사이버 보안은 형식 승인의 필수 요건이 되고 있다

민즐라프 박사님, 자동차 보안 분야에서 구속력 있는 기준과 규정을 마련하려는 노력이 본격화되고 있습니다. 여기서 특히 주목할 만한 발전은 무엇인가요?

현재 모두가 주목하는 두 가지 계획이 있습니다: 첫째, 프로세스 수준에서 표준을 설정하는 ISO/SAE 21434 규격이며, 둘째는 차량 형식 승인의 필수 요건으로 사이버 보안을 도입할 UNECE WP.29의 활동입니다. UNECE 규정과 ISO 규격 모두 향후 3년 이내에 시행될 예정입니다. 따라서 준비할 시간이 많지 않습니다.

이는 가까운 미래에 차량의 IT 보안이 형식 승인을 위한 진정한 핵심 요소가 될 것임을 의미합니다!

맞습니다. 향후 UNECE(유엔 유럽 경제 위원회) 규격에 따라 OEM 업체들은 적절한 위험 관리 방안을 입증할 수 있을 때만 EU나 일본 같은 시장에서 차량 유형을 승인받을 수 있게 됩니다. ISO/SAE 21434는 자동차 산업을 위한 공통 보안 표준을 제공함으로써 이 장벽을 극복하는 핵심이 될 것입니다. 동시에 지역 차원에서 지속적으로 추가 규정과 법률이 마련되고 있으므로 이 역시 반드시 염두에 두어야 합니다.

자동차 제조업체와 공급업체가 직면한 구체적인 과제는 무엇인가?

앞으로의 큰 과제는 보안이 공급망과 수명 주기 전반에 걸쳐 포괄적으로 접근되어야 한다는 점입니다. 두세 개의 중앙 ECU에 보안 기능을 제공하는 것만으로는 더 이상 충분하지 않습니다. 자동차 제조사는 플랫폼 전체에 걸쳐 핵심 요소를 식별하고 보호해야 하며, 이는 단종 단계까지 지속됩니다. 이는 향후 수년간 도로 위에서 끊임없이 변화하는 위협 환경에 노출될 커넥티드 차량에 대해, 생산 개시 후 적절한 위험 기반 보호를 어떻게 제공할 것인가라는 생애주기 관리가 결정적인 과제가 될 것임을 의미합니다.

OEM 또는 공급업체로서, 차량 보호를 기업 활동과 조직 운영의 영구적인 요소로 정착시키기 위해 지금 무엇을 해야 할까요?

두 가지 측면에서 대응해야 합니다. 첫째, 제품의 보안 요구사항을 정의해야 합니다: 서로 다른 연결성 수준, 기능성, 안전 관련성, 자율주행 등급을 가진 차량 및 부품은 각각 맞춤형 보호가 필요합니다. 이렇게 식별된 보안 수준을 달성하려면 모든 참여자를 포함시켜야 합니다: 개발 및 생산부터 품질 보증, 영업 및 고객 커뮤니케이션에 이르기까지, 기업 내부와 공급망 전반에 걸쳐 책임과 역할이 명확히 정의되어야 합니다.

동시에 "인벤토리" 즉 표준 감사 또는 평가를 수행할 수 있습니다. 어떤 분야에서 유리한 위치에 있습니까? 향후 규제 요건 중 어떤 측면을 이미 충족하고 있습니까? 그리고 기존 프로세스 중 어떤 것을 기반으로 삼을 수 있습니까? 이러한 격차 분석은 보안 발전에 대한 투자가 가장 큰 효과를 낼 수 있는 부분을 지적해 줄 것입니다.

이타스와 같은 보안 전문가를 영입하는 것이 타당할까요?

네, 저희의 독립적인 관점과 글로벌 산업 전반에 걸친 노하우는 귀사의 내부 전문성을 이상적으로 보완합니다. 연결된 차량의 지속적인 보호를 달성하는 유일한 방법은 협력하고 종합적인 접근 방식을 취하는 것입니다. 바로 이 때문에 이타스는 이미 기존 기업 IT 보안과 임베디드 보안을 결합했습니다. 미래의 사이버 보안을 장악하는 유일한 길은 차량에서 애플리케이션, 클라우드에 이르기까지 영역을 초월한 접근이기 때문입니다.

주요 시장 전반에 걸친 제조업체 및 공급업체와의 다양한 프로젝트 경험을 바탕으로 벤치마킹 서비스도 제공합니다. 현재 시행 중인 보안 체계 중 추가 발전이 필요한 부분을 정확히 파악하고, 사이버 보안에 필요한 투자 항목을 식별하는 데 도움을 드립니다. UNECE 규격에 따른 형식승인을 획득하지 못하거나 지연 또는 비용 초과로 진행할 경우 시간적 여유가 부족하고 위험이 너무 큽니다. 이타스는 심층적인 엔지니어링 경험을 바탕으로 자동차 보안을 양산 단계로 전환하는 노하우를 보유하고 있습니다. 이러한 역량은 향후 도전을 성공적으로 극복할 가능성을 크게 높여줍니다.