마찬가지로 자동차 판매가 불가합니다. 제작사의 CSMS 또는 SUMS가 변경되는 경우 재심사가 요구됩니다.

​

시스템 인증의 유효기간은 최대 3년이고, 인증 획득 후 매년 사후 심사도 요구됩니다. 해당 법규를 위반할 경우 시스템 인증이 취소될 수 있습니다. 법규 위반 시 패널티로 유럽법에서는 해당 인증이 취소될 수 있고, 국내법에서는 위반사항에 따라 벌칙 또는 과태료에 처해질 수 있습니다. 마지막으로, 자동차 인증 방법은 유럽법에서는 UNECE 회원국에 자동차를 판매하기 전에 VTA 인증을 획득해야만 하고,국내법에서는 자기인증으로 판매가 가능하지만 판매된 자동차에서 위반사항이 발견되면 판매 중지가 명령될 수 있습니다.

​

3. UN 인증(R155 · R156)이 있으면, 대체가 되나요?

---

인증 기관 비교

결론부터 말씀드리면 그렇지 않습니다. 자동차관리법의 CSMS(Cyber Security Management System, 사이버보안 관리체계) 인증은 국토교통부를 통해서 심사·발급된 인증서만 인정됩니다. 그러나 UN Regulation 155의 CSMS 인증을 획득한 자동차 제작사 또는 판매사는 국토교통부 주관의 CSMS 인증 획득이 가능할 것 입니다. 국내 자동차관리법 및 그 시행령이 UN R155를 기반하고 있기 때문입니다.

​

결국 OEM이나 Tier 입장에서 준비해야 하는 것은 대동소이 하기에, 자관법에 맞게 조정을 하시면 됩니다. 페스카로는 사이버보안 인증컨설팅 그랜드슬램을 달성하여 관련 항목 이해도가 풍부하니, 자관법 대응이 필요하시면 페스카로에 연락 부탁드립니다.

​

4. 자관법의 사이버보안과 소프트웨어 업데이트 내용이 궁금해요.

---

자동차관리법 개정안 - 사이버보안 관리체계 관련 조항

자동차관리법 개정안의 CSMS(Cyber Security Management System, 사이버보안 관리체계)에 해당하는 각 조항에 대해 요약하자면 다음과 같습니다.

​

• 제30조의 3 : CSMS 인증이 없으면 자동차를 제작 또는 판매할 수 없음 (제30조의 9, 10, 11, 12 조항은 CSMS에 대한 법규들 명기)
  

• 제30조의 9 : 자동차 자기인증을 하려는 자동차 제작자 등은 CSMS를 수립하여 국토교통부장관의 인증을 받아야 함
  

• 제30조의 10 : CSMS 수립 및 운영에 관한 자료의 국토교통부 제출 요구에 자동차 제작자 등이 대응하여야 함
  

• 제30조의 11 : 자동차 CSMS 인증의 취소 기준을 명기함
  

• 제30조의 12 : 사이버공격 및 위협과 관련된 사고가 필드에서 발생한 때에는 국토교통부장관에게 신고해야 함
  

• 제81조 : (벌칙) CSMS 인증 없이 자동차를 판매한 자는 1년 이하의 징역 또는 1천만원 이하의 벌금에 처함
  

자동차관리법 개정안 - 소프트웨어 업데이트 관련 조항

다음은 소프트웨어 업데이트 관련 조항입니다.

​

• 제34조의 5 : 업데이트 시 반드시 준수해야 하는 6개 준수사항 명시, 자동차 안전운행 관련 업데이트에 대한 내용을 국토교통부에 사전통지해야 하며 업데이트에 대한 성능시험대행자 사전확인을 요구함
  

  • 업데이트 준수사항 : ①호 업데이트 후에도 자동차의 모든 기능은 정상 작동되어야 함, ②호 업데이트 후에도 자동차안전기준에 적합하다는 것이 증명되어야 함, ③호 업데이트가 시행되는 과정이 안전해야 함, ④호 업데이트 정보를 자동차 사용자에 전달해야 함, ⑤호 업데이트 내용과 이력의 안전한 보존이 필요함, ⑥호 그 밖에 안전하고 원활한 업데이트에 필요한 사항으로, 국토교통부령에서 정하는 사항
    

• 제34조의 6 : 국토교통부에서 필요하다고 판단된 경우, 성능시험대행자가 자동차 제작사의 업데이트 내용, 방법, 관리실태의 적정성에 대한 조사 가능함 (성능시험대행자란 국토교통부에서 대행자로 지정한 기관을 의미함. 예 : 자동차안전연구원)
  

• 제35조 제2항 : 자동차의 안전한 운행에 영향을 줄 수 있는 소프트웨어를 임의로 변경, 설치, 추가 또는 삭제하는 것을 금지함
  

• 제81조 : (벌칙) 업데이트 준수사항 중 ①~③호에 해당하는 경우, 1년 이하의 징역 또는 1천만원 이하의 벌금
  

• 제84조 : (과태료) 업데이트 관련 자료 제출 조항을 위반한 경우 2천만원 이하의 과태료. 업데이트 준수사항 중 ④~⑥호 위반한 경우 1천만원 이하의 과태료
  

​

요구사항이나 평가에 대한 구체적인 내용은 국토교통부, 한국교통안전공단, KATRI 주도로 시행령과 안전 기준을 적용할 예정입니다. 페스카로도 인증 준비나 사이버보안 테스트 관련하여 함께 고민하고 있습니다. 관련 소식이 업데이트되면 공유드릴 수 있도록 하겠습니다.

5. 무엇을 어떻게 준비해야 하나요? (OEM/Tier)

---

UN인증을 취득하지 않은 OEM 준비사항

UN 인증을 취득하지 않은 자동차 제작사(OEM) 관점에서 먼저 설명을 드리겠습니다. OEM은 ISO/SAE 21434를 충족하는 CSMS(Cyber Security Management System, 사이버보안 관리체계)를 구축하고, 해당 CSMS 시스템이 개발 단계 뿐만 아니라 생산 단계, 필드 정비진단 단계에서 이행되어야 합니다. 특히 TARA(Threat Analysis and Risk Assessment)와 사이버보안 시험 및 유효성 확인 절차를 갖추고, 이를 수행하기 위해 필요 자원을 확보하셔야 합니다. 추가로 지속적인 사이버보안 모니터링 절차, 사이버보안 사고 대응 절차, 해당 사고 관련 데이터 제공 절차를 수립 및 운영해야 합니다. OEM 관점에서 가장 중요한 것은 사이버보안 공급망 관리를 위한 체계를 갖추는 것입니다.

​

UN인증을 취득하지 않은 Tier 준비사항

UN 인증을 취득하지 않은 제어기 개발사(Tier)의 준비사항도 OEM과 비슷합니다. 우선 OEM의 CSMS 요구에 대응하기 위해 CIA를 포함하는 사이버보안 분산 개발 절차를 갖춰야 합니다. 주로 영업 부서와 설계 부서가 담당합니다. 또한 ISO/SAE 21434 기준의 CSMS를 구축하셔야 하고, 사이버보안 관리 및 사고 대응을 위한 전용 부서 또는 전담 팀을 꾸리셔야 합니다. 마지막으로 OEM의 요구에 대응하기 위해 TARA 수행 절차 및 자원을 미리 확보하셔야 합니다. TARA 결과 후 요구되는 보안 대책을 실현하기 위해 보안 기술을 적용하고, 보안 시험을 위한 절차 · 자원을 준비하는 것이 좋습니다. Tier 관점에서 중요한 것은 제어기에 적용되는 보안 기술을 확보하고 그 품질을 보증하기 위한 보안 시험 체계를 준비하는 것입니다.

​

UN인증을 취득한 OEM과 Tier 준비사항

끝으로 UN 인증을 이미 취득한 OEM 및 Tier의 경우에는, 자관법 및 CSMS 인증 기준을 기반으로 기존 CSMS를 검토 및 보완하는 내재화 작업을 진행하셔야 합니다. 그리고 국토교통부 제출 산출물은 국문본이어야 하기 때문에 산출물에 대한 국문화 작업이 필요합니다.

6. 자관법 대응 시 제어기 소프트웨어에 대한 변경이 있을까요?

---

네, 그렇습니다. 그리고 앞으로도 지속적으로 발전할 사이버보안 기술을 유연하게 대응할 수 있는 SW 형상과 SW 개발 방안에 대한 선택이 필요하다고 말씀 드릴 수 있습니다.

​

자관법에는 아주 구체적인 방법론에 대한 설명은 없습니다. 다만 제2조(정의)의 4의 4, 사이버보안 관리체계에 대한 정의는 '자동차 사이버공격·위협으로부터 자동차를 보호하기 위한 관리적·기술적·물리적 보호조치를 포함한 종합적 관리체계'를 뜻합니다. 이해를 돕기 위해 UN R 155의 5.1.1에 인증을 위해 자동차 제작사(OEM)가 차량에 전개해야 하는 필요한 조치들을 보여드리겠습니다.

UN R 155의 5.1.1

• (a) : 자동차 제작사 뿐만 아니라 협력사들과 함께 해야함
  

• (b) : 차량에 보안 대책이 반영되어 있어야 함
  

• (c) : 차량의 디자인 자체에 사이버보안 조치가 적절히 구현되어야 함
  

• (d) : 차량에 사이버보안 공격을 탐지하고 대응할 수 있어야 함
  

• (e) : 사이버보안 공격을 감지하고 해당 공격을 분석할 수 있는 포렌식 능력을 가진 Log 데이터 처리 필요함
  

​

​

그럼 이제 상기 규제 내용을 SW 관점에서 풀어서 설명하겠습니다. 차량을 외부 공격으로부터 보호하고 차량에서 발생할 수 있는 사이버보안 이벤트를 관리할 수 있는 기능이 포함되어야 하는데, 이는 제어기 단위로 적용해야하는 보안 기능 요구사항으로 볼 수 있습니다. Secure Boot, Secure Storage, Secure Debug, Runtime Tunning Protection, Memory Protection, HSM, OS Hardening, 제어기 일반보안 요구사항, 보안 코딩, 오픈소스 취약점 관리 등의 제어기 자체를 보호하기 위한 요구사항들입니다.

​

차량과 외부, 차량내 제어기들 간의 통신을 보호하기 위한 Secure Access, Secure Unlock, SecOC, TLS, IPSec, MACSec, Firewall 등 차량을 외부 공격으로부터 방어하기 위한 요구사항들도 있습니다. 또한 CAN-IDS, Ethernet-IDS, 통합보안로그 그리고 OEM이 운영관점에서 수립하는 vSOC(vehicle Security Operation Center)는 차량에서 발생할 수 있는 보안 이벤트를 탐지하고 그에 대한 적절한 대책을 만들어 나아 가기 위한 방법들입니다.

​

이렇게 많은 요구사항은 대부분 SW로 실현되고 요구사항은 계속 진화합니다. 때문에 요구사항을 보다 효율적으로 잘 대응하기 위한 SW 형상과 SW 개발 방법론을 선택해야 합니다. 즉, OEM과 Tier는 대응 방안을 준비하기 위해서 SW를 효과적으로 관리/개발할 수 있도록 준비해야 합니다.

​

그럼 어떤 SW 개발 방법론이 좋을까요? 사실 SW를 효과적으로 개발하고 관리하는 방법론에 있어서는 사이버보안 관점 뿐만 아니라, 이미 자동차 SW의 중요도가 높아지기 시작한 오래전부터 진행되었습니다. AUTOSAR, Automotive Grade Linux, Android Automotive, QNX와 같이 표준단체나 전문 기업들, 뿐만 아나라 OEM 자체적으로도 이러한 활동을 하고 있습니다. 다른 산업분야에서도 아주 오래전부터 SW를 효과적으로 관리하고 발전시키기 위한 활동은 구체적으로 진행되었고 표준화를 통해 SW 개발의 편의성, 재사용성 등을 확보하고자 했습니다.

​

자동차 SW 분야에서는 특히 AUTOSAR가 그 활동을 주도하고 있으며 가장 많이 채용되는 SW 플랫폼이기도 합니다. AUTOSAR는 2003년에 주요한 자동차 제작사와 제어기 개발사들이 모여 만든 단체로, Automotive Open System Architecture(개방형 자동차 표준 소프트웨어 구조)라고 하는 자동차 SW 표준이라고 보시면 됩니다.

​

결론적으로 사이버보안은 현재와 미래에 지속적으로 요구되는데, 이러한 표준 SW 플랫폼을 채택해서 자동차 사이버보안에 대한 효과적인 대응을 준비하시길 권유드립니다.

7. AUTOSAR(오토사)를 반드시 적용해야 할까요?

---

SW 중요성 증대

필수는 아닙니다. 그러나 '이제는 해야 하지 않을까요'라고 답변 드리고 싶습니다. 자동차 사이버보안의 중요성이 증가되고 결국 법제화까지 된 근본적인 이유로, 자동차의 연결성이 증가하고 차량이 전자화되면서 SW의 중요성이 폭발적으로 증가되었다는 것입니다. 미래의 자동차, 아니 현대의 자동차는 C.A.S.E(Connectivity, Autonomous, Sharing, Electrification)화되고 있고 이를 실현하기 위한 방법론으로 소프트웨어 중심 자동차(SDV)로의 패러다임 대전환이 일어나고 있습니다.

​

고성능 전장 제어기의 증가, E&E 아키텍처의 변화, 커넥티드화, 전동화, SW 고도화 등의 변화는 자동차 제작사(OEM)뿐만 아니라 제어기 개발사(Tier)에도 큰 영향을 미치고 있습니다. SW가 차량에서 차지하는 비중이 증가하다보니 자동차에서 발생하는 결함 요인의 절반 이상이 SW로 나타나고 있습니다.

​

하지만 SW 결함을 원천적으로 차단한다는 것은 현실적으로 불가능합니다. SW 구조를 포함한 제어기 시스템을 보다 정교화하고 엄격하면서도 효과적인 검증 테스트의 반복을 통해 사전 예방을 강화해야 하고, 양산 이후에도 지속적이면서 빠르게 대응할 수 있는 SW 품질 활동이 반드시 필요합니다.

국제 법규 및 표준

그 뿐만 아니라 차량이나 제어기 개발에 있어 준수해야 하는 국제 법규나 표준도 증가하고 있고, 동시에 구체적인 요구도 이루어지고 있는 상황입니다. 위에서도 언급한 사이버보안 관리, SW업데이트 관리와 관련된 법규인 UN R155 · R156, 사이버보안 엔지니어링 표준인 ISO/SAE 21434, 기능안전과 SOTIF, A-SPICE까지 우리가 모두 숙지하여 차량/제어기 개발 시 고려해야 하는 것들 입니다. 자동차에 필수가 되어지는 OTA(Over The Air)도 준비되어야 합니다.

​

앞의 질문에서도 말씀 드린 바와 같이 다양하면서도 복잡한 SW의 요구와 변화를 대응하기 위해 우리보다 조금 더 먼저 고민했던 사람들이 있었고, 그들이 만든 것이 AUTOSAR(오토사)이며 이러한 활동을 통해 자동차 SW 개발 및 관리 효율화가 구체화되기 시작했습니다. 다양한 변화를 대응하기 어려웠던 SW의 구조에서 표준화를 통해 개발의 편의성, 재사용성, 모듈화를 달성할 수 있습니다. 개발에 필요한 시간과 비용을 최적화 하고 새로운 요구사항에 대한 대응이나 품질을 높이기 위한 대표적인 방법론이 오토사라고 보시면 됩니다.

​

지금까지 오토사를 반드시 적용해야 하는 것처럼 말씀을 드렸습니다만, 그럼에도 불구하고 다시 한 번 답변을 드리면 필수는 아닙니다. 제어기의 특성, 제어기의 라이프사이클, 차량에서의 역할과 비중, 제조사의 상황이 모두 다르고 특히 오토사 적용에는 어느 정도의 비용과 노력이 소요되기 때문입니다. 제어기의 특성과 각종 환경적 요소를 고려하여 오토사 적용 여부를 결정하시는 것이 좋다고 의견 드릴 수 있습니다.

​

페스카로는 사이버보안 뿐만 아니라 오토사와 관련된 전문 역량까지 확보했습니다. 페스카로가 개발, 양산하고 있는 제어기들에 오토사가 적용되어 있을 뿐만 아니라 다양한 Tier들과 오토사 관련 개발 사업을 전개하고 있습니다. 오토사에 대한 노하우가 풍부하니 관련 고민이 생기실 경우 연락 주시면 최선의 선택을 하실 수 있도록 지원해 드리겠습니다.

8. AUTOSAR(오토사)를 직접 만들 수 있나요?

---

AUTOSAR(오토사) 요구사항 정의

1차원적으로 답변을 드리면 가능합니다. 그런데 자동차 제작사나 제어기 개발사는 보통 그렇게 하지는 않습니다. 앞에서도 말씀 드렸듯이 AUTOSAR(오토사)는 Automotive Open System Architecture(개방형 자동차 표준 소프트웨어 구조)라고 하는 자동차 SW 표준입니다. 그리고 오토사는 단체입니다.

​

이 단체에서 개방형 자동차 표준 소프트웨어 구조를 달성하기 위한 표준을 정의하고 이를 실현하기 위한 각종 요구사항들에 대하서 정의를 하고 있습니다. 이러한 내용을 충분히 이해하고 구현할 수 있다면 오토사를 직접 만들 수도 있습니다. 다만, 각종 비용이나 효율성 등을 고려하여 각 업체가 잘하는 것에 집중을 하고 그에 맞는 Role을 찾아 활동함으로써 오토사를 활용한 제어기, 더 나아가 자동차를 만들어 냅니다.

업체별 Role 구분

예를 들어서 설명하겠습니다. 제어기에 사용되는 MCU, Microcontroller 등을 만들어 내는 반도체 제조사는 본인들의 chip에서 오토사가 잘 돌 수 있도록 MCAL을 만듭니다. 오토사 솔루션 공급사는 오토사 표준에 따라 동작할 수 있는 BSW와 RTE 등을 만들고 이러한 SW를 보다 효율적으로 관리, 생성할 수 있는 각종 tool을 만듭니다. 이러한 오토사 package를 활용하여 제어기에 맞는 SW Components 다른 말로 Application SW를 만들고 최종 integration까지의 수행은 제어기 개발사가 합니다.

​

제어기를 개발하는 입장에서는 OEM의 요구사항, 제품에 맞게 선택된 MCU 지원, 효과적인 엔지니어링 서비스와 최적화된 비용을 고려하여 오토사 솔루션을 선택하는 것이 맞는 방법이라고 판단됩니다. 페스카로는 주요한 오토사 솔루션 업체들과도 긴밀한 협업관계를 유지하고 있습니다. 어떤 솔루션을 선택해야 하는지 고민이 있으실 경우에도 연락주시면 최적의 솔루션을 고르실 수 있도록 지원해 드리겠습니다.

9. AUTOSAR(오토사) 적용 시 고려해야 할 부분은 무엇인가요?

---

반도체 제작사(좌) Platform SW (우)

AUTOSAR(오토사) 적용을 위해 고려해야 하는 것은 우선 고객의 요구사항 입니다. 어떤 MCU를 사용할 것인지에 대한 것과 비용도 함께 고려되어야 합니다. 또한 내부 개발 역량, 일정, 숙련도 등을 고려해야 합니다.

​

잘 아시는 바와 같이 차량을 만들기 위해서는 수많은 제어기가 있어야 합니다. 자동차 제작사(OEM)은 차량을 만들기 위해 목적에 맞는 제어기의 요구사항을 만들어 협력사에게 제공하게 됩니다. 요구사항을 받고 분석을 통해 해당 요구사항을 만족시키기 위해 어떤 식으로 구현을 해야 하는지 방향성 결정을 하게 됩니다.

​

예전에는 방향성 결정을 위해 제어기 기능만 검토했으나 요즘에는 사이버보안, 기능안전, OTA 등 부가적이지만 필수라고 할 수 있는 요소도 반드시 함께 검토되어야 합니다. 이런 검토를 통해 적절한 MCU를 선택하게 되고 또한 Platform SW를 결정하게 됩니다. Platform SW 결정 과정에서는 제어기 기능의 복잡도, 재활용성, 사업의 확장성, OEM의 요구사항, MCU 지원여부, 비용 등을 고려하여 결정하게 됩니다.

​

요즘 Platform SW로 오토사를 많이 선택하는 추세입니다. OEM이 요청하는 것도 있지만 그렇지 않는 경우에도 제품의 경쟁력 확보 및 재사용성 그리고 확장성 등으로 고려해서 선택하는 경우가 많습니다. 오토사를 선택하는 경우에도 직접 만들 수 없으므로 적절한 솔루션 선택이 필요한데 이때는 MCU에 해당 업체의 솔루션이 준비되어 있는지, 고객의 요구사항을 모두 만족할 기능적 준비가 되어 있는지, 엔지니어링 서비스는 좋은지, 비용은 합리적인지 등을 고려하여 선택하셔야 합니다.

AUTOSAR(오토사) 구매 과정

보통 오토사는 많은 기능을 포함하고 있습니다. 어떤 회사의 오토사를 사용 하실지에 대하여 확정 하신 후에도 오토사 BSW내에서 우리 제품에 필요한 서비스와 구성요소가 무엇인지를 확인하여 선택하는 과정도 필요합니다. 오토사를 구매하게 되면 보통 Configuration Tool과 BSW, RTE는 Autosar 솔루션 provider에게서 전달 받게 되고, 오토사 mcal의 경우 MCU 공급사에서 직접 받거나 Autosar package에 포함되어 전달 되는 경우도 있습니다.

오토사, 제어기 개발 시 고려되어야 하는 사항에 대하여 살짝 설명을 드렸습니다. 보다 자세한 기술적인 논의 사항에 대해서는 다음 웨비나를 통해 설명 드릴 예정입니다. 그때도 많은 관심 부탁드립니다.

■ 보너스 질문

웨비나 사전 등록 시 약 100여개의 문의사항을 남겨주셨습니다. 위에서 다룬 내용들 외에 가장 궁금해하시는 질문 4개를 추가로 다뤘습니다. 전문가 패널의 답변이 궁금하신 분들은 영상​을 통해 확인해주세요. (37:40부터~)

​

1. SW만 제공하는 Tier 1 입장에서 변화되는 점과 Tier 2~3에 미칠 영향도가 궁금합니다.

2. 실질적인 사이버보안 및 A-SPICE에 미칠 영향이 궁금해요.

3. 반도체 공급업체에서는 어떤 준비를 해야 하나요? 그리고 자동차 관리법 개정안을 커버하는 국제표준이 있는지 궁금합니다.

4. 특수 차량(예 : 농기계) 및 미완성 차량을 구매해 제작/판매하는 소규모 제작자도 자동차 관리법 개정안을 준수해야 하나요?

---

■ 웨비나 소감 이벤트 당첨자

사이버보안 규제 인증과 전장 시스템에 대한 전문 역량을 담은 웨비나, 어떠셨나요? 아래와 같이 귀한 의견을 남겨주신 세 분께 감사의 마음을 담아 <신세계상품권>을 선물했습니다. 페스카로는 다음 웨비나에서 더 발전한 모습으로 돌아오겠습니다.

ㆍ 김*균 수석 "국내법 시행을 앞두고 혼란스러웠는데, OEM과 Tier간 업무를 명확히 설명해주신 점이 좋았습니다."

ㆍ 허*행 책임 "인증 항목 및 주체 등을 한 번에 볼 수 있어 유익했습니다. 잘 참고하여 사이버보안 인증 취득 계획 수립에 반영할 예정입니다."

ㆍ 이*우 고문 "웨비나 시간이 더 길었으면 하고, Tier1 뿐만아니라 소규모 개조사업을 하는 업체의 대응 방법도 궁금합니다."

---

■ 6월 웨비나 주제는?

다음 웨비나는 ‘SDV를 위한 차세대 제어기 SW 개발’ 관련하여 오토사, 자동화, 검증 등에 대한 내용을 다룰 예정입니다. 6월 웨비나에서 또 만나요!

​

최근 자동차 업계에서 가장 핫한 키워드는 2024년 2월에 공포된 ‘자동차관리법 개정안’입니다. 내년(2025년 8월)부터 시행되는 만큼 업계의 이목이 집중되고 있습니다.

▶ 자동차관리법 개정안의 쟁점은?

OEM과 Tier가 주목해야 할 부분은 ‘사이버보안’과 ‘소프트웨어 업데이트’에 대한 내용입니다. 자동차관리법이 UN R155(사이버보안 관리체계, CSMS) · R156(소프트웨어 업데이트 관리체계, SUMS)과 어떻게 다른지, 우리 회사에 미치는 영향은 무엇인지 궁금하신가요? 2024년 4월 3일(수) 15시, Live 웨비나에서 전문가 패널이 제시하는 대응 전략을 확인해보세요!

▶ 다음과 같은 고민이 있다면?

• ​자동차관리법과 UN 인증이 어떻게 다른가요?

• ​자동차관리법의 ‘사이버보안’과 ‘소프트웨어 업데이트’에 대한 내용이 궁금해요.

• ​우리 회사는 무엇을 어떻게 준비해야 하나요?

• ​자동차관리법 대응 시 제어기의 소프트웨어 변경이 필요할까요?

​​정말 궁금했지만 아무도 알려주지 않았던 자동차관리법 개정안에 대한 실무 노하우!​ 페스카로가 전부 해봤으니, 더 이상 고민하지 마세요. * 사전등록을 하신 분들에게 메일로 웨비나 '입장 링크'를 보내드립니다. (사전등록 마감 : 4/3 수 오전 11시) * 웨비나 참석 인원이 한정되어 있어 인원 초과 시 유관 기업 위주로 진행되는 점 양해 부탁드립니다. * 웨비나 관련 문의사항은 fescaro@fescaro.com으로 보내주세요.

▶ 웨비나 소감 이벤트에 참여하세요! 웨비나 종료 후 '소감'을 공유해주시면 총 세 분을 선정하여 신세계 상품권(5만원)을 보내드립니다. 2023년 웨비나에 대한 소중한 의견 일부를 아래에 공유합니다. 많은 분들이 귀한 시간을 내어 참석해주시는 만큼 늘 유익한 정보를 준비하겠습니다. • ​송*기 "회사에서 고민하는 부분이 잘 다뤄졌고, 특히 실무연계형 Q&A라서 현업에 도움이 많이 되었습니다." • ​승*미 "사이버보안 업무를 하면서 정보가 많지 않아 막막하고 답답했는데 세미나를 통해 다양한 내용들을 접하며 조금씩 해소되었습니다." • ​이*용 "QnA 시간에 문의드린 질문에 친절한 답변 감사드리며, 덕분에 업계 현황 및 사이버보안을 이해할 수 있는 유익한 시간이었습니다." • ​노*훈 "페스카로 가이드라인은 OEM에 대응할 수 있은 좋은 전략이라 생각합니다. OEM과 커뮤니케이션을 해보지 않은 입장에서 유익했습니다.” • ​강*철 "토크 형식이 신선했습니다. 기존에 궁금했으나 대놓고 질문하기 어려웠던 부분까지 들을 수 있어 흥미로웠습니다."

페스카로, 시리즈B 188억 원으로 오버부킹’ 마무리 | 한국경제 (hankyung.com)

SK시그넷-페스카로, 전기차 충전기 사이버보안 협력 본격화 | 한국경제 (hankyung.com)

페스카로, NXP 공식 파트너 등록…제어기 사업 본격 시동 | 한국경제 (hankyung.com)

신뢰성 높이는 사이버보안 테스트 방법론 (autoelectronics.co.kr)

전동화 다음이 SDV라면... (autoelectronics.co.kr)

페스카로-HL클레무브, 자동차 사이버보안 위한 MOU 체결 - 전자신문 (etnews.com)