취약점 관리

ISO/SAE 21434:2021은 취약점(vulnerability)을 attack path의 일부로 악용될 수 있는 약점으로, 약점(weakness)을 원치 않는 동작으로 이어질 수 있는 결함이나 특성으로 정의한다. 이 표준의 8절은 이어지는 리스크 평가에 정보를 주는 활동을 담고, 사이버보안 지원이 끝날 때까지 E/E(Electrical/Electronic) 시스템의 취약점 관리를 정한다. 8절은 8.3부터 8.6까지 cybersecurity monitoring, cybersecurity event evaluation, vulnerability analysis, vulnerability management 네 절을 둔다.[1] UN R155는 취약점을 하나 이상의 위협이 악용할 수 있는 자산이나 완화 수단의 약점으로 정의한다.[2]

용어

ISO/SAE 21434:2021은 지속 활동의 용어를 다음처럼 정의한다.[1]

• Cybersecurity information: 관련성이 아직 정해지지 않은 사이버보안 정보
• Triage: cybersecurity information이 아이템이나 컴포넌트와 관련되는지 정하는 분석
• Trigger: triage의 기준
• Cybersecurity event: 아이템이나 컴포넌트와 관련된 cybersecurity information
• Vulnerability analysis: 취약점을 체계적으로 찾고 평가하는 일[1]

취약점의 특성과 심각도를 0에서 10까지의 점수로 나타내는 틀로는 CVSS가 있다.[3]

취약점 보고와 정보 공유

NHTSA의 2022년 Cybersecurity Best Practices for the Safety of Modern Vehicles는 자동차 업계 구성원이 자체 취약점 보고 정책과 수단을 두기를 권하고, 이 정책이 외부 보안 연구자에게 취약점을 기밀로 보고하는 방법을 알려 준다고 본다. 또 제조사, 부품 공급사, 소프트웨어 개발사를 비롯한 업계 구성원이 Auto-ISAC에 가입하고, 취약점을 포함한 사이버보안 정보를 Auto-ISAC과 제때 나누기를 강하게 권한다.[4]

Auto-ISAC은 2015년 8월 자동차 제조사들이 세웠고, 2016년 1월부터 온전히 운영됐다. Auto-ISAC은 회원끼리 커넥티드 차량의 사이버 위협, 취약점, 사고 정보를 나누고 추적하고 분석하는 중심 창구 역할을 한다.[5]

[1]

ISO and SAE International, “ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering (OBP preview).” 2021. Accessed: Oct. 03, 2026. [Online]. Available: https://www.iso.org/obp/ui/#iso:std:iso-sae:21434:ed-1:v1:en

[2]

“UN Regulation No. 155 — Uniform provisions concerning the approval of vehicles with regards to cyber security and cyber security management system (E/ECE/TRANS/505/Rev.3/Add.154).” UNECE, 2021. Accessed: Oct. 03, 2026. [Online]. Available: https://unece.org/sites/default/files/2023-02/R155e%20%282%29.pdf

[3]

“Common Vulnerability Scoring System version 4.0: Specification Document,” FIRST, 2023. Accessed: Oct. 03, 2026. [Online]. Available: https://www.first.org/cvss/v4.0/specification-document

[4]

“Cybersecurity Best Practices for the Safety of Modern Vehicles,” National Highway Traffic Safety Administration, Tech. Rep., 2022. Accessed: Oct. 03, 2026. [Online]. Available: https://www.nhtsa.gov/sites/nhtsa.gov/files/2022-09/cybersecurity-best-practices-safety-modern-vehicles-2022-tag.pdf

[5]

“About Us.” 2026. Accessed: Oct. 03, 2026. [Online]. Available: https://automotiveisac.com/faq