자동차 보안 의무화 시대, 페스카로가 ‘올인원 보안’ 전략을 내세우는 이유

구성서 페스카로 최고사업책임자(CSO) 인터뷰

영화 ‘분노의 질주’ 8편에는 운전자 없이 움직이는 좀비카가 등장한다. 허구처럼 보이지만, 차량 원격 조종·기능 마비 같은 공격은 이미 현실에서 보고되고 있다. 2015년에는 유명한 화이트해커인 찰리 밀러와 크리스 발라섹이 원격 해킹을 통해 지프 체로키 차량의 엔진, 브레이크, 조향 등을 마음대로 제어하는 것을 시연하여 큰 충격을 줬다. 이 사건을 계기로 자동차 사이버보안의 중요성이 전 세계적으로 부각됐다.

자동차 보안 전문기업 ‘페스카로’의 구성서 최고사업책임자(CSO) 상무는 바이라인네트워크와의 인터뷰에서 “자동차 해킹은 이미 현실에서 벌어지고 있다”며 “다른 보안 사고와 달리 (자동차 보안 사고는) 사람의 안전과 직결된 문제이자 재산 피해로 이어진다는 점에서 그 위험성이 매우 크다”고 강조했다.

자동차 보안 환경 변화의 핵심은 정보통신기술(ICT)을 중심으로 한 ‘연결‘에 있다. 스마트카와 커넥티드카(네트워크로 연결된 차량)의 확산으로 자동차는 ‘바퀴 달린 스마트폰’으로 진화했다. 하지만, 편의성과 업데이트 속도가 빨라진 만큼 공격 표면도 넓어졌다. 이런 흐름 속에서 8월 14일 개정 자동차관리법이 시행됐다. 완성차 제조사(OEM)는 신차 출고 전 조직 차원의 사이버보안 관리체계(CSMS, Cyber Security Management System) 구축·운영에 대한 인증을 받은 후 형식승인(VTA, Vehicle Type Approval)까지 받아야 한다.

구성서 상무는 “자동차 보안 인증을 의무화 한 것은 완벽한 보안을 위한 게 아니라, 자동차 사이버보안에 대한 최소한의 공통 분모와 상시 운영 기준을 세운 출발점”이라고 설명했다.

페스카로는 2016년 설립된 자동차 보안 전문기업이다. 현대케피코 출신의 자동차 전장 소프트웨어 개발자인 홍석민 대표와 화이트해커 출신 이현정 최고기술책임자(CTO)가 ‘자동차 사이버보안을 제대로 해보자‘는 문제 의식 속에서 회사를 설립했다. 페스카로라는 사명은 ‘선제적 보안을 기반으로 자동차 임베디드 보안에 집중한다(Focus on Embedded Security in CAR based on Offensive security)’는 의미를 담고 있는데, 최근에는 ‘핵 더 모빌리티(Hack the Mobility)’라는 슬로건을 더 강조하고 있다. 이 슬로건은 정해진 답이 없는 모빌리티 산업의 문제에 ‘창의적인 돌파구’를 제시하겠다는 뜻이다.

자동차 보안, 왜 ‘의무’가 됐나?

자동차는 수십개의 전자제어장치(ECU)와 마이크로컨트롤러유닛(MCU)이 내부 통신망 컨트롤러영역네트워크(CAN)로 끊임없이 신호를 주고받으며 달린다. 브레이크·조향·에어백 같은 제어 신호는 수 밀리초단위의 마감시간(데드라인)을 갖는다. 이때 보안 기능이 제어를 지연시키면 제동 개입이 늦거나 신호가 누락돼 오작동으로 이어질 수 있다. 즉, 보안 기능이 안전 제어의 실시간성을 해치면 그 자체가 안전에 위험이 되는 것이다. 그래서 자동차 보안은 ‘안전 제어의 실시간성을 훼손하지 않는 경량 설계’가 전제로 한다.

여기에 연결을 키워드로 한 ‘무선 소프트웨어 업데이트(OTA, Over-The-Air)‘가 일상화되며 위협 환경은 더 복잡해졌다. OTA는 기능 추가와 오류 수정에 필수지만, 공격자가 업데이트 경로를 장악하면 대규모 변조로 이어질 수 있다. 그래서 차량 개발은 ‘설계 단계 보안(Security by Design)→개발·검증→양산·운영’으로 이어지는 전 생애주기 보안 체계로 바뀌었고, 업데이트마다 변경 관리와 롤백 시나리오를 준비하는 것이 표준이 됐다.

국제 규정도 이러한 지속 운영을 전제로 한다. 유럽의 국제 규정인 ’UN R155(차량 사이버보안)’는 위협 분석 보고, 취약점 공개·대응 정책, 사고 재발방지 절차 등 조직 차원의 운영 의무를, ‘UN R156(소프트웨어 업데이트)’는 OTA 무결성 검증과 업데이트 거버넌스를 명문화했다. 단발 검사 통과가 아니라 탐지·대응·복구·재발 방지 사이클을 기업이 주기적으로 입증해야 한다.

구성서 상무는 “3년에 한 번 재인증을 받고 매년 사후 감시 증빙을 제출해야 한다”며 “보안을 완벽하다고 전제하지 않고 결함을 가정해 지속적으로 고치며 단단하게 만들어가는 운영 루프가 핵심”이라고 말했다.

이 같은 국제 규정의 흐름 속에서 ‘CSMS’의 중요성이 커졌다. 기존 환경·안전 인증이 제품·차종 단위였다면, CSMS는 기업 전체의 보안 운영 역량을 검증한다. 개정된 자동차관리법 시행에 맞춰 국토교통부와 한국교통안전공단 산하 자동차안전연구원은 8월 14일 CSMS 인증을 위한 총괄 시스템을 정식 오픈했다. 유럽은 인가기관(AA)과 기술서비스(TS)로 역할을 나눠 심사하고, 미국은 자가 인증 체계를 유지하고 있다.

구성서 상무는 “CSMS는 차량의 사이버보안을 조직적으로 잘 관리하고 있는지를 검증하는 것이며, VTA는 해당 차량에 사이버보안 대책이 잘 수립되었는지 검증하는 절차”라고 설명했다.

페스카로가 ‘올인원’ 자동차 보안을 말하는 이유

이처럼 자동차 사이버보안의 패러다임이 ‘제품’ 중심에서 ‘조직’과 ‘운영’ 중심으로 바뀌면서, 단발성 솔루션을 넘어 전방위적이고 지속적인 보안 관리가 중요해졌다. 많은 자동차 보안업체가 컨설팅이나 단일 솔루션을 공급하는데 비해, 페스카로는 컨설팅→보안 솔루션→테스팅→관제→전장제어기까지 전 구간을 끊김없이 제공하는 올인원(All-in-one) 보안을 전면에 내세운다.

구성서 상무는 “요청서대로 만들어 주는 건 어렵지 않다. 관건은 현실에 맞는 요구사항·사양서를 고객사와 공동으로 작성해 1·2차 협력사까지 일정·규격을 일관되게 보내주는 일”이라고 강조했다. 그는 이 방식을 “문서만 쌓는 보안이 아니라 실행 가능한(Executable) 엔지니어링”이라고 설명했다.

이 같은 접근 방식을 실제로 뒷받침하는 것이 페스카로의 기술 라인업이다. 페스카로는 컨설팅에서 운영까지 전 단계를 아우르는 솔루션을 자체적으로 개발해 ‘올인원 보안’을 제공하고 있다.

올인원 자동차 보안을 위한 첫째 요소로는 ‘CSMS 포털‘이 있다. CSMS 포털은 사이버보안 업무를 자동화하고 관리하는 시스템을 의미한다. 이는 단순한 솔루션이 아니라, 자동차의 전 생애주기 동안 보안을 지속적으로 관리하고 유지할 수 있도록 돕는 플랫폼이다.

특히, CMSM 포털은 위협 인텔리전스, 타라(TARA·Threat Analysis & Risk Assessment, 위협분석·위험평가), 요구사항 도출, 개발·검증, VTA준비, 양산 후 취약점·사고 대응, 사후 감사까지 워크플로우를 자동화해 효율성을 높인다. 구성서 상무는 “사람이 그때그때 수동으로 처리하는 게 아니라 시스템이 시점별 할 일을 자동화해 완료하고, 이후 다음 담당자에게 자동 인계한다”며 “복잡한 형상관리(버전)와 관제까지 한 화면에서 통합 관리한다. 재인증(3년)과 사후 감시(매년) 증빙은 자동 축적된다”고 설명했다.

다음은 ‘시큐어 게이트웨이(Secure Gateway, SGW)’로 차량의 ‘방화벽’ 역할을 한다. 텔레매틱스·원격진단·모바일앱 등 외부 연결이 내부 CAN으로 들어오기 전 인증·권한을 검증하고, 침입탐지시스템(IDS)과 보안 로그로 이상행위를 기록한다. 또한, OTA 무결성을 검증해 변조를 차단한다. MCU 자원 제약과 실시간성을 고려한 경량·분리 설계가 기본이다.

세 번째는 ‘테스팅 스택’이다. 테스팅 스택은 전문 레드팀(화이트해커)이 정적·동적 분석을 넘어 퍼징(Fuzzing)과 모의 침투 시뮬레이션으로 자동차의 환경 내성을 점검한다. 단일 시스템이라기보다 보안 검증 기법을 단계적으로 엮은 통합 체계다. 정적·동적 분석에 더해 ‘퍼징(Fuzzing)‘과 ‘실전 침투 시뮬레이션‘을 적용해, 실제 차량 환경에서 보안 내성을 점검한다.

이렇게, 세 요소는 하나의 통합된 자동차 보안 체계를 이룬다. CSMS 포털이 업무·증빙 자동화로 일상 운영을 이끌고, SGW가 차량 레벨 면역체계를 맡아 위험을 걸러내며, 테스팅 스택이 개발·양산 전후 실차 검증을 반복해 보안의 품질을 보장한다. 결과물과 로그는 다시 CSMS 포털로 돌아와 재인증·사후 감시를 수행한다.

구성서 상무는 “보안이 문서로만 끝나면 실패라고 본다. 주행 안전과 보안이 동시에 유지되는지까지 봐야 진짜 완료”라고 강조했다.

KG모빌리티에 구축한 올인원 보안 체계

페스카로는 이러한 기술력을 통해 실제 산업 현장에서 성과를 만들어내고 있다. 2020년부터 KG모빌리티와 협력해 올인원 보안을 상용화했으며, 그 결과 2022년 12월 CSMS·소프트웨어 업데이트 관리체계(SUMS) 인증을 획득했다. 이어 2023년 10월에는 전기차 ‘토레스 EVX’로 형식승인(VTA)을 통과하며 성과를 내고 있다. 이 과정에서 ‘컨설팅→솔루션→테스팅→관제→SGW’까지 전 단계를 일괄 수행했다.

구성서 상무는 “KG모빌리티는 사이버보안 관리체계 구축에 당사의 올인원 보안솔루션을 활용했으며, 인증 심사 대응 과정에서도 페스카로의 많은 엔지니어가 동시에 투입됐다”고 소개했다.

페스카로의 레퍼런스는 KG모빌리티를 넘어 ▲타타대우모빌리티 ▲KGMC(버스) ▲우진산전(버스) ▲오토노머스에이투지(자율주행차) ▲대동(농기계) 등 다양한 산업과 기업으로 확장되고 있다. 버스는 대규모 운송 특성상 안전성이, 농기계는 혹서·혹한·진동 환경에서의 내구성과 원격 업데이트 안정성이 핵심 이슈다. 이외에도 중국 법인도 운영 중인데, 현지의 OEM과의 협업도 논의되고 있다.

특히, 최근에는 국내외 고객사들이 유럽 수출을 준비하면서, 페스카로에 규제 대응 컨설팅과 보안 체계 구축을 맡기는 사례가 늘고 있다. 구성서 상무는 “유럽연합(EU)의 ‘사이버 회복력 법(CRA, Cyber Resilience Act)’은 소프트웨어를 포함한 ‘디지털 요소가 들어간 제품’ 전반에 보안 설계, 취약점 대응, 보안 업데이트 제공을 제조사 책임으로 묶는 규정이라 범위가 넓다”며 “그래서 자동차 외에도 농기계·건설기계, 전기차 충전기 같은 주변 인프라까지 대비가 필요해 문의가 늘고 있다”고 말했다.

꾸준한 실적 성장세

이같은 규제 환경의 변화 속에서, 올인원 보안 전략을 기반으로 페스카로는 꾸준한 성장세를 이어가고 있다. 2022년 67억2500만원이었던 매출액은 2023년 119억6500만원으로 두 배 가까이 증가했으며, 2024년에는 143억1900만원의 매출을 기록했다.

구성서 상무는 사업 부문별 비중 변화에 대해 “해마다 조금씩 다르지만, 원래 2020년부터 2022년까지는 사이버 보안 사업 비중이 컸고, 2023년에는 전장 사업과 거의 비슷한 수준이었다”고 설명했다. 그는 이어 “올해는 약 60~70% 정도가 사이버 보안 사업에서 발생하고 있다”며, “이는 전장 제어기 사업이 아직 공급 준비 단계에 있고 사이버 보안 관련 활동이 먼저 진행되고 있기 때문“이라고 덧붙였다.

“의무화는 자동차 보안의 시작, 운영은 지금부터”

끝으로, 구성서 상무는 “자동차 보안은 추상적 개념이 아니라 위협에 대한 현실적인 대응”이라며, 세 가지 구체적 시나리오와 함께 자동차 보안의 중요성을 피력했다. 그는 “핸들이 의도와 다르게 움직이거나 브레이크가 반응하지 않으면 안전 문제, 차량 내에서만 쓴 카드·계정이 외부에서 사용되면 개인정보 문제, 원격 취약성으로 차량이 도난 당하면 즉각적인 재산 피해로 이어진다”고 말했다.

이어 “CSMS로 ‘관찰·대응·복구’ 체계를 운영하고, SGW 같은 제어기로 차량 내부 면역을 키우는 운영을 지금부터 시작해야 한다”며 “보안 인증서 한 장으로 끝나는 시대는 이미 지났다. 차량이 도로 위에 존재하는 한 보안도 계속 굴러가야 한다”고 강조했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network