자동차 사이버 보안의 핵심: TARA(Threat Analysis and Risk Assessment)

안녕하세요, 자동차 사이버보안에 관심 있는 여러분!

오늘은 자동차 산업에서 점점 중요해지고 있는 사이버보안 엔지니어링의 핵심 요소인 '위협 분석 및 위험 평가(TARA: Threat Analysis and Risk Assessment)'에 대해 알아보려고 합니다.

자동차 산업이 자율주행, 공유 모빌리티, 전정화로 변화하면서 사이버보안은 이제 선택이 아닌 필수가 되었죠.

이 글을 통해 TARA가 왜 중요한지, 어떻게 수행되는지, 그리고 이 과정에서 주의해야 할 사항들에 대해 자세히 살펴보겠습니다.

제가 참조한 글은 아래와 같습니다. 자세히 살펴보실 분들은 들어가 보시길 바랍니다!

Automotive cybersecurity engineering starts with threat analysis and risk assessment (TARA)

TARA란 무엇인가요?

Security

TARA는 'Threat Analysis and Risk Assessment'의 약자로, 자동차 사이버보안 엔지니어링에서 위험 평가를 의미합니다.

ISO/SAE 21434 표준에 따라 진행되며, 사이버보안을 설계 단계부터 고려하는 가장 효과적인 방법으로 인정받고 있어요.

TARA는 사이버보안 관리의 핵심 활동 중 하나로, 제품 수명주기 전반에 걸쳐 실행 및 유지되어야 합니다.

ISO/SAE 21434의 15장: TARA

 

ISO21434의 15장 TARA

TARA는 ISO/SAE 21434의 15장에서 다루는 내용으로 자동차 시스템의 사이버보안 위험을 식별, 평가, 그리고 처리하는 과정입니다.

이는 자동차의 사이버보안 수준을 보장하는 데 필수적인 단계입니다.

TARA 프로세스는 다음과 같은 단계로 구성됩니다.

 

1. 자산 식별: 사이버 공격으로부터 보호해야 할 시스템의 객체를 식별합니다 (예: 소프트웨어 프로그램, 통신 링크).
   
   
2. 피해 시나리오 및 영향 평가: 사이버 공격으로 인한 부정적 결과를 식별하고 시스템 및 사용자에 미치는 영향을 평가합니다.
   
   
3. 위협 시나리오 및 공격 경로 분석: 공격 대상이 될 수 있는 방법을 나열하고 이러한 공격을 달성하기 위한 일련의 조치를 식별합니다.
   
   
4. 공격 가능성 평가: 식별된 공격의 용이성 또는 가능성을 평가합니다.
   
   
5. 위험 가치 결정: 영향과 공격 가능성으로부터 위험 가치를 계산합니다.
   
   
6. 위험 처리 결정: 잠재적 공격을 처리하기 위한 의식적인 결정을 내립니다 (예: 위험 감소, 위험 유지).

 

TARA를 수행해야 하는 이유

TARA 없이는 사이버보안 엔지니어링이 실패할 위험이 있습니다.

잠재적 위협이 식별되지 않거나 잘못된 위험 가치로 인해 높은 위험이 잘못 처리될 수 있기 때문이죠.

또한 TARA를 수행할 땐 전문가의 사이버보안 엔지니어의 지식과 경험에 크게 의존합니다.

TARA 전문가들은 표준과 방법에 익숙할 뿐만 아니라, 평가 대상이 되는 자동차 시스템에 대한 심층적인 이해와 최신 공격 방법 및 활용 기술에 대한 지식을 갖추고 있어야 합니다.

TARA의 중요성

TARA는 사이버보안 위험을 체계적으로 관리하는 데 있어 핵심적인 단계입니다.

TARA 과정, 방법, 도구에 대한 익숙함과 자동차 사이버보안 엔지니어링에 대한 지식, 이전 프로젝트 경험은 TARA의 품질을 보장하는 핵심 요소입니다.

결론

자동차 산업에서 사이버보안의 중요성이 날로 증가함에 따라, TARA는 더욱 중요해지고 있습니다.

이 글을 통해 TARA의 개념과 중요성, 수행 방법에 대해 알아보았습니다.

사이버보안에 대한 이해를 높이고, 보다 안전한 자동차 시스템을 구축하는 데 도움이 되었기를 바랍니다.

긴 글 읽어주셔서 감사합니다. 다음엔 더 재미있는 주제로 찾아뵙도록 하겠습니다!