UN 규제 제 155조의 Crash Course (및 대비해야 하는 추가 조치)

이 글은 차량 부문의 새로운 사이버 보안 규제인 UNR 155에 따른 기초적인 양상의 변화를 살펴본다. 차량 제조사들에게 있어 적용 타임라인은 촉박한 편이며 제조사의 헌신과 변화에 대한 열린 태도와 더불어 대부분의 경우 꽤 큼지막한 예산을 필요로 한다. 지금이야말로 필요한 변경 사항을 반영할 계획을 세우고 팀들로 하여금 UNR 155를 준수하기 위한 여행을 시작하도록 해야 한다. 

글 | 전용한, Argus Cyber Security, yonghan.jeon@argus-sec.com

연관기사 / 아르거스, 2023년까지 신차 보안시장의 51% 확보






차들이 온라인에 접속하게 되면서 이들이 공격받는 면적 역시 점점 더 스마트폰처럼 되고 있다. 하지만 차들은 휴대전화와 달리, 정상 작동이 안전과 직결된 자산이다. 운행에 필수적인 마이크로 컨트롤러가 실질적으로 인터넷을 통해 해커들에게 접속 가능성이 있는 만큼 위험성은 급증했고 규제 당국도 이에 주목하고 있다.

2016년 이래 세계에서 가장 큰 규제 기관인 WP.29, 자동차 국제 기준 조화 회의(the World Forum for the Harmonization of Vehicle Regulations)는 유럽 연합, 일본, 한국 주요 시장의 차량 등록 요구사항을 설정하고 있으며 현재 UN 규제 제 155조 ‘사이버 보안과 사이버 보안 관리 시스템에 대한 유형 승인’으로 알려진 규제를 만들었다.

해당 기관이 작업을 시작했을 때는 자동차 부문에서 늘어나는 위험성을 최소화하는 것을 목표로 했다. WP.29에서 세운 목표의 일부는 다음과 같다.

- 공공의 안전 보장
- 국가적 안전 보장
- 법적 책임 소재에 대한 모호함 예방
- 개인의 자산과 안전에 대한 위협 예방
- 빠르게 변화하는 산업 환경에 대한 반영 

규제가 어떻게 작동하고 어떤 부분을 필요로 하는지를 알아보기 전에 우선 이 규제가 어떻게 만들어졌는지 그 배경을 알아봐야 한다.


WP.29는 무엇이고 누가 계약 당사자일까?  

WP.29는 1958년 UN 협약에 따라 계약 당사자(당사국)들이 차량 인증에 대한 기준을 설정하고 다른 국가들에서 사용되고 있는 인증 기준이 각국에서 통용되도록 협력하에 만들어졌다. 기술적인 면에서 WP.29는 차량 유형 승인에 대한 기준을 설정하고 승인된 바퀴 구동 차량, 관련 장비와 부품들에 대한 공통적인 인증 프레임을 제공한다.

WP.29는 자체적인 차량 규제를 지키고자 하는 자체 규제기관인 유럽경제위원회(UNECE)의 일부로 ‘기술, 안전, 환경 보호에 있어서 변동 사항에 걸맞게 업데이트’ 된다. UNECE 1958 협약에는 거의 60개국이 넘는 당사국이 참여했으며 전 EU 회원국과 일본, 터키, 러시아, 호주, 남아공과 같은 OECD 회원국들이 참여했다(그림 1, 파란색 표시 국가들이 WP.29 참가국).




그림 1| UNECE의 1958 자동차 규제 협약의 참여 당사국


UNR 155는 공식 명칭이 ‘사이버 보안 관련 및 사이버 보안 관리 시스템[CSMS]에 대한 유형 승인’으로 차량 및 차량을 생산하는 기관에 대한 새로운 요구사항을 아우르고 있다. 이는 EU와 일본에서 2022년에 새로 시작되는 신규 차량 유형에도 적용된다. 2024년까지 유럽 연합과 일본의 모든 1차 차량 규제는 UNR 155의 인증을 받아야 한다(보다 자세한 정보는 그림 2 참조).

UNR 155에 대한 또 다른 주목할 점은 차량의 사이버 보안에 대한 사상 최초의 1차 필수 규제라는 점이다.



그림 2| UNR 155에 대한 EU와 일본의 적용 타임라인



WP.29에 영향을 받는 차량 유형은 무엇이 있을까?

UNR 155는 모든 주요 차량 유형인 카테고리 M, N, O(최소 1개 이상의 ECU를 탑재한 경우), L6, L7(레벨 3 이상의 자율주행 기능을 탑재한 경우로 WP.29에서 ‘정의하는 자율주행의 정의에 대한 레퍼런스와 자율주행차에 대한 UN 규제 전개에 대한 일반 원칙’에 해당하는 경우)가 고려되고 있다.

- 카테고리 M 차량: 최소 4개의 바퀴가 있고 승객을 태울 수 있는 차량
- 카테고리 N 차량: 최소 4개의 바퀴가 있고 화물을 운송할 수 있는 동력에 의해 주행하는 차량
- 카테고리 O 차량: 화물 트레일러(세미 트럭 포함)
- 카테고리 L6 및 L7: 원동기, 오토바이, 삼륜차, 사륜 오토바이


제조사의 입장에서 어떤 변경 사항을 적용해야 할까?          

UNR 155가 적용되면 생산하는 차량에 대한 승인을 받고자 하는 제조사는 전 사의 모든 기관 및 (CSMS에 대한 요구 사항 충족을 위해, 규제 법안 7조 2항 참조) 차량 프로그램(차량 유형에 대한 요건 충족을 위해, 규제 법안 7조 3항 참조)에 변경 사항을 적용해야 한다.
유형 승인 시기까지 제조사가 적용을 증명해야 하는 항목은 다음과 같으나 이에 한정되지는 않는다.
 
- CSMS에 대한 완전한 적용 인증
- 규제가 적용되는 차량의 요구사항 및 그 부수 서류가 고려되었고 적용되었는지 여부
- 철저한 위험 평가 및 위험을 평가/관리하는 데에 적절한 방식과 과정이 사용되었는지 여부
- 차량 제조사가 사이버 위협, 약점 및 사이버 공격을 감시, 감지하고 반응하는 데에 사용된 과정 및 도구와 방식
- 차량 제조사가 해당 분야에 있어 적절한 시간 이내에 공격에 반응할 수 있는 계획이 있는 지 여부


업계는 어떻게 반응하고 있을까?          

자동차 부문의 사이버 위협 관리는 잘 짜여진 전략에 고도로 조직화된 프로세스 환경을 포함해야 하며 숙련된 사이버 보안 전문가의 고용 또는 참여, 목적에 맞는 기술적인 툴의 적용 등이 필요하다.

UNR 155는 요구사항을 어떻게 충족시킬지에 대해서는 전반적으로 불가지론적이고 비문법적이기는 하나(예를 들면 차량 제조사는 어떤 과정, 도구, 기술을 쓸지 자유롭게 선택할 수 있다), 규제 측에서 예상하는 사이버 관련 활동의 수가 UNR 155로 인해 크게 확장됐다.
많은 제조사들에게 있어 이러한 활동과 요구사항은 주력 경쟁체제에서 벗어난 큰 도전으로 다가온다. 따라서 제조사들은 사이버 보안 능력을 세 가지 주요 부문에서 강화해 규제에 대비하고 있다.

1) 구조: 잘 준비된 사이버 위협 프로세스 환경을 마련함으로써 제조사 전반 및 차량의 라이프 사이클과 밸류체인에 적용한다.
2) 노하우: 뛰어난 사이버 보안 전문가와 서드파티 기술지도 인력을 고용해 사내에서 사이버 보안에 대한 경각심을 높이고 직원들이 사이버 위협을 올바르게 인지하고 다룰 수 있도록 한다.
3) 기술: 적재적소에 기술을 사용함으로써 사이버 보안 감시, 감지 및 대응에 도움을 주고 관리 시스템에서 필요한 부분을 보조한다.

그림 3은 사이버 보안의 주요 토픽과 차량 제조사들이 최소한의 수준에서 CSMS 요구사항을 달성하고 최종적으로 사이버 보안 차량 요구사항을 충족시키기 위한 활동을 보여준다. 토픽은 가장 중요한 차량의 라이프 사이클에 맞추어 느슨하게 배열돼 있다.




그림 3|  자동차 제조사들의 주요 사이버 보안 토픽과 CSMS 요건 충족을 위한 활동



어디서부터 시작할까?       

사이버 보안은 대부분의 차량 제조사에게 있어 전통적인 경쟁 부문이 아니었다. 따라서 해당 규제와 프로세스 관련 및 기술적인 요구사항 전반이 어렵게 다가올 수 있다. 그러나 제조사들이 우선 현재 상황을 이해하고 사이버 보안이 차량과 회사 전반에 있어 새로운 주춧돌이 된다는 사실을 확신하도록 하는 작은 단계부터 시작할 수 있다. 처음 적용하기 좋은 부분은 다음과 같다.

- 자체 감사/ 갭 분석: 내부 프로세스 환경을 평가해 프로세스와 토픽이 현재 있는지, 업데이트가 되었는지, 혹은 새로 필요한지 등을 파악한다.
- 위협 평가: 차량의 E/E 구조에 대한 위협 평가를 철저하게 실행하고 위협을 관리하거나 현재 파악된 위협을 적절하게 수용한다.
- 감시 및 대응 능력: 생산 및 생산 전 단계에서 사건 대응 능력 및 차량 모니터링을 가능하게 할 프로세스와 툴을 적용한다.
- 공급 체인과의 협력: 유지 보수 및 업데이트를 포함한 컴포넌트 레벨의 보안 예측을 확고히 함으로써 공급자와 협력을 통해 차량에 장착되는 컴포넌트들이 제조사의 해당 차량 플랫폼에 적용된 보안 전략과 목표에 부응하고 있는지 확인한다.
- 문화적 변화: 사이버 보안에 대해 엔지니어링 과정에서 대리점, 서비스 센터 등 전사적 전략, 정신, 인식을 개선한다.
 
이 글에서는 차량 부문의 새로운 사이버 보안 규제인 UNR 155에 따른 기초적인 양상의 변화를 살펴봤다. 차량 제조사들에게 있어 적용 타임라인은 촉박한 편이며 제조사의 헌신과 변화에 대한 열린 태도와 더불어 대부분의 경우 꽤 큼지막한 예산을 필요로 한다. 회사의 변화는 하루 아침에 일어나지 않는다. 이는 근본적인 변화를 필요로 하며 많은 관련자들의 참여를 필요로 한다. 아직 시작하지 않았다면 지금이야말로 필요한 변경 사항을 반영할 계획을 세우고 팀들로 하여금 UNR 155를 준수하기 위한 여행을 시작하도록 해야 한다. Argus Cyber Security는 차량 사이버 보안의 글로벌 리더다. Argus는 현재 다양한 OEM사와 협력 관계에 있다. [AEM]