ISO/SAE 21434
용어
Audit (감사)
- 조직의 사이버보안 관리 체계(보안 정책, 기준, 절차 포함)가 적절하게 구현되어 있으며, 이에 따라 관리되고 있음을 확인하는 활동
- 조직 내부, 외부 감사인이 수행
- 조직 단위
Assessment (평가)
- 모든 사이버보안 활동이 의도한 대로 수행되었는지 여부를 확인하는 활동 (사이버보안 계획 참조)
- 조직 내부의 프로젝트 관리, 검증 부서가 수행
- 프로젝트 단위
Component
- 시스템을 구성하는 단위 * 시스템: 여러 컴포넌트들의 조합, 의도한 기능 동작을 위해 구성됨
- 재사용이 가능하고 독립적인 기능을 수행
- 소프트웨어 컴포넌트와 하드웨어 컴포넌트로 구분
- 소프트웨어 컴포넌트: 라이브러리, Application Software(ASW), Basic Software (BSW)
- 하드웨어 컴포넌트: MCU, HSM, 센서, 플래시 메모리 등
Cybersecurity claim
- ISO/SAE 21434 컨셉 단계 산출물
- TARA 결과를 기반으로 위험을 유지, 공유하기 위한 정당성을 서술
Cybersecurity concept
- ISO/SAE 21434 컨셉 단계 산출물
- Cybersecurity goal을 달성하기 위한 사이버보안, 운용 환경에 대한 요구사항, 사이버보안 통제에 관해 서술
Item
- 차량 수준에서 기능을 구현하기 위한 컴포넌트 또는 컴포넌트의 조합
Mass Production
- 양산, 차량을 대량으로 생산하는 것을 의미
OEM (Original Equipment Manufacturer)
- 차량 제조사
Tailor (테일러, 테일러링)
- 사용자 정의 및 맞춤을 의미
- 아이템에 요구되는 사항을 생략하거나 다른 방법의 활동을 수행하는 것
- 주로 기 존재하는 기성품을 활용하고자 하는 경우. (재사용, 가정을 기반으로 제작된 컴포넌트, 규격품 등)
- 사이버보안 계획에 포함되어야 함
Trigger
- 필드 모니터링을 통해 수집된 사이버보안 정보의 분류를 위해 정의/유지되는 것
- 키워드, 컴포넌트, 공급업체 이름이 포함될 수 있음
Validation
- 제품이나 시스템이 실제 환경에서 기대한 대로 작동하는지를 확인
Verification
- 제품이나 시스템이 요구사항을 따르고 있는지 여부를 확인
Verification Vs. Validation
- Verification: 주로 개발 과정에서 요구사항을 충족시키고 있는지를 확인
- Validation: 최종 제품 및 시스템이 실제 사용 환경에서 기대한 대로 작동하는지를 확인
E/E
- Electrical and Electronic
PM / RC / RQ
- Permission(선택) / Recommendation(권고) / Requrement(필수)
TARA
- Threat analysis and risk assessment
WP
- Work Product
ISO/SAE 21434 제정 배경
ISO (International Orginization for Standardization)
- 국제 표준화 기구로 세계적으로 산업 및 기술 표준을 개발하고 제정
- 표준화된 절차를 통해 상호 운용성, 품질, 안정성을 증진시키는 것이 목표
SAE (Society of Automotive Engineers)
- 국제 자동차 기술자 협회
- 치량 및 항공 우주 산업의 기술적인 발전과 혁신을 촉진하기 위해 설립된 비영리 기술 단체
Joint Working Group (JWG)
- 두개 이상의 기관 및 단체가 특정한 목표를 달성하기 위해 협력해 일하는 그룹
ISO/SAE 21434 Road vehicles - Cybersecurity engineering
- ISO, SAE가 함께 개발한 자동차 사이버보안 엔지니어링 국제 표준
SAE J3061 "Cybersecurity Gudiebook for Cyber-Physical Vehicle Systems"
- 차량 사이버보안에 대한 지침을 제공
- 사이버보안 프로그램 수립을 위한 권장 모범 사례 제공, 차량 사이버보안에 대한 기본 지침 원칙, 설계, 검증을 위한 도구 및 방법론 제공
- 컨셉, 생산, 운영, 서비스 및 폐기에 이르기까지 사이버보안을 사이버-물리적 차량 시스템에 통합
- 차량 사이버보안 분야의 표준 개발 활동을 위한 기반 제공 -> 이후 21434
ISO/SAE 21434 - Road Vehicles: Cybersecurity engineering
- 차량 사이버보안 엔지니어링 국제 표준
- UNR No.155과의 연계성 확보
- 차량 라이프사이클에 기반한 사이버보안 활동을 정의
제정 경과
- 2018.09 CD
- 2020.02 DIS
- 2020.03 FDIS
- 2021.08 Publication
* CD: Committee Draft, 완성되지 않은 초안
* DIS: Draft International Standard, 검토되어 승인될 준비가 된 상태로 표준의 최종적인 내용이 거의 확정
* FDIS: Final Draft International Standard, 표준이 최종적으로 채택되기 직전의 상태, 최종 승인 과정을 거치게 됨
ISO/SAE 21434의 목적 및 적용 대상
목적
- 컨셉, 개발, 생산, 유지보수, 폐기에 이르기까지 차량 라이프사이클 전체에 요구(RQ), 권고(RC), 허가(PM) 사항 나열
적용 대상
- 차량 제조업체, 차량 부품 및 기술 공급 업체, 차량 관련 서비스 및 솔루션 제공 업체
ISO/SAE 21434의 요구사항
기업 사이버보안 관리
- Part 5, 6, 7, 8
컨셉 단계
- Part 9
제품 개발 단계
- Part 10, 11
개발 이후 단계
- Part 12, 13, 14
위햡 분석 및 위험 평가 (TARA)
- Part 15
5장: 조직 사이버보안 관리
- 기업의 사이버보안 정책, 조직, 문화, 감사를 포함하는 사이버보안 관리 체계 확립에 대한 요구사항
- 산출물: 사이버 보안 정책(위험 인식 및 관리를 위한 경영자와의 약속. C레벨의 서명), 규칙, 프로세스
6장: 프로젝트 사이버보안 관리
- 프로젝트에서의 사이버보안 활동 관리에 대한 요구사항
- 아이템, 컴포넌트가 새로운 것인지 재사용인지, 사이버보안과 관련이 있는지..
- 산출물: 사이버보안 계획
7장: 분산 사이버보안 활동
- 공급업체 선정/관리를 위한 요구사항
- 공급 업체의 능력 평가, 평가하기 위해 사이버보안 능력에 대한 기록 제공 * 아직 관련 산출물이 없는데 개정되면 추가될 거
- 산출물: 사이버보안 인터페이스 계약
8장: 지속적인 사이버보안 활동
- 차량 폐기 시점까지 E/E 시스템의 지속적인 모니터링, 이벤트 평가 및 관리를 위한 요구사항
- 핵심은 폐기 시점까지 이벤트를 모니터링하고 관리한다는 것. 어디서 수집할지, 수집된 건 어떻게 분류하고 평가할지..
- 산출물: 사이버보안 정보의 소스, 트리거, 사이버보안 이벤트, 사이버보안 이벤트의 약점, 취약성 분석, 관리되고 있는 취약성
9장: 컨셉
- 개발 아이템에 대한 TARA, 사이버보안 목표 및 컨셉 도출
- 아이템 정의 / 시큐리티 고울(타라를 통해 얻음) / 시큐리티 컨셉(고울과 1:n 혹은 n:m 관계)
- 산출물: 아이템 정의, 타라, 사이버보안 목표, 사이버보안 클레임, 사이버 보안 목표에 대한 검증 보고서
10장: 개발
- 사이버보안 제품 개발 활동에 대한 요구사항
- 산출물: 사이버보안 스펙, 개발 후 단계를 위한 사이버 보안 요구사항, 모델링/설계/프로그래밍 언어/코딩 지침 문서화, 사이버보안 스펙에 대한 검증 보고서, 개발 중 발견된 취약점(해당 시) ..
11장: 사이버보안 검증
- 컨셉 단계에서부터 개발 단계까지의 결과물에 사이버보안 목표 및 사이버보안 요구사항이 적용되었는지를 확인
- 산출물: 검증에 대한 보고서
12장: 생산
- 양산 관리 계획을 수립하고 이행해야 함
- 산출물: 생산 관리 계획
13장: 운영 및 유지보수
- 필드 차량에 대한 지속적인 침해 대응, 업데이트 요구 사항
- 산출물: 사이버보안 사고 대응 계획
14장: 기술 지원 및 폐기
- 기술 지원 종료 및 폐차 시 제품에 포함된 데이터가 유출되거나 악용되는 것을 방지하기 위한 개발 후 요구사항
- 산출물: 사이버보안 지원 종료를 알리는 절차
15장: 위협 분석 및 위험 평가 방법론 (TARA method)
- 아이템에 대한 위협을 식별하고 평가하기 위한 요구사항
15.3) 자산 식별
- 대미지 시나리오 식별 및 대미지 시나리오로 이어지는 사이버보안 속성을 가진 자산을 식별
- 산출물: 대미지 시나리오, 사이버보안 속성을 가진 자산
15.4) 위협 시나리오 식별
- 위협 시나리오를 식별하고 대상 자산, 손상된 자산의 사이버보안 속성, 자산의 손상 원인, 프레임워크 기반 위협 모델링 접근 방식을 포함
- 산출물: 위협 시나리오
15.5 영향 평가
- 대미지 시나리오는 안전, 재정, 운영, 개인정보 보호 측면(S, F, O, P) 측면에서 문제점을 평가되어야 함
- 영향 등급은 심각한, 중대한, 적당한, 무시해도 될 만한 중 하나로 결정
- 산출물: 카테고리에 대한 영향 등급
15.6 공격 경로 분석
- 위협 시나리오는 공격 경로를 식별하기 위해 분석외어야 하며, 위협 시나리오와 연관되어야 함
- 산출물: 공격 경로
15.7 공격 실현 가능성 평가
- 공격 경로에 대한 공격 가능성 등급은 High, Medium, Low, Very Low 중 하나로 결정
- 공격 가능성 평가 시엔 공격에 대한 잠재력, CVSS, 공격 벡터 중 하나에 기반함
- 산출물: 공격 가능성 등급
15.8 위험 값 계산
- 위협 시나리오에 대한 위험 값은 관련 대미지 시나리오의 영향 및 공격 경로의 공격 가능성으로부터 결정
- 위협 시나로의 위험 값은 1~5사이의 값이며 1의 값은 최소 위험
- 산출물: 위험 값
15.9 위험 처리 결정
- 위협 시나리오에 대해 위험 값을 고려하여 위험 회피, 위험 감소, 위험 유지와 같은 옵션을 결정해야 함
- 산출물: 위험 처리 결정
UNR No.155와 ISO/SAE 21434의 상관관계
추상적 요구사항 vs 구체적 요구사항
155는 CSMS, VTA, Reporting 등 다소 추상적인 수준의 요구사항 나열
ISO/SAE 21434는 155를 준수하기 위한 구체적인 요구사항 나열
UNECE Interpretation Document에 따르면 UNR No.155 요구사항과 ISO/SAE 21434 각 챕터 연관관계 명시됨