ISO/SAE 21434는 도로 차량의 사이버보안 엔지니어링을 다루는 국제 표준이다. 제목은 “Road vehicles — Cybersecurity engineering”이고, ISO와 SAE International이 함께 만들었다.[1] ISO/SAE 21434:2021은 ISO/TC 22/SC 32와 SAE의 Vehicle Cybersecurity Systems Engineering Committee가 함께 마련했다.[2] ISO 기사에 따르면 ISO/TC 22/SC 32 산하의 작업반 WG 11은 도로 차량 전기·전자 컴포넌트의 사이버보안을 다루고, 이 작업반의 프로젝트 리더들이 ISO/SAE 21434 개발에 참여했다.[3]
범위
ISO/SAE 21434:2021은 도로 차량의 E/E(Electrical/Electronic) 시스템과 그 컴포넌트, 인터페이스에 대해, 개념, 제품 개발, 생산, 운용, 정비, 폐기에 걸친 사이버보안 리스크 관리의 엔지니어링 요구사항을 정한다. 양산 도로 차량의 E/E 시스템과 그 컴포넌트, 인터페이스 가운데 이 표준이 나온 뒤에 개발이나 변경을 시작한 것에 적용하고, 특정 사이버보안 기술이나 해결책은 정하지 않는다.[2]
이 표준의 4절부터 15절까지가 다루는 것은 다음과 같다. 4절은 정보 제공용이다.[2]
| 절 | 다루는 것 |
|---|---|
| 4 | 일반 고려 사항 |
| 5 | 조직 사이버보안 관리 |
| 6 | 프로젝트 의존 사이버보안 관리 |
| 7 | 분산 사이버보안 활동 |
| 8 | 지속적 사이버보안 활동 |
| 9 | 개념 단계 |
| 10 | 제품 개발 |
| 11 | 사이버보안 확인(validation) |
| 12 | 생산 |
| 13 | 운용과 정비 |
| 14 | 사이버보안 지원 종료와 폐기 |
| 15 | 위협 분석과 리스크 평가 방법 |
이 표준은 5절부터 15절까지 절마다 목표, 조항, 작업 산출물을 둔다. 조항은 요구사항, 권고, 허용으로 나뉜다. 조항과 작업 산출물에는 RQ(requirement), RC(recommendation), PM(permission), WP(work product) 뒤에 절 번호와 절 안의 순번을 붙인 식별자를 매긴다. 예를 들어 RQ-05-14는 5절의 열네 번째 요구사항이다.[2]
조직 수준의 사이버보안 관리가 UN R155의 CSMS와 어떻게 이어지는지는 CSMS와 ISO/SAE 21434의 관계에서 다룬다. 15절의 TARA 방법과 Annex의 impact rating 기준 예는 TARA에서 다룬다.
개정 이력
ISO 26262와의 관계
ISO 26262:2018은 기능 안전을, ISO/SAE 21434:2021은 사이버보안을 다루며, 두 표준은 서로 보완한다.[1] ISO/SAE 21434:2021은 인용 규격으로 ISO 26262-3:2018 하나를 두고, 아이템(item)과 감사(audit)의 정의를 ISO 26262-1:2018의 정의를 고쳐 가져온다.[2]