자동차 사이버보안 규제가 유럽을 넘어 미국, 중국, 인도 등 주요 시장으로 빠르게 확산되고 있다. 자동차가 소프트웨어 중심의 플랫폼으로 진화하면서 보안이 차량의 안전과 직결되는 핵심 요소로 부상함에 따라 각국은 사이버보안을 차량의 설계부터 생산, 판매 이후까지 관리해야 할 규제 영역으로 확대하고 있다.

규제에 가장 앞선 곳은 유럽이다. 유엔 유럽경제위원회(UNECE)는 이미 UN R155와 R156을 통해 자동차 사이버보안 관리체계(CSMS)와 소프트웨어 업데이트 관리체계(SUMS)를 자동차 형식승인과 연결했다. 제조사가 차량 개발 단계부터 사이버보안 위험을 관리하고 출시 이후에도 취약점과 보안사고에 대응하며 소프트웨어 업데이트를 안전하게 유지하도록 요구한 것이다.

이는 자동차 보안의 개념을 크게 바꿔놓았다. 과거에는 차량에 보안 기능을 적용하고 출시 전 취약점을 점검하는 방식이 중심이었다면 이제는 개발 초기부터 보안을 고려해 차량의 전체 생애주기 동안 지속적으로 관리하는 체계가 중요해졌다.

유럽은 자동차뿐 아니라 디지털 기능을 가진 제품 전반에도 규제를 가하고 있다. 산업용 차량, 드론, 로봇 등을 규제 대상으로 하는 사이버복원력법(CRA)까지 제정했다. '연결된 모든 것'과 ‘움직이는 모든 것’으로 규제 범위가 넓어지고 있는 셈이다.

이 같은 변화는 유럽에만 머물지 않는다. 미국은 크게 두 갈래로 대응책을 마련하고 있다. 먼저 공급망 안보 측면에서 미 상무부 산업안보국(BIS)은 중국과 러시아산 소프트웨어 및 하드웨어가 탑재된 커넥티드카가 야기할 수 있는 국가안보 위험을 차단하기 위한 '커넥티드카 최종 규칙(Connected Vehicles Final Rule)'을 발표했다. 이 규칙은 2025년 3월에 발효됐으며 소프트웨어 관련 금지 조항은 2027년형 차량부터 단계적으로 적용된다.

안전 측면에서도 움직임이 뚜렷하다. 미국 도로교통안전국(NHTSA)은 사이버보안 엔지니어링 표준 ISO/SAE 21434에 정렬된 CSMS를 신규 차량에 요구하고 제조사가 매년 제3자 감사보고서를 제출하도록 하는 규정을 추진 중이다.

아시아권에서도 유럽식 규제를 벤치마킹한 자국 표준이 속속 등장하고 있다. 중국은 국가 표준인 GB 44495를 제정해 2026년 1월부터 신규 차종에 적용하기 시작했다. 글로벌 기준(UN R155)과 달리 중국 독자 암호화 알고리즘 적용과 27개 항목에 달하는 세부적인 기술 테스트를 필수 요구하고 있다. 인도 역시 AIS 189 규정을 통해 자국 자동차 사이버보안 기준을 마련했다. 국내도 예외는 아니다. 한국은 자동차관리법 개정을 통해 사이버보안 관련 법적 근거를 마련하는 중이다.

문제는 각국이 자동차 사이버보안을 의무화하면서도 세부적인 요구사항과 인증 방식에서는 차이를 보이고 있다는 점이다. 여러 시장에 동일한 차량 플랫폼과 소프트웨어를 판매하는 글로벌 OEM 입장에서는 국가별 규제 차이가 새로운 부담으로 작용할 수밖에 없다. 하나의 플랫폼을 유럽, 미국, 중국 등 여러 시장에 판매하고 OTA를 통해 지속적으로 업데이트하는 소프트웨어중심차량(SDV) 환경에서는 시장별로 서로 다른 보안 체계를 별도로 구축하고 운영하는데 한계가 있기 때문이다.

결국 사이버보안은 특정 지역의 인증을 획득하기 위한 규제 대응에 그치지 않고 처음부터 글로벌 시장을 염두에 두고 차량에 내재화해야 하는 기본 사양으로 자리 잡고 있다. 각국의 규제가 동일한 형태로 만들어지는 것은 아니지만 차량 개발 초기부터 출시 이후 폐차에 이르기까지 생애주기 전반에 걸쳐 사이버보안을 지속적으로 관리해야 한다는 방향은 같다.

사이버보안을 차량 생애주기 전반에서 관리해야 하는 요구를 만족시키기 위해서는 실제 차량을 대상으로 보안 위협을 분석하고 취약점을 검증할 수 있는 기술 역량이 뒷받침돼야 한다. TARA부터 보안 테스트, 취약점 관리, 사고 대응까지 차량 개발 전 과정에서 보안을 구현하고 검증할 수 있는 솔루션의 역할이 커지는 이유다.

이에 따라 자동차 제조사의 높아진 보안 요구를 충족할 수 있는 전문기업들의 역할도 커지고 있다. 피지컬 AI 보안 전문기업 아우토크립트는 글로벌 자동차 사이버보안 규제 강화에 발맞춰 차량 개발 초기부터 보안을 적용하고 생애주기 전반의 보안을 관리할 수 있는 기술을 제공하며 국내외 자동차 제조사와 부품사의 보안 내재화를 지원하고 있다.

아우토크립트는 실제 차량을 대상으로 한 공격과 방어 능력을 검증해온 경험도 갖추고 있다. 최근 세계 최고 권위의 해킹·보안 컨퍼런스 데프콘 34(DEF CON 34)의 자동차 해킹 대회 'Car Hacking Village CTF'에서 거둔 우승은 이러한 기술력을 보여줬다. 2022년 대회 참가 이후 지난해 3위에 이어 올해 처음으로 거둔 우승이다. 각국이 요구하는 규제 대응 수준이 점차 고도화되는 가운데 이번 우승으로 검증된 실전 역량은 앞으로도 글로벌 완성차와 부품사가 각국의 규제 변화에 대응하고 차량 보안을 내재화하는 데 실질적인 뒷받침이 될 것으로 보인다.

장세갑 기자 csk@

〈ⓒ 대한경제신문(www.dnews.co.kr), 무단전재 및 수집, 재배포금지〉