UN R155는 사이버보안 관리 시스템(cyber security management system, CSMS)을, 차량에 대한 사이버 위협에서 생기는 리스크를 다루고 차량을 사이버 공격에서 보호하려고 조직의 프로세스, 책임, 거버넌스를 정하는 체계적이고 리스크 기반인 접근으로 정의한다.[1]
UN R155의 요구
이 규정은 제조사가 CSMS에 쓰는 프로세스로 다음을 갖췄음을 보이기를 요구한다.[1]
- 조직 안에서 사이버보안을 관리하는 프로세스
- 차량 형식의 리스크를 식별하는 프로세스. UN R155 Annex 5 Part A의 위협과 그 밖의 관련 위협을 고려한다.
- 식별한 리스크를 평가, 분류, 처리하는 프로세스
- 식별한 리스크가 적절히 관리되는지 확인하는 프로세스
- 차량 형식의 사이버보안을 시험하는 프로세스
- 리스크 평가를 최신으로 유지하는 프로세스
- 차량 형식에 대한 사이버 공격, 위협, 취약점을 모니터링하고 탐지하고 대응하며, 새로 드러난 위협과 취약점에 비추어 적용한 사이버보안 대책이 여전히 유효한지 평가하는 프로세스
- 사이버 공격 시도나 성공을 분석하는 데 필요한 데이터를 제공하는 프로세스[1]
이 규정은 CSMS가 개발, 생산, 생산 이후 단계에 모두 적용됨을 보이기를 요구한다. 제조사가 계약한 공급자, 서비스 제공자, 제조사의 하위 조직과의 사이에 있을 수 있는 의존 관계를 CSMS가 어떻게 관리하는지도 보이기를 요구한다.[1]
R155 해석 문서는 CSMS가 조직의 품질경영 시스템의 일부일 수도, 따로 있을 수도 있다고 보고, 일부라면 그 안에서 분명히 식별되어야 한다고 본다.[2]
적합 인증서
UN R155는 체약 당사국이 승인 당국을 지정해 제조사를 평가하고 CSMS 적합 인증서(Certificate of Compliance for CSMS)를 내주게 한다. 승인 당국은 평가가 만족스럽게 끝나고 제조사의 서명 선언서를 받으면 인증서를 내준다. 인증서는 철회되지 않는 한 발급일부터 최대 3년 동안 유효하다. 제조사가 유효 기간이 끝나기 전에 신청하면 승인 당국은 긍정적 평가를 거쳐 새 인증서를 내주거나 유효 기간을 3년 더 연장한다. 요구를 더는 충족하지 않으면 승인 당국은 인증서를 철회한다.[1] 적합 인증서가 차량 형식 승인에서 쓰이는 방식은 UN R155의 형식 승인에서 다룬다.
감사
ISO/SAE 21434:2021은 감사(audit)를 프로세스의 목표가 어느 정도 이뤄지는지 판단하려고 프로세스를 검토하는 일로 정의한다.[3]
ISO/PAS(Publicly Available Specification) 5112:2022는 도로 차량 사이버보안 엔지니어링의 감사 지침이다. ISO 19011을 보완해 CSMS 감사 프로그램의 관리, 조직 수준 CSMS 감사의 수행, CSMS 감사원의 역량, CSMS 감사에서 증거를 내는 일에 대한 지침을 두고, 감사에 맞게 고쳐 쓸 수 있는 예시 질문 목록을 Annex A에 둔다. CSMS의 요소를 ISO/SAE 21434의 프로세스에 바탕을 둔 것으로 보고, ISO/SAE 21434의 목표에 기반한 감사 기준을 제시한다. 감사는 조직 수준의 사이버보안 활동을 겨냥하며, 프로젝트와 제품 수준은 다루지 않는다.[4] ISO/PAS 5112의 1판은 2022년 3월 나왔고, ISO는 이 판을 개정 대상으로 정해 2판을 개발하고 있다.[5]
R155 해석 문서는 CSMS 감사 수행의 추가 지침으로 ISO/PAS 5112를 들고, ISO/SAE 21434:2021을 쓰는 CSMS 감사 질문 목록의 예로 ISO/PAS 5112:2022의 Annex A를 든다.[2]
VDA QMC는 2020년 12월 CSMS 감사용 책자 ACSMS(Automotive Cybersecurity Management System Audit)를 펴냈다.[6]
ISO/SAE 21434와의 관계
ISO/SAE 21434:2021은 조직이 이 표준으로 CSMS를 구현할 수 있고, 그 CSMS에는 사이버보안 리스크 관리도 든다고 밝힌다. 그 5절은 조직 수준의 사이버보안 관리와, 조직의 사이버보안 정책, 규칙, 프로세스를 정하는 일을 다룬다. 5절의 요구사항과 권고는 사이버보안 거버넌스, 사이버보안 문화, 정보 공유, 관리 시스템, 도구 관리, 정보보안 관리, 조직 사이버보안 감사의 일곱 하위 절로 이뤄진다.[3]
R155 해석 문서는 ISO/SAE 21434:2021을 CSMS를 입증하고 평가하는 근거로 쓸 수 있다고 보고, CSMS 전반의 평가에 그 5절(조직 사이버보안 관리), 6절(프로젝트 의존 사이버보안 관리), 8절(지속적 사이버보안 활동)을 쓸 수 있다고 본다.[2]