<보안고민상담소> 소개
페스카로는 자동차 산업 관계자들의 사이버보안 고민 해소를 위해 <보안고민상담소>를 운영하고 있습니다. 올해는 실시간 웨비나 형태로 아래 네 가지 주제를 다루었습니다. 실무진에서 가장 많이 하는 질문에 페스카로의 전문가 패널이 답변하는 형식으로 진행하여 좋은 반응을 얻었습니다. 혹시 관심 있는 주제를 놓쳤다면 아래 링크를 클릭하여 녹화본과 텍스트 정리본을 모두 확인할 수 있습니다.
1️⃣ 자동차 사이버보안 대응 전략
이제 페스카로 [보안고민상담소]는 세 가지 프로그램으로 찾아옵니다.
다양해진 [보안고민상담소]를 한 번 알아볼까요?
1. 정기 보안고민상담소 : 실제로 접수된 사연을 다뤄 블로그/뉴스레터로 발행
2. 실시간 보안고민상담소 : 전문가 패널과 함께하는 질의응답 기반 실시간 TALK
3. 찾아가는 보안고민상담소 : 조직 상황에 최적화된 맞춤 컨설팅&솔루션
오늘은 [실시간 보안고민상담소]를 소개하려고 합니다.
페스카로가 야심 차게 준비한 2023년도 첫 번째 [실시간 보안고민상담소], 글로벌 신생 전기차 OEM향 사이버보안 대응 전략 "TALK"가 2월 21일 성황리에 마무리되었습니다!
총 33개 기업에서 87명이 사전등록을 했을 정도로 많은 관심을 받았는데요. Tier에서 자주 묻는 질문들과 사전등록을 통해 받은 질문들을 모아서, 총 7개의 고민을 다뤘습니다!
명확한 답변을 위하여 평균 업력 20년 이상의 전문가 패널이 모였는데요.
자동차 사이버보안 전문가 홍석민 대표, 자동차 SW 개발 전문가 구성서 이사, 자동차 보안 인증 전문가 최광묵 팀장의 속 시원한 답변, 같이 확인해 볼까요?
- 영상 Ver.
- 텍스트 Ver.
1. 국내외 OEM들이 Tier에 요구하는 사이버보안 관련 내용은 어떤 것들이 있나요?
국내/해외 OEM들이 Tier에 요구하는 사이버보안 관련 내용은 대부분 아래 항목입니다. (OEM마다 일부 항목 생략될 수 있음)
아이템(제어기) 수준 TARA
사이버보안 엔지니어링 (보안솔루션 적용, 보안테스팅 검증)
사이버보안 관련 조직 및 프로세스
CIA (Cybersecurity Interface Agreement)
보통 OEM에서는 실차 수준에서 TARA를 수행하여 개별 아이템에 대한 사이버보안 목표 및 요구사항을 사전에 도출합니다. 사이버보안을 강조하는 OEM 경우 Tier에게 제어기 수준의 TARA 수행을 요청하는 경우도 존재합니다. 보안 요구사항을 만족하기 위해 Tier는 제어기에 Secure Boot, Secure Flash 등 다양한 보안 애플리케이션들을 개발해야 합니다. 또한 이러한 보안 애플리케이션 적용을 통해 OEM의 보안 요구사항이 결과적으로 만족하는지 확인하기 위하여 보안테스팅 활동도 수행해야 합니다.
이러한 사이버보안 관련 개발/검증/운영 등 엔지니어링 활동을 수행하려면, Tier 내부적으로 사이버보안 관련 조직과 업무 수행에 관한 프로세스들이 갖추어져 있어야 합니다. 이에 대한 요구사항이 바로, OEM과 Tier 간 사이버보안 관련 업무에 대한 R&R 협의 및 계약 체결, 즉 CIA(Cybersecurity Interface agreement)라고 보시면 됩니다.
그러나 OEM으로부터 요구사항을 전달받았을 때 해석하기 난해하거나 모호한 경우가 있을 수 있습니다. 이 경우 OEM이 UNR 155 인증을 받을 수 있는 “최소한”의 수준을 만족하면서, Tier 입장에서 가장 유리한 해석이 BEST 입니다. 그래서 프로젝트 초반, OEM과 사이버보안 관련 업무 협의가 가장 중요합니다. 이러한 업무 수행의 역할 담당자를 보통 사이버보안 매니저라고 하는데, 사이버보안 매니저는 OEM이 인증을 받을 수 있는 최소한의 수준을 만족하면서 Tier 에게 가장 유리한 협의를 진행해야 합니다. 즉, 기존 산출물들을 최대한 재활용할 수 있도록 OEM 담당자와 적절하게 협의해야 합니다.
사이버보안 매니저 역할을 잘 수행하려면, OEM이 UNR 155 인증을 받는 전체 과정에 대한 정확한 이해가 필요합니다. 간략하게 살펴보면, OEM 및 Tier들은 우선 사이버보안 관련 조직 및 업무 프로세스를 갖춰야 합니다. 그리고 인증 대상이 되는 차량(Vehicle Type)에 대해 차량 수준/시스템 수준/제어기 수준에 대한 TARA 활동을 수행하여 사이버보안 목표와 요구사항을 도출합니다.
사이버보안 요구사항을 만족하기 위해 OEM은 Tier들을 위한 구체적인 사이버보안 엔지니어링 설계/검증 사양서를 개발하여 배포합니다. 아무래도 이러한 사양서는 OEM의 범용적인 사양이기 때문에 제어기 개별 특성/본 신차에 대한 개별 특성/Tier의 개별 특성 등을 모두 만족하기는 현실적으로 어렵습니다. 그래서 OEM은 각 Tier와 이러한 상호 간의 GAP을 줄이기 위해 조율&협의하는 과정을 거치게 됩니다. 조율&협의가 완료된 사항을 기준으로 사이버보안 엔지니어링 과정을 거친 후에 SOP(Start of Production, 양산 시점)까지 진행됩니다.
SOP 이후부터는 폐차(지원 종료)가 되는 시기까지 사이버보안 위협에 대한 모니터링과 사고 대응에 관한 운영 단계를 거치게 됩니다. 지금까지 말씀드렸던 항목들에 대해 OEM과 Tier 간의 R&R을 명시하고 계약 체결을 수행하는 게 CIA라고 보시면 됩니다. 즉, OEM이 인증을 받는데 필요한 핵심적인 사항들은 최대한 수용하면서, Tier 별 재량으로 제안해야 하는 부분들은 기존에 가지고 있는 것들을 최대한 재사용하는 것이 핵심입니다.
2. TARA 수행은 OEM이 하는 것 아닌가요?
Tier도 TARA 수행이 필요합니다. 대부분 TARA 수행을 컨셉 단계에서 1회만 이벤트성으로 수행하는 것으로 알고 있습니다. TARA는 컨셉 단계뿐만 아니라 개발 단계, 개발 이후의 단계 등에서도 활용됩니다. 사이버보안 위험은 차량의 생명 주기 전 영역에 거쳐 발생될 수 있기 때문입니다.
사이버보안 이벤트가 발생한 경우 우리는 사이버보안 위협을 분석하고 위험을 평가해야 합니다. TARA는 사이버보안 위험 관리 방법론으로,대응할지 말지/한다면 즉시 해야 하는지/다른 것과 모아서 추후에 해야 하는지/보안 조치 수준은 어떻게 해야 하는지 등을 분류하게 됩니다. 앞서 말씀드린 것처럼 TARA는 컨셉 단계 뿐만 아니라 전 과정에서 지속적으로 수행해야 하는 활동이므로, Tier 자체적으로 내재화가 필요한 항목이기도 합니다.
3. CSMS 대응을 어디서부터 시작할지 모르겠어요.
Tier 관점에서 CSMS 대응은 다음 두 가지 갈래로 전개될 수 있습니다. 첫째는 ISO/SAE 21434에 기반한 사이버보안 관리체계를 구축하는 것을 요구받는 경우이고, 둘째는 OEM과 Tier 간 체결되는 CIA(Cybersecurity Interface agreement), 사이버보안 인터페이스 협약에 대하여 대응할 수 있는 체계를 구축해야 하는 경우입니다.
두 가지 측면은 모두 ISO/SAE 21434를 준수하는 사이버보안 관리체계를 구축하는 것으로 대응이 가능합니다. 해당 사이버보안 관리체계를 구축하는 데에는 다음 사항들이 포함됩니다.
OEM과 Tier 간 CIA 체결 과정, 즉 사이버보안 인터페이스 협약 과정에 대한 대응 지침 마련
사이버보안 조직을 포함하는 사이버보안 경영시스템 및 규칙 구축
사이버보안 위협 분석 및 위험 평가 지침 (TARA 지침)
OEM의 사이버보안 요구사양을 제품 개발에 전개하고 검증하는 방안
생산 공정에 대한 사이버보안 적용 지침
사이버보안 정보 및 이벤트 모니터링하고 발견된 취약점을 분석 및 관리하는 체계 구축
사이버보안 사고 발생 시 대응을 위한 지침 마련
이러한 사이버보안 관리체계를 구축하면 OEM의 다양한 관련 요구사항에 대응할 수 있게 됩니다. 그런데 ISO/SAE 21434를 준수하는 사이버보안 관리체계를 구축하려면 무엇부터 시작해서, 어떻게 진행해야 하는지 어려움이 있을 수 있습니다. 현실적으로 전문 컨설팅과 같은 도움 없이는 어려운 부분이 있어 OEM은 물론이고, 많은 Tier들이 저희 같은 전문 기업에 도움을 요청합니다. 하지만 궁극적으로는 이러한 사이버보안 관리체계를 내재화하는 것이 필요합니다.
사이버보안 관리체계 구축에 있어 무엇부터 시작해서 어떻게 진행해야 하는지, 전문 컨설팅 관점에서는 크게 세 단계로 구분할 수 있습니다. 첫째, 컨설팅 서비스는 갭분석을 수행하여 조직의 현황에 적합한 사이버보안 관리체계를 설계하고 구축하게 됩니다.
둘째, 사이버보안 내재화를 위한 프로젝트를 선정하여 해당 프로세스에 따른 프로젝트 이행 과정을 컨설팅 하게 됩니다. 사이버보안 대응을 위한 프로젝트 조직 구성 및 Planning을 지원하고, CIA 체결 과정을 지원하고, 제품에 대한 TARA 과정을 지원 합니다. 필요시 TARA 전문가가 투입됩니다. 또한 제품 개발 과정 중 보안 솔루션 설계 및 적용, 검증을 지원합니다. 필요시 레드팀이 투입됩니다. 또한 생산 공정에서 보안 적용을 지원하고, 차량 전 수명주기 동안 이벤트 모니터링 및 취약점 관리를 지원합니다.
셋째, ISO/SAE 21434에서는 사이버보안 심사 및 프로젝트 평가를 요구하는데 이 과정을 지원합니다. 프로젝트마다 매번 프로세스 심사를 대응하는 것은 개발 및 품질 조직에게는 대단한 부담을 주는데요. 이에 대한 대책으로, 공신력 있는 CSMS 인증을 획득하여 생산성을 높일 수 있습니다.
4. 사이버보안 산출물 작성 시 기존 결과물을 재사용하고 싶은데 조언이 필요해요.
사이버보안 산출물에 대한 업무 범위는 OEM과 Tier 간 체결되는 CIA(Cybersecurity Interface agreement)를 통해서 결정됩니다. CIA에 나열된 각 산출물에 대해서 기존 산출물을 재사용하는 경우와 신규로 작성하는 경우로 구분할 수 있습니다.
이러한 산출물의 재사용 여부는 적어도 아이템 정의서와 사이버보안 사양서를 검토 후 결정해야 합니다. 아이템 정의서 검토에서는 아이템 기능/보안 자산/운영 환경 변경을 확인해야 하고, 사이버보안 사양서 검토에서는 보안 요구사항 또는 보안 컨트롤 변경을 확인해야 합니다.
산출물 재사용을 설명하기 위해 편의상 CIA 산출물은 다음과 같이 그룹핑하여 분류할 수 있습니다. 사이버보안 '프로세스' 산출물은 대부분 재사용 가능하고, 사이버보안 '관리' 산출물은 지침에 따른 개정 작업이 필요합니다. 'TARA 및 검증' 산출물은 재사용 가능하지만, 사이버보안 사양 변경/운영환경 변경/관련 위협 시나리오 또는 취약점의 변경을 고려해야 하고요. 사이버보안 '개발' 산출물은 재사용 가능하지만, 사이버보안 사양 변경을 고려해야 합니다. 다시 말해 9장, 10장, 11장을 제외한 대부분의 산출물은 쉽게 재사용이 가능합니다.
9장, 10장, 11장의 산출물에 대해서는 재사용 분석이 필요합니다. 예를 들어 사이버보안 기능 요구사항이 추가되면 제품에서도 보안 기능이 추가되거나 수정이 필요하고, 검증 테스트케이스 또한 보완되어야 합니다. 다른 예로 제품의 사양 변경은 없으나 그 운영 환경이 변경된 경우 TARA를 재수행해야 합니다. 외부 접점의 추가는 보안 Asset 추가로 이어지고, 차량 보안 모델의 변경은 보안 위험 평가에 영향을 미치게 됩니다. 즉 해당 재사용 분석 결과를 기초로 사양 변경 또는 설계 변경 유무를 결정할 수 있습니다.
5. 보안 취약점 관리 방안에 대해 조언 희망합니다.
사이버보안 취약점 관리는 두 가지 측면을 고려하여 관리되어야 합니다. 첫째는 제품 개발부터 양산 과정, 양산 이후까지 전 수명주기에 걸쳐서 보안 취약점이 관리되어야 한다는 점이고, 둘째는 다양한 출처로부터 식별되는 취약점들을 관리해야 한다는 것입니다.
사이버보안은 제품 개발이 완료된 SOP(Start of Production, 양산 시점) 이후에도 보안 침해 사고가 발생할 수 있습니다. 보안 솔루션이 발전하는 것보다 해커들에 의한 해킹 기술의 발전이 더 빠른 것이 현실이기 때문입니다. 보안 침해 사고, 즉 Cybersecurity Incident가 발생할 때마다 보안 대책이 개발 및 검증/배포되어야 하며 이러한 활동이 자동차 수명주기 내내 반복되어야 합니다. 보통 5년간 양산하고 보증기간이 10년일 경우 약 15년, 실제로는 20년 내외가 될 텐데요. 현재의 보안 기술이 그 시간을 버티는 것은 불가능합니다. 때문에 ISO/SAE 21434 8장 '지속적인 사이버보안 활동' 이행이 필요합니다. 구체적인 사례와 함께 보겠습니다.
해당 화면은 취약점 관리 대장 사례입니다. 취약점이 접수되는 출처는 이미지와 같이 다양합니다. 사이버보안 정보 및 이벤트 모니터링을 통해 식별된 취약점, TARA 결과 식별된 위험 목록, 제품 개발/검증 과정 중 식별된 취약점, 양산 후 필드에서 발생한 보안 침해 사고 등이 있을 수 있습니다. 해당 예시처럼 적어도 프로젝트마다 취약점 관리 대장을 유지해야 합니다. 앞서 잠깐 소개했듯이 프로젝트 특성을 고려해서 취약점들이 관리되어야 하기 때문입니다. 그리고 이러한 사이버보안 활동은 ISO/SAE 21434의 8장인 '지속적인 사이버보안 활동 지침'을 준수하여 이행되어야 합니다.
[ ISO/SAE 21434의 8장 '지속적인 사이버보안 활동 지침' ]
사이버보안 정보 및 이벤트 모니터링 이행/기록
식별된 이벤트가 보안 약점인지 여부 평가
해당 약점이 프로젝트에서 취약점이 될 수 있는지 TARA를 통해 확인
제품 전 수명주기 동안 취약점 관리
사이버보안 취약점 관리를 내재화하기 위해서는 SIEMS(Security Information and Event Management System) 시스템을 구축하고 운영하는 것이 Best Practice 일 것입니다. 시스템을 통해 사이버보안에 대한 모든 이슈 및 현황을 종합적으로 관리할 수 있습니다.
6. 사이버보안 배경 지식이 부족하니 OEM과 미팅할 때 마다 후속 대응 업무가 늘어나요.
제어기 제조사 담당자들을 만나면 많이 듣는 질문이고, 실무를 하면서 많이 겪었던 일이기도 합니다. 앞에서도 비슷한 형태의 대응 방안을 설명해 주셨는데, 다양하게 요청되는 OEM의 요구사항을 효과적으로 대응하기 위해서는 한 마디로 표준화 및 전략적 대응 방안 마련이 필요합니다.
제품 특성에 맞는 보안 요구사항 테일러링
국제표준에 따른 산출물 작성을 통해 OEM 요구 변화에 따른 수정사항 최소화
기본적으로 OEM들이 가지고 있는 표준 사이버보안 기능 요구사항이 있습니다. 하지만 이것은 보통 Super set이며 제어기마다 특성이 달라 모두 적용을 할 수 있는 것은 아닙니다. OEM들이 요구하는 것이 어떤 것인지를 제대로 파악하고, 우리가 할 수 있는 것과 그렇지 못한 것을 명확히 구분해야 합니다. 못하는 부분에 대해서는 대안을 제시 하던지, 아니면 안되는 사유를 정확히 소명해야 하고요. 필요시 후속 대응에 대한 계획 등도 제안해야 합니다.
OEM은 이러한 제어기 제조사들의 소명 자료를 형식 인증을 받는데 사용하게 됩니다. CIA(Cybersecurity Interface agreement) 관점에서도 OEM에서 요구하는 산출물들의 수준이 모두 조금씩 다르기 때문에 제어기 제조사 입장에서는 그 대응이 매우 어렵습니다. 이러한 어려움의 대안으로 ISO/SAE 21434 표준 기반으로 작성하고 국제 기준에 만족함을 충분히 설명해야 일의 반복이나 수정을 최소화할 수 있습니다.
그런데 현실적인 문제는 대부분의 제어기 제조사의 경우 전문 사이버보안팀을 보유하고 있지 않아 위와 같은 활동을 하기가 어렵습니다. OEM과 논의하면 할수록 모호성이 증가하여 일이 늘어나는 경우가 많아지죠. 이런 어려움을 해결하기 위해서는 보안에 대한 전문 역량을 보유하고 있는 조력자가 필요한데요. 페스카로와 같은 전문 업체가 그 대안이 될 수 있습니다.
페스카로는 국내 OEM을 대상으로 CSMS컨설팅/보안솔루션 제공/보안테스팅까지 수행하고 있습니다. OEM이 UNR155 인증을 받기 위해 제어기 제조사에서 해줘야 하는 사항이 무엇인지 제대로 알고 있고, 다수의 제어기 제조사를 대상으로 한 CSMS 컨설팅/사이버보안 매니저 대응/보안 솔루션 판매/엔지니어링 서비스 제공 등의 경험을 가지고 있어 업무를 효과적으로 수행할 수 있도록 가이드를 제공합니다.
7. Tier도 사이버보안 관련 인증을 받아야 하나요?
한마디로 말하면 No 입니다. 명확히 이야기하면 인증은 자동차 제조사에게만 필수입니다. UNR 155에서는 CSMS 인증은 자동차 제작사들 받아야 한다고 명시되어 있습니다. 다만 CSMS가 제어기 제조사들의 사이버보안 활동도 관리할 수 있어야 한다고 요구되고 있습니다.
이것에 대한 구체적인 방법론을 ISO/SAE 21434의 7장 'Distributed cybersecurity activities'에서 설명하고 있으며, OEM은 CIA(Cybersecurity Interface agreement)를 통해 제어기 제조사가 CSMS를 구축했는지 확인합니다. 이렇게 제어기 제조사가 인증을 직접 받는 것은 아니지만 OEM의 요청에 따라 CSMS 구축을 해야 합니다. 일부 제어기 제조사들은 이렇게 구축된 CSMS를 인증기관, 현재는 TS(Technical Service)를 통해 ISO/SAE 21434 인증까지 받는 경우가 있습니다.
이렇게 인증을 받음으로써 회사가 사이버보안에 대한 대응 준비가 잘 되어 있다는 것을 확증하여 다른 과제 또는 신규 OEM 과제 수주의 경쟁력을 높일 수 있습니다. 인증 기관의 경우 아직 정식 인증 자격이나 심사원 자격이 있는 것이 아니기 때문에, UNR 155인증을 대행하고 있는 TS들이 Tier 대상으로 한 ISO/SAE 21434 인증까지 진행한다고 보시면 됩니다.
페스카로는 다수의 TS들과 협업을 하고 있고, 실제로 컨설팅을 한 제어기 제조사가 ISO/SAE 21434 인증을 획득한 사례도 있습니다. 이러한 협업 관계와 경험을 바탕으로 제어기 제조사들이 효과적으로 인증을 받을 수 있도록 충분히 지원하고 있습니다.
페스카로는 OEM의 CSMS 인증, Tier의 ISO/SAE 21434 인증,
내연기관/전기차에 적용된 대부분의 제어기에 사이버보안 컨설팅과 엔지니어링을 수행한 경험이 있습니다.
자동차 사이버보안 관련 고민이 있으신가요? 아래 링크를 통해 의견을 남겨주세요.
여러분의 고민 해소에 도움이 되는 유익한 콘텐츠로 찾아올게요! (총 5개 질문, 1분 소요)
