[ISO/SAE 21434 쉽게 보기] 챕터 5: 조직의 사이버 보안 관리

조직 전체가 사이버보안을 어떻게 운영해야 할까?

 

✅ 조직의 사이버 보안 관리의 목적

기업이나 조직 차원에서 CSMS (Cyberssecurity Management System)를 어떻게

구축해야 하는지에 대한 총론입니다.

개별 제품이나 프로젝트 이전에 반드시 마련되어 있어야 하는 "보안 운영 시스템"이자

UN R155 인증의 핵심 기반 요건입니다

 

핵심 요구사항 요약

구성 요소	설명
정책/절차	보안 방침 수립, 조직 내 보안 운영 규칙 정립
역할 정의	사이버보안 책임자 임명 (예: Cybersecurity Manager)
인식/교육	전직원 보안 교육 및 인식 제고 활동
역량관리	보안 인력에 대한 전문성 검증 및 훈련
감사 체계	내부 사이버보안 감사 및 개선 활동 운영
툴 관리	사용하는 툴/시스템에 대한 보안 관점 관리
지속적 개선	변화에 따라 지속적으로 관리 체계 업데이트

 

요구 산출물 (Work Products)

WP 번호	문서 이름	설명
WP-05-01	사이버보안 정책 및 절차	보안 방침과 운영 방식 문서
WP-05-02	인식/교육/개선 증적	교육 이력, 인식 제고 활동 결과, 개선 계획
WP-05-03	관리체계 증적	CSMS 운영 관련 책임체계 및 관리 프로세스
WP-05-04	툴 관리 증적	개발/검증 툴의 보안성 검토 및 인증 상태
WP-05-05	조직 보안 감사 보고서	내부 보안 감사 결과 문서

📌 이 문서들은 UN R155 인증 심사에서 필수 제출 항목으로 간주됩니다

조직 내 역할 분담 – RASIC 매트릭스

역할	의미
R (Responsible)	실제로 작업을 수행하는 사람/조직
A (Accountable)	최종 승인 및 책임을 지는 사람/조직
S (Support)	지원을 제공하는 조직
I (Informed)	결과를 전달받아야 하는 사람/조직

 

실무 적용 팁

1. 보안 관련 조직도 그리기
   • Cyber security Manager → PL/검증/개발 → 교육 담당 등
2. 사이버보안 정책서 초안 만들기
   • 회사는 차량 보안 목표를 어떻게 설정하고 어떤 기준에 따라 TARA를 수행한다는 내용 포함
3. 교육 시스템 구축
   • 신입 개발자, 구매자, 품질인력에게 각자 맞는 보안 교육 실시 → WP-05-02 기록화
4. 내부 감사 주기/양식 정의
   • 분기.반기 단위로 감사 → WP-05-05 보고서 작성 → 개선조치 추적