한 이커머스 플랫폼 기업에서 3300만건 규모의 개인정보가 노출되는 사고가 발생했습니다. 대형 플랫폼 기업조차 보안 공백을 드러내는 현 시점에서 자동차도 이제 더 이상 안전지대는 아닙니다. 자동차 산업이 기계 중심에서 소프트웨어 중심으로 전환되며 보안 위협은 이동 수단의 영역을 넘어 운전자·탑승자의 신체 안전으로까지 확대되고 있습니다. 그렇다면, 자동차 산업은 어떤 방식으로 이러한 위협에 대비해야 할까요?

🚗 바퀴 달린 소프트웨어, 자동차의 사이버 보안 위협 현황은?

한국교통안전공단의 사이버보안센터에 따르면 공개적으로 알려진 사이버 보안 취약점을 뜻하는 ‘차량 사이버 공격요소'(CVE)는 최근 5년간 89.1% 증가했습니다. 또한, 실제 자동차 관련 사이버 보안사고도 2023년 295건 → 2024년 409건(39% 증가)으로 급증했습니다.

자동차 제조사는 복잡한 공급망을 갖고 있어 하나의 지점에서 취약점이 발생하면 완성차뿐 아니라 수천 개의 협력사가 연쇄적으로 타격을 입을 수 있습니다. 실제로 자동차 제조사 재규어랜드로버(JLR)를 겨냥한 사이버 공격은 내부 시스템 장애를 일으켜 생산이 한 달 동안 중단되면서, 5000개가 넘는 영국 협력사들까지 영향을 받았습니다. 이는 영국 경제에 최소 약 3조원의 손해를 입혔다고 해요.

이러한 흐름 속에서 전 세계는 자동차 보안 규제를 강화하고 있습니다.

국내 자동차 업계에서도 사이버위협대응팀 신설, 보안 표준(ISO 26262, ISO/SAE 21434) 관련 인증 획득 등 보안 위협을 예방·대응하는 체계를 구축하고 있습니다.

💡 자동차 안전/보안의 대표 표준, ISO 26262, ISO/SAE 21434으로 보는 시큐어 코딩의 필요성

✅ ISO 26262
자동차 기능 안전 글로벌 표준인 ISO 26262는 대량 생산되는 도로 차량에 탑재된 전기 및 전자 시스템의 안전을 보장하기 위해 제정됐습니다. 이 표준의 핵심 목적은 복잡한 기술 시스템 내에서 발생할 수 있는 잠재적 오류나 결함으로 인한 위험을 체계적으로 줄임으로써 인명과 재산을 보호하는 것입니다.

✅ ISO/SAE 21434
사이버 보안 위험 관리를 위한 엔지니어링 요건을 정의하는 국제 표준으로, 차량의 전기 및 전자 시스템 전체 수명 주기(개발부터 생산, 운영, 유지보수 및 폐기) 모든 단계에 적용됩니다. 이 표준은 조직이 강력한 사이버보안 정책과 위험 관리 전략을 수립할 수 있도록 지원하며, 총 45개의 보안 영역으로 구성되어 있습니다. 각 영역은 차량의 집적회로, 소프트웨어, 펌웨어, 라이브러리를 포함한 도로 차량의 전기와 전자 시스템 설계를 위한 주요 기준을 제시합니다.

ISO 26262와 ISO/SAE 21434는 서로 상호 보완적이며, 자동차 안전과 보안을 위해 시큐어 코딩의 필요성을 명시하고 있습니다.

ISO 26262의 파트 6(소프트웨어 개발)에서는 소프트웨어의 안전성을 높이기 위해 프로그래밍 언어에 대한 코딩 지침을 반영하도록 요구하고 있으며, 그 기반이 되는 것이 MISRA-C입니다. MISRA-C(Motor Industry Software Reliability Association-C)는 자동차 산업에서 안전하고 신뢰성 높은 소프트웨어 개발을 위해 제정된 코딩 규칙입니다.

ISO/SAE 21434에서는 ‘C 프로그래밍 언어의 시큐어 코딩을 위해 MISRA-C나 CERT-C를 사용해야 한다’는 내용이 명시되어있으며, 보안 취약점의 위험도를 기준으로 발생하는 취약점을 관리해야 한다고 지시하고 있습니다.

🚘 자동차 사이버 보안과 안전은 Sparrow SAST와 함께!

스패로우는 ISO 26262을 획득한 소스 코드 보안약점 분석 도구 Sparrow SAST를 제공하고 있습니다. Sparrow SAST는 MISRA-C, MISRA-C++, CERT-C 등 자동차 안전/보안 코딩 규칙 기준으로 소스코드의 보안 약점을 분석합니다. 또한, 검출된 보안 약점의 발생 지점과 원인, 안전한 예시를 제공해 개발자와 보안 담당자가 더욱 효율적으로 보안 약점을 조치할 수 있습니다. 이를 통해 ISO 26262나 ISO/SAE 21434와 같은 자동차 기능 안전 및 보안 표준 관련 인증 획득을 지원하며, 자동차 산업에서 안전하고 신뢰성 높은 소프트웨어를 개발할 수 있도록 돕습니다.

이에 국내의 여러 자동차 관련 기업들 뿐만 아니라 해외 자동차 인텔리전스 기업까지 Sparrow SAST를 도입해 활용 중입니다. Sparrow SAST로 바퀴달린 소프트웨어, 자동차를 안전하게 개발하고 관련 인증을 획득해 보안 위협을 예방·대응하는 체계를 구축해보세요!

[참고문헌]
1. “해킹된 차 사고, 언젠가 현실이 될수도”…車 사이버보안 현장[르포] / 뉴시스 / https://www.newsis.com/view/NISX20251207_0003431196
2. 재규어 랜드로버, 대규모 사이버 공격으로 공장 가동 중단…‘스캐터드 라프서스 헌터스’ 조직 소행 / 데일리시큐 / https://www.dailysecu.com/news/articleView.html?idxno=200107
3. ISO 26262 road vehicles functional safety / ISO / https://www.iso.org/publication/PUB200262.html
4. ISO/SAE 21434:2021 / ISO / https://www.iso.org/standard/70918.html
5. MISRA / https://misra.org.uk/