GB 44495는 차량 사이버보안의 기술 요구를 정하는 중국의 국가표준이다. 중국어 제목은 “汽车整车信息安全技术要求”, 영어 제목은 “Technical requirements for vehicle cybersecurity”이다. 국가시장감독관리총국(国家市场监督管理总局)과 국가표준화관리위원회(国家标准化管理委员会)가 발행하고, 공업정보화부(工业和信息化部)가 주관한다.[1] 강제 국가표준으로 분류된다.[2]
범위
GB 44495-2024는 차량 사이버보안 보장 요구, 기본 요구, 기술 요구, 동일 형식 판정을 정하고, 그에 맞는 검사·시험 방법을 둔다. M, N 범주 차량에 적용하며, 형식 승인을 받은 2류 섀시나 완성차를 바탕으로 개조한 특장차에는 적용하지 않는다. 3절은 차량 사이버보안(3.1)과 취약점(3.6)을 비롯한 용어를 정의한다.[3]
차량 사이버보안 보장 요구
5장은 차량 제조사가 개발, 생산, 생산 이후 단계를 아우르는 차량 전 생명주기에 걸쳐 차량 사이버보안 보장 요구를 갖추도록 요구하고(5.1), 그 내용으로 다음 프로세스를 든다(5.2).[3]
- 기업 안에서 차량 사이버보안을 관리하는 프로세스
- 차량 사이버보안 리스크를 식별, 평가, 분류, 처리하고 식별한 리스크가 처리되었는지 확인하며, 차량 리스크 평가를 최신으로 유지하는 프로세스
- 차량 사이버보안을 시험하는 프로세스
- 차량에 대한 사이버 공격, 사이버 위협, 취약점을 모니터링하고 대응하며 취약점을 보고하는 프로세스
- 계약한 공급자, 서비스 제공자, 차량 제조사의 하위 조직과의 차량 사이버보안 의존 관계를 관리하는 프로세스[3]
모니터링과 대응 프로세스에는 취약점의 수집, 분석, 보고, 처리, 공개, 상부 보고 절차를 정한 취약점 관리 메커니즘이 들어야 한다. 차량은 등록 시점보다 늦지 않게 모니터링 범위에 들어야 하고, 식별한 사이버 공격, 사이버 위협, 취약점은 대응을 거쳐 기한 안에 처리되어야 한다.[3]
기본 요구
6장 기본 요구는 차량 제조사에게 다음을 요구한다.[3]
- 차량의 공급자 관련 리스크를 식별하고 관리한다(6.2).
- 차량의 핵심 요소를 식별해 차량의 리스크 평가를 하고, 식별한 리스크를 관리한다(6.3).
- 차량에 애프터마켓 소프트웨어, 서비스, 애플리케이션, 데이터를 저장하고 실행하는 전용 환경이 있으면, 그 환경을 보호하는 조치를 둔다(6.5).
- 구현한 보안 조치의 효과를 시험으로 검증한다(6.6).
- 차량에 대한 사이버 공격을 식별하는 능력과, 차량에 관련된 사이버 공격, 사이버 위협, 취약점을 모니터링하고 데이터 포렌식을 하는 능력을 갖춘다(6.7).
- 공개되고 발표된 유효한 암호 알고리즘을 쓰고, 알고리즘과 업무 상황에 맞는 파라미터와 옵션을 고른다(6.8).
- 국제, 국가, 업계 표준을 따르는 암호 모듈을 쓰거나, 그렇지 않은 암호 모듈을 쓰면 그 사용의 타당성을 설명한다(6.9).[3]
기술 요구
7장 기술 요구는 외부 연결(7.1), 통신(7.2), 소프트웨어 업데이트(7.3), 데이터(7.4)의 네 갈래 보안 요구로 이뤄진다. 7.1.1.1은 원격 제어 기능을 갖춘 차량 쪽 시스템이나 인가된 제3자 애플리케이션 같은 외부 연결 시스템에, 자동차 업계의 권위 있는 취약점 플랫폼이 6개월 전에 공개했는데도 처리하지 않은 고위험 이상의 보안 취약점이 없어야 한다고 정한다. 7.2.9는 차량 내부 네트워크를 영역으로 나눠 영역 경계를 보호하고, 영역을 넘는 요청에는 기본 거부 원칙과 최소 권한 원칙에 따라 접근을 통제하도록 요구한다. 7.3은 OTA 업데이트를 포함한 소프트웨어 업데이트의 보안 요구를 둔다. 7.4.7은 차량이 데이터를 국외로 직접 전송하지 않도록 정한다.[3]
개정 이력
- 2024년: 원판. 8월 23일 발행되었고, 2026년 1월 1일 시행되었다.[1]
- 2026년: 제1호 수정단. 1월 28일 비준되어 같은 날 시행되었다. 적용 범위를 M, N 범주로 바꾸고, 형식 승인을 받은 2류 섀시나 완성차를 개조한 특장차를 뺐다. 원판은 M, N 범주와 ECU를 하나 이상 단 O 범주에 적용했다. 5장 제목과 6.1의 “정보보안 관리 체계 요구”(信息安全管理体系要求), 5.1, 5.2, 8.1의 “정보보안 관리 체계”(信息安全管理体系)를 모두 “정보보안 보장 요구”(信息安全保障要求)로 바꾸고, 3.2의 차량 사이버보안 관리 체계(汽车信息安全管理体系) 정의를 지웠다. 새로 형식 승인을 신청하는 차종의 적용 시점을 시행일에서 시행일부터 7번째 달로 늦췄다. 이미 형식 승인을 받은 차종에는 원판대로 시행일부터 25번째 달부터 적용한다.[3]