ISO 21434란 무엇인가
ISO/SAE 21434:2021은 자동차 사이버보안 엔지니어링을 위한 국제 표준입니다. 2021년 8월에 ISO(국제표준화기구)와 SAE International이 공동으로 발표했으며, 정식 명칭은 "Road vehicles — Cybersecurity engineering"입니다. 이 표준은 자동차의 전기/전자(E/E) 시스템을 대상으로, 차량 개발 초기 단계부터 폐기까지 전체 수명주기에 걸친 사이버보안 프레임워크를 제공합니다.
자동차 산업은 오랫동안 기능안전(ISO 26262)에 집중해 왔습니다. 기능안전은 시스템의 우발적 고장으로 인한 위험을 다루지만, 외부 공격자에 의한 의도적인 위협은 다루지 않았습니다. 커넥티드카, OTA(Over-the-Air) 업데이트, V2X(Vehicle-to-Everything) 통신이 보편화되면서, 차량은 네트워크에 상시 연결된 "움직이는 컴퓨터"가 되었습니다. ISO 21434는 바로 이 새로운 위협 환경에 대응하기 위해 만들어졌습니다.
표준의 핵심 목표는 세 가지입니다. 첫째, 조직 수준에서 사이버보안 거버넌스를 확립하는 것. 둘째, 프로젝트 수준에서 체계적인 보안 활동을 수행하는 것. 셋째, 차량 출시 이후에도 지속적으로 보안을 모니터링하고 대응하는 것입니다. 이 세 가지가 모여 차량의 전체 수명주기를 커버하는 통합적 사이버보안 체계가 됩니다.
왜 자동차 사이버보안이 중요한가
현대 차량에 탑재되는 소프트웨어의 규모는 폭발적으로 증가하고 있습니다. 프리미엄 차량의 경우 1억 줄 이상의 코드가 들어가고, ECU(전자제어장치)는 100개를 넘기기도 합니다. SDV(소프트웨어 정의 차량) 트렌드가 가속화되면서, 소프트웨어가 차량의 핵심 가치를 결정하는 시대가 되었습니다.
이러한 복잡도 증가는 곧 공격면(Attack Surface)의 확대를 의미합니다. 커넥티드카는 텔레매틱스, Wi-Fi, 블루투스, USB, OBD-II 포트 등 다양한 외부 인터페이스를 가지고 있으며, 각각이 잠재적인 침입 경로가 됩니다. OTA 업데이트는 편리하지만, 업데이트 채널 자체가 공격 대상이 될 수 있습니다. V2X 통신은 차량 간, 차량과 인프라 간 데이터를 교환하므로 새로운 위협 벡터를 만들어냅니다.
실제로 자동차 사이버보안 사고는 이미 여러 차례 발생했습니다. 원격으로 차량의 브레이크와 조향을 제어하는 해킹이 시연된 적이 있고, 충전 인프라를 통한 공격, 키리스 엔트리 시스템의 릴레이 공격 등이 보고되고 있습니다. 한 건의 보안 취약점이 대규모 리콜로 이어질 수 있고, 브랜드 신뢰도에 치명적인 타격을 줍니다.
주요 OEM과 글로벌 Tier1 공급업체들은 이미 사이버보안을 핵심 경쟁력으로 인식하고 있습니다. 사이버보안 역량이 없으면 아무리 좋은 소프트웨어를 만들어도 공급망에 참여할 수 없는 시대가 되고 있습니다.
ISO 21434의 구조와 핵심 요구사항
ISO 21434는 크게 조직 수준과 프로젝트 수준으로 나뉘는 구조를 가지고 있습니다.
조직 수준 보안 관리(Clause 5): 조직은 사이버보안 정책, 규칙, 프로세스를 수립해야 합니다. 사이버보안 문화를 형성하고, 역할과 책임을 명확히 정의하며, 필요한 역량을 갖춘 인력을 확보해야 합니다. 또한 사이버보안 관련 정보를 수집하고 공유하는 체계를 갖추어야 합니다. 조직 수준의 보안 관리가 탄탄해야 개별 프로젝트의 보안 활동도 일관되게 수행될 수 있습니다.
프로젝트 수준 보안 관리(Clause 6): 각 프로젝트에서는 사이버보안 계획을 수립하고, 보안 활동을 프로젝트 일정과 통합합니다. 사이버보안 케이스(Cybersecurity Case)라는 문서를 통해 보안 활동의 결과와 근거를 체계적으로 정리합니다.
분산 보안 활동(Clause 7): 자동차 산업은 OEM, Tier1, Tier2 등 복잡한 공급망으로 이루어져 있습니다. ISO 21434는 조직 간 사이버보안 책임의 분배와 인터페이스를 명확히 정의하도록 요구합니다. 공급업체 선정 시 사이버보안 역량을 평가하고, 사이버보안 인터페이스 합의서(Cybersecurity Interface Agreement)를 체결해야 합니다.
위협 분석 및 위험 평가 — TARA(Clause 15): TARA(Threat Analysis and Risk Assessment)는 ISO 21434의 핵심 방법론입니다. TARA의 수행 절차는 다음과 같습니다.
- 자산 식별(Asset Identification): 보호해야 할 자산(데이터, 기능, 인터페이스)을 식별합니다.
- 위협 시나리오 도출(Threat Scenario Identification): 각 자산에 대해 가능한 위협 시나리오를 도출합니다. STRIDE 등의 방법론을 활용할 수 있습니다.
- 영향도 평가(Impact Rating): 위협이 실현되었을 때의 안전, 재정, 운영, 프라이버시 영향을 평가합니다.
- 공격 경로 분석(Attack Path Analysis): 위협이 실현될 수 있는 공격 경로를 분석합니다.
- 공격 실현 가능성 평가(Attack Feasibility Rating): 공격자의 관점에서 공격의 실현 가능성을 평가합니다.
- 위험도 결정(Risk Determination): 영향도와 공격 실현 가능성을 종합하여 위험도를 결정합니다.
- 위험 처리 결정(Risk Treatment Decision): 위험도에 따라 회피, 저감, 전가, 수용 중 적절한 처리 방법을 결정합니다.
TARA는 일회성이 아니라, 개발 과정에서 반복적으로 수행되며 새로운 위협 정보가 확인될 때마다 업데이트됩니다. 이것이 기능안전의 HARA(Hazard Analysis and Risk Assessment)와 구별되는 중요한 특징입니다.
이 외에도 ISO 21434는 개념 단계(Clause 9), 제품 개발 단계(Clause 10~12), 검증 및 확인(Clause 13), 생산(Clause 14), 운영 및 유지보수(Clause 16), 폐기(Clause 16) 등 차량 수명주기의 모든 단계에 대한 보안 요구사항을 정의합니다.
CSMS 구축
CSMS(Cyber Security Management System)는 자동차 사이버보안을 조직적으로 관리하기 위한 체계적인 관리 시스템입니다. ISO 21434의 조직 수준 요구사항을 실현하는 실질적인 프레임워크이며, UN R155 규제에서 인증 대상으로 지정한 핵심 요소이기도 합니다.
CSMS의 핵심 요소:
- 정책(Policy): 조직의 사이버보안 정책, 목표, 방향을 정의합니다. 경영진의 의지와 지원이 반영되어야 합니다.
- 프로세스(Process): 위협 분석, 위험 평가, 보안 요구사항 관리, 취약점 관리, 인시던트 대응 등 구체적인 절차를 수립합니다.
- 도구(Tools): TARA 도구, 취약점 스캐너, SIEM(보안 정보 및 이벤트 관리), 침입 탐지 시스템 등 보안 활동을 지원하는 도구 체인을 갖춥니다.
- 인력(People): 사이버보안 전문 인력을 확보하고, 전 직원에 대한 보안 인식 교육을 실시합니다. 사이버보안 책임자(Cybersecurity Manager)를 지정합니다.
CSMS 구축 단계:
- 1단계 — 현황 분석: 조직의 현재 사이버보안 수준을 평가합니다. 기존 프로세스, 도구, 인력의 현황과 격차를 파악합니다.
- 2단계 — 프레임워크 설계: ISO 21434의 요구사항에 맞는 CSMS 프레임워크를 설계합니다. 정책, 프로세스, 조직 구조를 정의합니다.
- 3단계 — 구현: 설계된 프레임워크를 실제로 구현합니다. 프로세스를 문서화하고, 도구를 도입하며, 인력을 교육합니다.
- 4단계 — 운영 및 개선: CSMS를 실제 프로젝트에 적용하고, 결과를 모니터링하며, 지속적으로 개선합니다.
ISO 27001과의 차이: ISO 27001은 일반 IT 정보보안 관리체계 표준입니다. ISO 21434의 CSMS와 목적이 비슷해 보이지만, 핵심적인 차이가 있습니다. ISO 27001은 조직의 정보 자산 보호에 초점을 맞추는 반면, ISO 21434의 CSMS는 차량과 그 구성 요소의 사이버보안에 특화되어 있습니다. ISO 27001은 차량 수명주기의 개념이 없고, TARA와 같은 자동차 특화 위협 분석 방법론도 포함하지 않습니다. 다만 ISO 27001 인증을 이미 보유한 조직이라면, 그 경험과 체계를 CSMS 구축에 활용할 수 있습니다.
UN R155/R156과의 관계
UN R155와 R156은 유엔 유럽경제위원회(UNECE)의 자동차 사이버보안 관련 규제입니다. ISO 21434가 "표준(Standard)"이라면, UN R155/R156은 "규제(Regulation)"입니다. 이 차이를 이해하는 것이 매우 중요합니다.
UN R155 — CSMS 인증 의무: UN R155는 자동차 제조사(OEM)에게 CSMS 인증을 의무화하는 규제입니다. OEM은 인증 기관(Technical Service)으로부터 CSMS 인증을 받아야 하고, 이 인증이 없으면 해당 지역에서 차량 형식 승인(Type Approval)을 받을 수 없습니다. EU에서는 2022년 7월부터 신규 형식에, 2024년 7월부터 모든 신규 차량에 적용이 의무화되었습니다.
UN R156 — SUMS(Software Update Management System): R156은 소프트웨어 업데이트 관리 시스템에 관한 규제입니다. OTA 업데이트를 포함한 모든 소프트웨어 업데이트가 안전하게 이루어지도록 관리 체계를 갖추라는 요구사항입니다. R155의 CSMS와 함께 차량의 전체 수명주기에 걸친 보안을 보장합니다.
ISO 21434와 UN R155의 관계: ISO 21434는 UN R155가 아닙니다. ISO 21434를 준수한다고 해서 자동으로 R155 인증을 받는 것은 아닙니다. 그러나 ISO 21434는 R155의 CSMS 요구사항을 충족하기 위한 실질적인 기반 프레임워크입니다. 대부분의 인증 기관이 ISO 21434 준수 여부를 R155 인증의 핵심 기준으로 사용하고 있습니다. 결론적으로, R155 인증을 받으려면 ISO 21434 수준의 사이버보안 체계가 필수입니다.
지역별 현황:
- EU: 가장 선도적입니다. 2024년 7월부터 모든 신규 차량에 R155/R156 적용이 필수화되었습니다.
- 한국: UNECE 1958년 협정 가입국으로 R155/R156을 수용하고 있으며, 국토교통부가 자동차 사이버보안 가이드라인을 발표했습니다. 국내 OEM과 Tier1 공급업체들이 CSMS 구축을 진행 중입니다.
- 일본: UNECE 1958년 협정 가입국으로 R155/R156을 수용하고 있으며, 자동차 사이버보안 관련 법규를 정비 중입니다.
- 중국: UNECE 협정 비가입국이지만, GB/T 기반의 자체 사이버보안 표준(GB/T 40857 등)을 개발하고 있습니다. ISO 21434를 참조하되 독자적인 프레임워크를 구축하고 있습니다.
ISO 26262와 ISO 21434의 관계
ISO 26262(기능안전)와 ISO 21434(사이버보안)는 자동차 소프트웨어 개발에서 양대 축을 이루는 표준입니다. 둘의 관계를 명확히 이해하는 것이 중요합니다.
기능안전 vs 사이버보안: ISO 26262는 시스템의 우발적 고장(Random Failure)과 체계적 고장(Systematic Failure)으로 인한 위험을 다룹니다. 예를 들어, 브레이크 ECU의 소프트웨어 버그로 인해 브레이크가 작동하지 않는 상황입니다. ISO 21434는 악의적인 외부 공격자에 의한 의도적 위협을 다룹니다. 예를 들어, 해커가 차량 네트워크에 침입하여 브레이크를 무력화하는 상황입니다.
상호 보완적 관계: 두 표준은 서로 다른 위협을 다루지만, 결과적으로 같은 시스템을 보호합니다. 브레이크 시스템이 기능안전(ISO 26262)을 완벽히 충족하더라도, 사이버 공격으로 무력화될 수 있다면 안전하다고 할 수 없습니다. 반대로, 사이버보안(ISO 21434)이 완벽하더라도 소프트웨어 버그로 오작동한다면 역시 안전하지 않습니다. 현대 차량에는 두 표준 모두가 필요합니다.
실무에서도 두 표준의 활동은 상호 참조됩니다. ISO 26262의 HARA(위험 분석) 결과는 ISO 21434의 TARA에 입력으로 활용되고, TARA에서 식별된 사이버보안 위협이 안전에 미치는 영향은 다시 HARA에 반영됩니다.
ASPICE 4.0과의 연계: 2023년에 발표된 ASPICE 4.0은 사이버보안 프로세스를 새로운 프로세스 영역으로 추가했습니다. 이는 ASPICE, ISO 26262, ISO 21434 세 표준이 하나의 통합된 프레임워크로 수렴하고 있음을 보여줍니다. 기능안전과 사이버보안이 별개가 아니라, 차량 안전이라는 하나의 큰 목표 아래 통합되어야 한다는 산업계의 인식을 반영한 것입니다.
PopcornSAR의 사이버보안 대응
PopcornSAR는 자동차 소프트웨어 개발의 전 과정을 지원하는 도구와 서비스를 제공합니다. 사이버보안 영역에서도 실질적인 대응을 지원합니다.
PARVIS 도구: PARVIS는 자동차 소프트웨어 개발을 위한 AI 기반 통합 플랫폼입니다. 요구사항 분석에서 코드 생성, 테스트, 검증까지 하나의 흐름으로 연결됩니다. PARVIS-Coder는 보안 코딩 규칙을 자동으로 적용하여 코드 수준의 취약점을 줄여줍니다. PARVIS-Verify는 보안 요구사항에 대한 테스트케이스를 자동 생성하고 검증 커버리지를 확보합니다. ISO 21434가 요구하는 산출물 생성에도 활용할 수 있어, TARA 결과에 기반한 보안 요구사항의 추적성을 체계적으로 관리할 수 있습니다.
ASPICE 4.0 컨설팅: ASPICE 4.0에서 사이버보안이 새로운 프로세스 영역으로 추가됨에 따라, ISO 21434 대응은 ASPICE 심사에도 영향을 미칩니다. PopcornSAR의 컨설팅 서비스는 ASPICE, ISO 26262, ISO 21434를 통합적으로 대응할 수 있는 프로세스 설계를 지원합니다. 세 표준의 요구사항을 하나의 개발 프로세스에 매핑하여, 중복 작업을 최소화하면서 모든 표준을 충족하는 전략을 제공합니다.
사이버보안 대응이 어디서부터 시작해야 할지 막막하다면, 현황 분석부터 CSMS 구축, TARA 수행, 도구 도입까지 단계별로 지원받을 수 있습니다. 문의하기를 통해 조직의 상황에 맞는 구체적인 상담을 받아보시기 바랍니다.