SDV 전환과 국제 규제 강화… 자동차 공급망 보안관제, 협력사 생존 좌우해

전 세계 자동차 산업의 SDV(Software-Defined Vehicle) 전환이 가속화되면서 차량은 물론 제조·운영·공급망 전반에서 사이버보안 관제 역량이 필수 인프라로 부상하고 있다.

2024~2025년 본격 시행된 UNECE R155·R156은 자동차 제조사가 CSMS(사이버보안 관리체계)와 SUMS(소프트웨어 업데이트 보안 프로세스)를 갖추지 못하면 형식승인과 차량 판매가 불가능하도록 규정하고 있다. 이 요구사항은 OEM의 규제 준수를 위해 협력사까지 요구 범위가 확대되고 있다. 이에 따라 완성차 OEM은 글로벌 인증 기준과 ISO/SAE 21434 등에 부합하는 상향 표준 보안체계를 구축하는 동시에 협력사까지 포함한 전 생태계 보안 수준 제고를 압박받고 있다.

국내에서도 자동차관리법 개정으로 사이버보안 관리체계와 안전한 소프트웨어 업데이트가 법제화되면서 올해 업계 공통 과제로 국제 규제와 연계된 국내 규제 준수가 회자하고 있다. 현대차그룹은 그룹 차원의 사이버위협 대응 컨트롤타워를 구축해 차량·IT·제조 영역을 아우르는 통합 보안 거버넌스를 강화하고 있으며 업계 관계자는 "이는 단일 기업 차원을 넘어 공급망 전반의 보안 수준을 끌어올리겠다는 신호로 해석하고 있다"라고 한다.

업계에서는 협력사 보안관제의 필요성이 급부상하고 있다. 생산·물류·설비가 긴밀히 연결된 자동차 제조 특성상 단일 협력사의 시스템 침해가 곧바로 생산라인 중단과 납품 차질로 이어질 수 있으며 실제 공격 시나리오에서도 협력사 계정을 통한 우회 침입 방식이 반복적으로 지적되고 있기 때문이다. 이에 따라 협력사가 자체적으로 로그 수집, 이상행위 탐지, 증적 관리 체계를 갖추는 것이 납품 안정성과 거래 지속을 위한 최소 조건으로 자리 잡고 있다는 분석이 나온다.

제조업 전반에서는 IT 시스템과 OT 설비, MES·ERP 등 각종 로그를 통합 분석하는 SIEM 기반 보안관제가 빠르게 확산되고 있다. 국내외 시장에서 널리 활용되는 Splunk와 같은 플랫폼은 다양한 설비·시스템 로그를 별도 구조화 없이 수집·분석할 수 있어 복잡한 제조 환경을 가진 자동차 협력사의 초기 관제 인프라로 많이 활용되고 있다. 업계 전문가는 SDV 전환과 국제 규제 강화, OEM 보안 거버넌스 개편이 맞물린 지금을 '협력사 보안체계 정비의 분기점'으로 지목하며 보안관제 역량이 협력사의 생존과 수주 경쟁력을 좌우하는 핵심 요소가 되고 있다고 강조하고 있다.