UN R155는 사이버보안과 CSMS에 관해 차량을 승인하는 통일 규정이다. 정식 제목은 “Uniform provisions concerning the approval of vehicles with regards to cyber security and cyber security management system”이다. 1958 협정의 부속 규정이며, 2021년 1월 22일 협정의 부속 규정으로 발효했다.[1]
UNECE의 차량 규정 세계 포럼 WP.29는 2020년 6월 이 규정을, 소프트웨어 업데이트와 SUMS를 다루는 UN R156과 함께 채택했다.[2][3] 초안은 WP.29 산하의 자율·커넥티드 차량 작업반 GRVA가 제출했다.[4]
범위
UN R155는 범주 L, M, N, O 차량 가운데 ECU를 하나 이상 단 차량에 적용한다.[5]
UN R155의 2절은 vehicle type, cyber security, cyber security management system, system, development phase, production phase, post-production phase, mitigation, risk, risk assessment, risk management, threat, vulnerability를 정의한다.[1] cyber security의 정의는 사이버보안 페이지에서, cyber security management system의 정의는 CSMS 페이지에서 다룬다.
Annex 5는 세 부분으로 이뤄진다. Part A는 위협과 취약점, 공격 방법의 기준 목록이고, Part B는 차량 형식에 대한 위협의 완화 조치, Part C는 백엔드 서버처럼 차량 밖에 대한 위협의 완화 조치다. 이 규정은 제조사가 차량 형식의 리스크 평가에서 Part A의 모든 위협과 그 밖의 관련 리스크를 고려하기를 요구한다. 식별한 리스크에 맞는 Part B와 Part C의 완화 조치를 모두 구현하되, 맞지 않거나 충분하지 않으면 다른 적절한 완화 조치를 구현하기를 요구한다.[1]
형식 승인
이 규정의 승인은 두 단계다. 제조사는 먼저 승인 당국에서 CSMS 적합 인증서를 받고, 차량 형식 승인을 신청할 때 그 차량 형식에 해당하는 유효한 적합 인증서를 갖춰야 한다. 형식 승인에서 승인 당국이나 기술 기관은 제조사가 그 차량 형식의 리스크 평가와 적용한 완화 조치를 문서로 남기고 사이버 공격을 탐지하고 대응할 조치를 갖췄는지 문서 검토로 확인하고, 문서로 남긴 보안 조치를 실제로 구현했는지 차량 시험으로 확인한다.[1] 적합 인증서의 발급과 유효 기간은 CSMS의 적합 인증서에서 다룬다.
적용 일정
이 규정에는 경과 규정 절이 없다.[1] UN R155는 2024년 7월 1일 전에 처음 승인된 M, N, O 범주 차량 형식과 2029년 7월 1일 전에 처음 승인된 L 범주 차량 형식, 그리고 그 확장에 예외를 둔다. 제조사가 그 형식을 CSMS에 따라 개발할 수 없었음을 보이면, 개발 단계에서 사이버보안을 적절히 고려했음을 보이면 된다.[5]
EU 규정 2019/2144는 Annex II의 사이버 공격에 대한 차량 보호 항목에 UN R155를 둔다. 이 항목을 충족하지 않는 차량에는 2022년 7월 6일부터 EU 형식 승인을 거부하고, 2024년 7월 7일부터 등록을 금지한다.[6]
개정 이력
- 2021년: 원판. 1월 22일 발효했다.[1]
- 2022년: 보충판 1. 10월 8일 발효했다. 형식 승인 예외가 2024년 7월 1일 전에 처음 승인된 형식과 그 확장에 적용되게 고쳤다.[7]
- 2024년: 보충판 2. 1월 5일 발효했다. Annex 5에서 차량이 받는 메시지와 데이터의 스푸핑 위협 항목과 그 완화 조치 행을 고쳤다.[8]
- 2025년: 보충판 3. 1월 10일 발효했다. 적용 범위를 지금의 범위로 바꾸고, 예외에 L 범주의 기준일 2029년 7월 1일을 더했다. 원판은 M, N 범주 차량에 적용하고, O 범주는 ECU를 하나 이상 달았을 때, L6과 L7 범주는 레벨 3 이상의 자동화 운전 기능을 갖췄을 때 적용했다.[1][5]
- 원판에 보충판 1~3을 반영한 것이 현행판이고, 새 개정 시리즈는 없다.[3][9]
- 2026년 9월 GRVA 26차 회의에 R155 보충판 제안이 올라 있다.[10]
ISO/SAE 21434와의 관계
UN R155는 승인 당국과 기술 기관이 갖출 리스크 평가 지식의 예로 ISO 26262, ISO/PAS 21448, ISO/SAE 21434를 각주에 든다.[1]
WP.29는 2023년 6월 R155 해석 문서를 채택했다. 이 문서는 R155의 5절, 7절, 8절과 Annex 1의 요구를 풀이하고, 무엇으로 입증할 수 있는지 안내한다.[11][12]
해석 문서는 자신이 지침일 뿐이고, 그 안에서 드는 표준은 예시일 뿐 의무가 아니라고 밝힌다. 해석 문서의 6절은 R155의 문단마다 대응하는 ISO/SAE 21434:2021의 절을 표로 잇고, Annex 5의 위협 목록, 대응 기한, 차량 소유자의 프라이버시 권리는 ISO/SAE 21434:2021의 범위 밖으로 둔다.[11] 해석 문서가 CSMS 평가에 쓸 수 있다고 보는 ISO/SAE 21434의 절은 CSMS와 ISO/SAE 21434의 관계에서 다룬다.