국제표준화기구(ISO)에 따르면 2022년 6월 유럽, 일본, 한국에서 출시되는 자동차 모델에 대해 새로운 표준 ISO/SAE 21434를 준수하는 증명을 해야 된다.

지난 2021년 8월에 발표된 'ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering' 신규 표준에 따라 초기 장비 제조업체 및 공급업자는 하드웨어 및 소프트웨어 개발 프로세스 모두를 충족해야 된다.

향후 전자제어장치(electronic control units, ECU)를 포함한 전체 자동차 공급망은 포괄적인 보안 검증을 포함한 투명하고 잘 문서화된 프로세스가 포함될 것으로 기대된다.

제어 및 요구사항을 명확하게 정의하고 확인하는 작업뿐만 아니라 사이버 보안이 공급망의 모든 수준에서 철저하게 관리되고 고려되고 있음을 증명해야 된다.

낮은 사양은 부정확하거나 오해의 소지가 있거나 검증할 수 없는 보안 요구사항이 발생된다. 모든 항목, 사이버 보안 목표, 개념 들은 이해관계자들을 위해 문서화되고 이해시켜야 한다.

여기에는 자산 자체, 상호작용, 자산의 보안 목표를 보존하기 위한 장치의 사용 환경의 모든 설계 기능이나 품질이 포함돼야 한다.

또한 위험을 완화하기 위해 사용하려는 제어 및 보안 요구 사항들은 철저한 위협 분석과 위험 평가 실습을 통해 이뤄져야 한다.

평균적으로 자동차에는 150개에 달하는 전자제어장치(ECU)가 있으며 최종 설계에서 사이버 공격이나 잠재적 취약성이 증가하고 있다.

업계는 자동차 수직적 하드웨어 기반 플랫폼에서 수평적 소프트웨어 기반 플랫폼으로 이동함에 따라 제조업체와 공급업자가 구성요소 및 설계에 강력한 사이버보안 및 데이터 개인정보 보호 제어 기능을 포함하도록 하는 것이 중요하다.

2021년에는 많은 제조업체들이 영향을 받은 반도체 부족 현상은 기업의 공급망을 검토하고 칩 개발을 내부에서 수행하는 것을 고려하게 됐다. 기업 스스로 하드웨어 및 소프트웨어 사이버 보안 위험 완화에 더 많은 책임을 져야 한다는 것을 의미한다.

ISO/SAE 21434:2021 Road vehicles 표준의 적용 범위는 ▶도로용 자동차 ▶전기전자 시스템, 하드웨어, 소트트웨어 부품 및 인터페이스 ▶외부장비나 네트워크와의 연결되는 시스템 등이다.

주요 원칙을 살펴 보면 ▶Road vehicles에만 적용 ▶합리적 절차에 따른 안전한 자동차 시스템 개발 ▶제조사와 부품사 간 상당한 배려(Due diligence) ▶자동차의 사이버 보안 엔지니어링에 중점 ▶사이버보안의 최신 기술에 기반 등이다.

또한 ▶위험 정도에 따른 우선 순위 결정 및 사이버보안 요구사항에 대한 위험 요소를 분석해 위험에 근거한 접근법 ▶사이버보안 경영시스템 구축 ▶설계 및 개발, 생산, 운행, 정비, 유지보수 및 폐차 등 자동차 전체 수명주기에 따른 사이버보안 활동과 프로세스 등도 포함된다.