자동차 사이버보안: UNECE WP29 R155: CSMS (Cyber Security Management System) 규정 설명

 

UNECE WP29 R155는 차량의 사이버 보안을 다루는 규정으로, 자동차 제조업체가 차량의 설계, 개발, 제조, 유지보수 등 전 과정에서 사이버 보안을 유지할 수 있도록 다양한 요구사항을 명시하고 있습니다. 다음은 각 섹션의 보완된 설명과 상호 관계, 그리고 Section 7의 세부 요구사항과 고려사항을 포함한 상세 설명입니다.

Section 1: 목적 (Purpose)

구분	내용
요구사항	이 섹션은 이 규정의 목적을 명시합니다.
설명	차량의 설계, 개발, 제조, 유지보수, 그리고 사용 과정에서 사이버 보안을 보장하여 운전자와 승객의 안전을 지키고, 차량이 사이버 공격에 노출되지 않도록 하는 것을 목표로 합니다.
관계	전체 규정의 방향성을 제공하며, 각 섹션이 이 목적을 달성하기 위한 구체적인 요구사항을 제시합니다.

Section 2: 적용 범위 (Scope)

구분	내용
요구사항	규정이 적용되는 차량의 유형과 범위를 명시합니다.
설명	UNECE WP29 R155는 승용차, 상용차, 버스 등 다양한 유형의 차량에 적용되며, 새로운 차량뿐만 아니라 기존 차량에도 적용될 수 있습니다.
관계	각 섹션의 요구사항이 어떤 차량에 적용되는지를 명확히 하여 규정의 범위를 설정합니다.

Section 3: 정의 (Definitions)

구분	내용
요구사항	이 규정에서 사용되는 주요 용어들을 정의합니다.
설명	사이버 보안, CSMS, 취약점, 위협 등 중요한 용어들의 정의를 제공하여 규정의 명확한 이해를 돕습니다.
관계	모든 섹션에서 사용되는 용어들을 명확히 정의함으로써 일관된 해석을 가능하게 합니다.

Section 4: 일반 요구사항 (General Requirements)

구분	내용
요구사항	차량 제조업체가 준수해야 할 기본적인 사이버 보안 요구사항을 제시합니다.
설명	모든 차량 제조업체는 CSMS를 도입하고, 사이버 보안 정책을 수립하며, 보안 교육을 실시해야 합니다.
관계	CSMS를 포함한 전체적인 보안 관리 시스템의 기본 틀을 제시하여, 이후 섹션들의 구체적인 요구사항을 실현할 수 있는 기반을 마련합니다.

Section 5: 사이버 보안 관리 시스템 (Cyber Security Management System, CSMS)

구분	내용
요구사항	CSMS의 구체적인 구성 요소와 요구사항을 명시합니다.
설명	CSMS는 차량 제조업체가 사이버 보안을 체계적으로 관리하기 위한 시스템으로, 이를 통해 사이버 보안 위험을 평가하고 대응할 수 있습니다.
관계	CSMS는 Section 4에서 제시된 일반 요구사항을 구체화하며, Section 7의 요구사항을 실행할 수 있는 시스템을 제공합니다.

Section 6: 사이버 보안 위험 평가 및 관리 (Cyber Security Risk Assessment and Management)

구분	내용
요구사항	사이버 보안 위험을 식별, 평가, 관리하는 절차를 명시합니다.
설명	위험 평가를 통해 잠재적인 사이버 위협과 취약점을 식별하고, 이를 완화하기 위한 대책을 수립하여 실행해야 합니다.
관계	CSMS의 중요한 구성 요소로서, Section 7.2.2에서 구체적으로 다루어집니다.

Section 7: 사이버 보안 관리 시스템의 요구사항 (Cyber Security Management System Requirements)

구분	내용
요구사항	CSMS의 구체적인 요구사항을 다룹니다.
설명	CSMS의 범위, 위험 평가, 보안 정책, 사고 대응 계획 등 세부적인 요구사항을 포함합니다.
관계	CSMS를 통해 달성해야 할 구체적인 요구사항을 제시하여, 전체 시스템의 실효성을 높입니다.

 

7.2.1 Cyber Security Management System의 범위 (Scope)
7.2.1.1: CSMS는 차량 제조사와 관련 부품 제조사가 생산하는 모든 차량과 부품에 적용되어야 합니다.

CSMS는 전체 차량 라인업 및 관련 구성 요소를 포괄해야 하며, 이를 통해 모든 제품이 동일한 보안 기준을 충족할 수 있도록 해야 합니다. 이는 차량의 설계, 개발, 생산, 유지보수 등 모든 단계에서 적용됩니다.

고려사항:

• 모든 차량 모델과 부품을 CSMS의 적용 범위에 포함시켜야 합니다.
• 새로운 차량이나 부품이 추가될 때마다 CSMS 범위를 업데이트해야 합니다.
• 각 단계별로 구체적인 보안 요구사항을 문서화하고 실행해야 합니다.

7.2.2 사이버 보안 위험 평가 (Risk Assessment)
7.2.2.1: 제조사는 주기적으로 사이버 보안 위험 평가를 수행하고, 새로운 위협과 취약점을 식별해야 합니다.
7.2.2.2: 위험 평가 결과에 따라 보안 대책을 수립하고, 이를 실행해야 합니다.

위험 평가는 차량과 관련 시스템의 현재 보안 상태를 평가하고, 잠재적인 보안 위협을 식별하여 이를 완화하기 위한 조치를 강구하는 과정입니다. 이는 정기적으로 수행되어야 하며, 새로운 기술이나 위협이 나타날 때마다 업데이트되어야 합니다.

고려사항:

• 최신 보안 위협과 취약점에 대한 정보를 지속적으로 수집하고 분석해야 합니다.
• 위험 평가 프로세스를 표준화하여 일관된 결과를 도출해야 합니다.
• 평가 결과를 기반으로 구체적인 보안 대책을 수립하고, 이를 우선순위에 따라 실행해야 합니다.
• 위험 평가의 정확성을 높이기 위해 다양한 시나리오와 공격 벡터를 고려해야 합니다.

7.2.3 보안 정책 및 절차 (Security Policies and Procedures)
7.2.3.1: 명확한 사이버 보안 정책과 절차를 수립해야 하며, 이를 조직 내 모든 구성원이 준수해야 합니다.
7.2.3.2: 보안 정책과 절차는 주기적으로 검토 및 업데이트되어야 합니다.

보안 정책은 사이버 보안 목표와 이를 달성하기 위한 방법을 명확히 정의한 문서입니다. 절차는 정책을 실행하기 위한 구체적인 단계들을 포함하며, 모든 구성원이 쉽게 이해하고 따를 수 있도록 작성되어야 합니다.

고려사항:

• 보안 정책과 절차를 문서화하고, 조직 내 모든 구성원에게 교육해야 합니다.
• 정책과 절차의 준수 여부를 주기적으로 점검하고, 개선사항을 반영해야 합니다.
• 변화하는 보안 환경과 기술에 맞추어 정책과 절차를 업데이트해야 합니다.
• 구성원들의 이해를 돕기 위해 정책과 절차를 직관적으로 작성하고, 실습과 훈련을 병행해야 합니다.

7.2.4 사이버 보안 조직 (Cyber Security Organization)
7.2.4.1: 사이버 보안을 전담하는 조직을 구성하고, 명확한 역할과 책임을 정의해야 합니다.
7.2.4.2: 조직 내 모든 구성원은 자신의 역할과 책임을 명확히 인식해야 합니다.

사이버 보안 조직은 보안 전략 수립, 실행, 모니터링 및 대응을 담당합니다. 각 구성원의 역할과 책임이 명확히 정의되어 있어야 하며, 이를 통해 보안 관련 업무가 효율적으로 수행될 수 있습니다.

고려사항:

• 사이버 보안 전담 조직을 구성하고, 각 구성원의 역할과 책임을 명확히 정의해야 합니다.
• 구성원들의 전문성을 강화하기 위한 지속적인 교육과 훈련을 제공해야 합니다.
• 조직 내 명확한 보고 체계와 의사소통 채널을 구축하여 신속한 대응을 가능하게 해야 합니다.
• 구성원의 업무 성과를 주기적으로 평가하고, 필요한 경우 역할과 책임을 재조정해야 합니다.

7.2.5 보안 인증 및 검토 (Security Certification and Audits)
7.2.5.1: 정기적으로 CSMS의 효과성을 검토하고, 필요시 외부 인증을 받을 수 있도록 해야 합니다.
7.2.5.2: 내부 및 외부 검토 결과를 반영하여 CSMS를 지속적으로 개선해야 합니다.

내부 및 외부 검토를 통해 CSMS가 제대로 작동하고 있는지 확인하고, 이를 통해 지속적인 개선이 이루어지도록 해야 합니다. 외부 인증은 CSMS의 신뢰성을 높이고, 규제 준수를 입증하는 데 도움이 됩니다.

고려사항:

• 내부 감사 팀을 구성하여 정기적으로 CSMS를 검토하고, 결과를 문서화해야 합니다.
• 외부 인증 기관의 인증을 주기적으로 받아 CSMS의 신뢰성을 입증해야 합니다.
• 감사 결과에 따라 발견된 문제점을 개선하고, CSMS를 지속적으로 업데이트해야 합니다.
• 감사 프로세스의 투명성과 객관성을 유지하기 위해 독립적인 검토 절차를 도입해야 합니다.

7.2.6 사고 대응 계획 (Incident Response Plan)
7.2.6.1: 사이버 보안 사고 발생 시 신속하게 대응할 수 있는 계획을 수립해야 합니다.
7.2.6.2: 사고 대응 계획은 정기적으로 테스트되고 업데이트되어야 합니다.

사고 대응 계획은 보안 사고가 발생했을 때 신속하게 대응하고, 피해를 최소화하며, 시스템을 정상 상태로 복구하기 위한 절차를 포함합니다. 이는 정기적으로 테스트되고 업데이트되어야 합니다.

고려사항:

• 사고 대응 팀을 구성하고, 각 구성원의 역할과 책임을 명확히 정의해야 합니다.
• 다양한 사고 시나리오를 고려한 대응 계획을 수립하고, 이를 문서화해야 합니다.
• 사고 대응 계획을 주기적으로 테스트하여 실행 가능성을 점검하고, 필요한 경우 업데이트해야 합니다.
• 사고 발생 시 신속한 의사소통을 위한 연락망을 구축하고, 관련 조직과 협력 체계를 마련해야 합니다.

7.2.7 보안 모니터링 및 업데이트 (Security Monitoring and Updates)
7.2.7.1: 차량과 관련 시스템의 보안을 지속적으로 모니터링하고, 필요한 경우 보안 업데이트를 실시해야 합니다.
7.2.7.2: 보안 업데이트는 신속하고 안전하게 배포되어야 합니다.

보안 모니터링 시스템은 실시간으로 작동하여 잠재적인 위협을 감지하고 대응할 수 있어야 합니다. 보안 업데이트는 새로운 위협에 대비하여 정기적으로 제공되어야 하며, 업데이트 과정은 안전하고 효율적으로 이루어져야 합니다.

고려사항:

• 실시간 보안 모니터링 시스템을 구축하고, 잠재적인 위협을 신속히 감지할 수 있어야 합니다.
• 보안 업데이트를 신속히 배포하기 위한 절차를 마련하고, 업데이트 과정의 안전성을 보장해야 합니다.
• 모니터링 결과를 분석하여 보안 상태를 평가하고, 필요한 조치를 즉시 취해야 합니다.
• 최신 보안 위협에 대한 정보를 지속적으로 수집하고, 이를 기반으로 보안 정책을 업데이트해야 합니다.

7.2.8 공급망 보안 (Supply Chain Security)
7.2.8.1: 부품 공급업체와의 계약 및 협력 과정에서도 사이버 보안을 고려해야 합니다.
7.2.8.2: 공급업체의 보안 수준을 평가하고, 필요 시 보안 개선을 요구해야 합니다.

공급망 보안은 전체 공급망에 걸쳐 일관된 보안 수준을 유지하는 것을 목표로 합니다. 이를 위해 공급업체의 보안 수준을 평가하고, 필요 시 보안 개선을 요구해야 합니다. 지속적인 협력을 통해 공급망 전체의 보안 상태를 관리하고 유지해야 합니다.

고려사항:

• 부품 공급업체의 보안 정책과 절차를 평가하여 일관된 보안 수준을 유지해야 합니다.
• 공급업체와의 계약 시 사이버 보안 요구사항을 명확히 규정해야 합니다.
• 정기적으로 공급업체의 보안 수준을 점검하고, 개선이 필요한 경우 이를 요구해야 합니다.
• 공급망 전체에 걸쳐 지속적인 보안 교육과 훈련을 제공하여 보안 인식을 제고해야 합니다.

Section 8: 차량 수명주기 전반의 사이버 보안 (Cyber Security Throughout the Vehicle Lifecycle)

구분	내용
요구사항	차량의 전체 수명주기 동안 사이버 보안을 유지하기 위한 요구사항을 명시합니다.
설명	설계, 개발, 제조, 유지보수, 폐기 등 차량의 모든 단계에서 사이버 보안을 고려해야 합니다.
관계	Section 7에서 다룬 요구사항을 차량 수명주기 전반에 걸쳐 적용하여 일관된 보안 수준을 유지합니다.

Section 9: 모니터링 및 업데이트 (Monitoring and Updates)

구분	내용
요구사항	차량과 관련 시스템의 보안을 지속적으로 모니터링하고, 필요한 경우 보안 업데이트를 수행하는 요구사항을 명시합니다.
설명	실시간 모니터링 시스템을 통해 잠재적인 사이버 위협을 감지하고, 이를 신속하게 대응하여 시스템을 보호합니다.
관계	Section 7.2.7에서 다룬 보안 모니터링 및 업데이트 요구사항을 구체화합니다.

Section 10: 사고 대응 및 복구 (Incident Response and Recovery)

구분	내용
요구사항	사이버 보안 사고 발생 시 신속하게 대응하고 복구하기 위한 요구사항을 명시합니다.
설명	사고 대응 계획을 수립하고, 이를 주기적으로 테스트하여 사고 발생 시 신속하게 대응할 수 있도록 준비합니다.
관계	Section 7.2.6에서 다룬 사고 대응 계획 요구사항을 구체화합니다.

Section 11: 문서화 및 기록 유지 (Documentation and Record Keeping)

구분	내용
요구사항	사이버 보안 관련 활동과 조치를 문서화하고, 이를 적절히 기록 유지하는 요구사항을 명시합니다.
설명	모든 보안 관련 활동과 결정 사항을 문서화하여 기록으로 남기고, 필요한 경우 이를 검토할 수 있도록 해야 합니다.
관계	각 섹션에서 수행된 활동과 조치를 체계적으로 문서화하여 일관된 기록을 유지합니다.

Section 12: 감사 및 검토 (Audits and Reviews)

구분	내용
요구사항	CSMS의 효과성을 정기적으로 감사하고 검토하는 요구사항을 명시합니다.
설명	내부 및 외부 감사와 검토를 통해 CSMS의 효과성을 평가하고, 이를 지속적으로 개선합니다.
관계	Section 7.2.5에서 다룬 보안 인증 및 검토 요구사항을 구체화합니다.

Section 13: 교육 및 훈련 (Training and Awareness)

구분	내용
요구사항	조직 내 모든 구성원에게 사이버 보안 교육과 훈련을 제공하는 요구사항을 명시합니다.
설명	구성원들의 사이버 보안 인식을 제고하고, 보안 절차를 준수할 수 있도록 정기적인 교육과 훈련을 실시합니다.
관계	Section 7.2.4에서 다룬 보안 조직 요구사항과 연계하여 구성원들의 역량을 강화합니다.

이와 같은 요구사항을 충실히 이행함으로써 제조사는 차량의 사이버 보안을 효과적으로 관리하고, 사이버 위협으로부터 차량과 운전자를 보호할 수 있습니다. 각 항목별 요구사항을 고려하여 체계적이고 지속적인 보안 관리가 이루어져야 합니다.

 

마치며...

UNECE WP29 R155 규정을 준수하기 위해 필요한 주요 고려사항을 요약하면 다음과 같습니다:

1. 포괄적 CSMS 구현: 모든 차량 모델과 부품을 포함하는 포괄적이고 체계적인 사이버 보안 관리 시스템(CSMS)을 구축하고, 이를 지속적으로 업데이트해야 합니다.
2. 위험 평가 및 대응: 최신 보안 위협과 취약점을 지속적으로 모니터링하고 평가하여, 이를 기반으로 구체적인 보안 대책을 수립하고 실행해야 합니다.
3. 명확한 정책과 절차: 명확한 보안 정책과 절차를 수립하고, 조직 내 모든 구성원이 이를 준수하도록 교육과 훈련을 제공해야 합니다.
4. 전담 조직 구성: 사이버 보안을 전담하는 조직을 구성하고, 각 구성원의 역할과 책임을 명확히 정의하여 효율적으로 보안 업무를 수행하도록 해야 합니다.
5. 정기적인 인증 및 검토: 내부 및 외부 감사와 검토를 통해 CSMS의 효과성을 평가하고, 지속적으로 개선해야 합니다.
6. 사고 대응 계획: 다양한 사고 시나리오를 고려한 사고 대응 계획을 수립하고, 이를 주기적으로 테스트하여 신속한 대응과 복구를 준비해야 합니다.
7. 실시간 모니터링 및 업데이트: 실시간 보안 모니터링 시스템을 구축하고, 필요한 경우 신속하고 안전하게 보안 업데이트를 실시해야 합니다.
8. 공급망 보안: 부품 공급업체의 보안 수준을 평가하고, 일관된 보안 수준을 유지하기 위해 공급망 전체에 걸쳐 협력과 교육을 강화해야 합니다.
9. 문서화 및 기록 유지: 모든 보안 활동과 조치를 체계적으로 문서화하고 기록하여, 필요 시 이를 검토하고 개선에 활용해야 합니다.
10. 교육 및 인식 제고: 조직 내 모든 구성원에게 정기적인 보안 교육과 훈련을 제공하여 보안 인식을 제고하고, 보안 절차를 준수하도록 해야 합니다.

이러한 고려사항들은 규정을 효과적으로 준수하고, 차량의 사이버 보안을 강화하는 데 필수적입니다.

 

---

2024.08.04 - [Automotive] - 자동차 사이버보안: 제어기 내/외부 인터페이스에 대한 위협 유형과 대응 방안

자동차 사이버보안: 제어기 내/외부 인터페이스에 대한 위협 유형과 대응 방안

 

2024.08.04 - [Automotive] - 자동차 사이버보안: 백엔드 서버에 대한 위협 유형과 대응 방안

자동차 사이버보안: 백엔드 서버에 대한 위협 유형과 대응 방안

 

2024.07.29 - [Automotive] - 자동차 사이버보안 가이드라인 알아보기

자동차 사이버보안 가이드라인 알아보기