7월은 정보보호의 달입니다. 하루가 멀다 하고 쏟아지는 개인정보 유출의 위협에서 여러분은 얼마나 안전한가요? 계정별로 다른 비밀번호를 사용하고, 주기적으로 비밀번호를 변경하는 등 정보 보호를 위한 개인의 노력이 각별히 필요한 요즘인데요.
자동차에도 보안이 필요하다는 사실, 알고 계셨나요? SDV로 자동차의 패러다임이 변화하는 지금, 자동차 해킹 위협에 대한 사람들의 관심도 높아지고 있습니다. 특히 물리적 연결 없이 통신을 사용하는 By-Wire 시스템의 경우 해킹으로부터 얼마나 안전한가에 대한 네티즌들의 설전이 끊이지 않고 있는데요,
오늘은 정보보호의 달을 맞아 이러한 자동차 보안에 대해 모든 것을 알려줄 HL만도의 Cybersecurity팀을 만나보았습니다. “철통보안!”을 외치는 이들의 이야기, 함께 들어보세요.
자동차에도 보안이 필요해
자동차의 사이버보안이라고 하면 우리가 흔히 알고 있는 IT 정보보안과 어떤 점이 다를까요?
지현 : IT정보보안이 데이터나 정보 자산을 보호한다면, 차량 사이버보안은 자동차에 들어가는 제품에 대한 보안입니다. 차량 사이버보안은 운전자를 비롯한 도로 위 모든 사람들의 생명과도 연관돼 있어요. 때문에 취약점이나 해킹 피해가 발생하지 않도록 예방하는 것이 가장 큰 차이라고 할 수 있죠.
현승 : 자동차는 성능이나 메모리가 제한된 제어기(ECU)들로 구성되어 있기에 개발 초기부터 보안 기능을 제품 설계에 통합해야 해요. 또 양산 이후에도 지속적으로 위협을 모니터링하고 대응해야 한다는 점에서 IT정보보안과 다른 접근이 필요합니다.
HL만도는 고객사 요구사항과 국제 표준 준수, 정보 유출과 시스템 침해 등 내외부의 위협으로부터 자산을 보호하기 위해 사이버보안 관리 규정을 제정하여 운영하고 있는데요. Cybersecurity팀이 바로 이 부분을 담당하고 있습니다.
Q. 두 분은 구체적으로 어떤 보안 업무를 담당하고 있나요?
현승 : 저는 제품 사이버보안 업무를 담당하고 있어요. 차량부품이나 통신구간에서 발생할 수 있는 해킹 위협과 취약점을 분석해 우리 제품에 미칠 영향을 파악하고, 이를 막기 위한 최적의 보안 기술과 솔루션을 검토해 적용하고 있습니다.
지현 : 저는 전사 사이버보안을 담당합니다. 자동차 사이버보안 전략 수립과 국제 표준 및 법규 인증 대응, 그리고 전사적인 사이버보안 거버넌스 운영을 담당하고 있어요.
차량 보안, 생명을 지키는 일
같은 사이버보안 팀이지만 업무가 사뭇 다른 두 사람! 먼저 직접적인 제품에 대한 보안을 담당하는 현승 연구원의 업무부터 조금 더 자세히 살펴보았습니다.
Q. HL만도가 만드는 제품은 전 세계로 판매되는데, 나라별로 보안 요구사항도 다를 것 같아요.
현승 : 맞습니다. 그래서 저희의 가장 큰 과제도 각기 다른 글로벌 완성차 제조사, OEM의 요구사항에 효율적으로 대응하는 건데요. 국가별로 법규, 양산 후 관리 방식, 생산 라인 보안 요구사항 등에서 조금씩 차이가 있어요. 따라서 다양한 OEM의 요구사항을 모두 만족시키는 동시에, 하위 부품 공급사들을 관리해야 하는 이중 책임을 가지고 있습니다. 때문에 저희 팀은 이 복잡한 관계 속에서 표준화된 프로세스와 가이드라인을 수립해 어떤 고객과 협력하더라도 일관되고 높은 수준의 사이버보안을 제공하는 역할을 맡고 있어요.
Q. 제품 보안 업무를 하면서 가장 신경 쓰는 부분은 무엇인가요?
현승 : 아무래도 가장 신경이 쓰이는 부분은 차량 양산 이후의 지속적인 사이버보안 활동입니다. 개발 단계에서 보안 기능을 완벽하게 설계하고 적용하는 것도 중요하지만, 양산된 차량은 실제 공격에 노출되는 '움직이는 테스트 베드'가 되거든요. 특히 차량 사이버보안은 운전자의 생명과 직결되는 문제이기에, 양산 이후에는 더욱 빠르고 민첩하게 대응해야 해요. 그래서 저는 최신 사이버보안 취약점들을 분석하고 저희 제품과의 연관성 및 잠재적 영향력을 신속하게 분석해 차량의 수명 주기 내내 고객의 안전과 신뢰를 지키기 위해 지속적으로 노력하고 있습니다.
Q. 양산 이후에도 모니터링이 이뤄진다는 건, 해킹 등의 피해를 실시간으로 감지하거나 어떤 차량이 해킹되었는지 추적도 가능하다는 의미일까요?
현승 : 일반적으로 실시간 해킹 감지나 차량 추적은 주로 완성차 업체가 담당합니다. CAN IDS *같은 차량에 탑재되는 방화벽 기술도 있지만, 아직은 실시간 탐지보다 신속한 사고 대응이 중심인데요, 저희와 완성차 업체가 각자 저희 제품의 취약점을 발견하면 서로 공유하고, 필요시 신속히 패치를 개발해 OTA(Over-The-Air, 무선 업데이트 기능)로 배포합니다. 대부분 이런 방식으로 해킹 사고의 영향을 빠르게 줄이고 있어요.
* CAN IDS (Controller Area Network Intrusion Detection System): CAN 통신의 이상 신호를 감지하는 시스템
체계적인 HL만도의 사이버보안 관리
앞서 말했듯 자동차의 사이버보안은 사람의 생명과도 직결된 일이기에 글로벌 시장에서도 사이버보안에 대한 관심이 높은데요. 특히 자율주행 자동차의 도입 확산으로 차량 생애주기 전반에 걸친 사이버보안의 중요성이 더욱 커졌고, 각종 사이버보안 법규와 표준을 추진하고 있습니다. HL만도는 이러한 시장 흐름에 대응하기 위해 ‘사이버보안 관리 체계(CSMS, Cyber Security Management System)’를 운영하고 있습니다.
지현 : 2015년 지프 체로키 원격 해킹 사건은 자동차 업계에 큰 충격을 던져 주었습니다. 이를 계기로 유럽경제위원회(UNECE)는 2020년 6월 UN R155(UN Regulation No. 155)를 채택했는데요, 이 규정에는 사이버보안관리체계(CSMS) 인증과 차량형식승인(VTA) 획득을 의무화하는 내용이 포함되어 있어요. 2022년 7월부터 신규 차종에 적용되기 시작했고, 2024년 7월부터는 기존 차량에도 확대 적용되고 있는데요, 인증을 받지 못한 차량은 UNECE 회원국에서 판매할 수 없게 되었죠.
ISO/SAE 21434는 UN R155의 요구사항을 구체적으로 구현하기 위한 국제 표준! 차량의 개발부터 폐기까지 전 생명주기에 걸친 사이버보안 활동을 규정합니다. HL만도는 이러한 규제 변화에 선제적으로 대응하여 2021년부터 준비를 시작했고, 2023년에 ISO/SAE 21434 인증을 성공적으로 획득했습니다. 이 표준을 기반으로 2022년에는 '자동차 사이버보안 관리 규정 및 지침’을 제정했고, 현재 CSMS 협의체를 통해 고객사의 보안 요구사항이 각 부문의 프로세스에 전사적으로 반영되도록 체계적으로 관리하고 있습니다.
Q. CSMS 협의체에서는 어떤 일을 하나요?
지현 : 협의체에서는 매달 정기 회의를 진행하는데요. 이 회의에서는 주요 사이버보안 정책의 제·개정을 논의하고, 완성차 기업이나 다른 Tier1 기업을 포함한 대내외 사이버 보안의 동향을 분석합니다. 또 각 부문별 사이버보안 이슈 및 사고 재발 방지 방안을 마련하고 모니터링 결과를 공유하는 등 보안 역량을 강화하기 위한 모든 논의가 이뤄지고 있습니다.
Q. 차량의 라이프사이클 전체를 관리하려면 타 부서와의 협업도 많을 것 같아요.
지현 : 그럼요! 차량 사이버보안은 기획 단계부터 개발, 생산, 운영, 폐기에 이르기까지 차량의 전 라이프사이클에 걸쳐 적용되기에 개발, 구매, 품질, 양산 등 수많은 부서들과 협업하는데요. 전사에 걸쳐 사이버보안 요구사항과 이슈를 공유하고 조율해야 해서 각 부서가 어떤 일을 하는지 정확히 이해하고 있어야 해요. 공부를 많이 해야 합니다(웃음).
더 튼튼한 보안을 위하여
사이버보안은 매우 빠르게 변화하고 있습니다. 변화의 물살은 앞으로 더욱 빠르고 거세질 텐데요, HL만도는 이 변화의 물살을 헤쳐 나가기 위해 많은 노력을 기울이고 있습니다. Cybersecurity 팀은 실무 경험과 인사이트를 논문으로 체계화해 외부 학회에 발표하고, 내부적으로는 최신 보안 동향을 담은 사이버보안 카드뉴스를 정기적으로 배포하여 임직원들의 보안 문화와 인식 개선을 유도하고 있어요!
Q. 앞으로의 목표가 있다면?
지현 : 차량 사이버보안은 제조업 기반의 자동차 기술과 IT 기반의 보안 기술의 융합으로 이뤄진 영역이라고 생각해요. 자동차 SW의 중요성이 높아질수록 보안과 안전에 대한 위협도 비례하여 증가하고 있죠. HL만도가 이러한 위협을 완벽하게 차단해 글로벌 사이버보안 선도 기업으로 거듭날 수 있도록 노력하겠습니다.
현승 : 휴대폰이 피처폰에서 스마트폰으로 진화하면서 모바일 보안이 핵심 이슈로 떠오른 것처럼, 자동차도 SDV로 패러다임이 전환되면서 완전히 새로운 보안 도전과제들이 나타날 거예요. 저는 이런 변화의 최전선에서 아직 발견되지 않은 미래의 위협을 선제적으로 예측하고 대응하는 데 최선을 다할 거고요. 무엇보다 제가 개발한 보안 기술이 누군가의 생명을 지키고 더 나아가 업계 표준이 되어 더 안전한 모빌리티 시대를 여는 데 기여하고 싶습니다.
