소프트웨어 정의 차량(SDV) 사이버보안: 저장 데이터(data at rest)가 차세대 규제 및 운영 리스크인 이유

소프트웨어 정의 차량에서 사이버보안은 전송 중 데이터(data in motion)뿐 아니라 차량 내부에 저장된 펌웨어, 인증서, 키, 로그와 같은 저장 데이터(data at rest)에 점점 더 크게 좌우되고 있습니다. UN R155, ISO/SAE 21434, GB 44495-2024, EU 사이버복원력법(Cyber Resilience Act)을 비롯한 규제는 이러한 저장 데이터가 어떻게 보호·검증·복구되어야 하는지를 규정하고 있으며, 암호화만으로는 트랜잭션 무결성, 예측 가능한 복구, 감사 가능한 장애 모드, 증명 가능한 삭제, 무성 손상(silent corruption)으로부터의 보호를 제공할 수 없습니다. 소프트웨어 정의 차량이 더 높은 수준의 연결성, 자율주행, OTA 복잡성을 갖추게 되면서 관심의 초점은 네트워크를 넘어 충분히 검토되지 않은 공격 표면인 스토리지 계층으로 확대되고 있으며, 규제 기대치 역시 그에 맞춰 확대되고 있습니다.

핵심 요약

• SDV 사이버보안에는 사각지대가 있습니다: 공개 논의의 상당 부분은 전송 중 데이터(data in motion)에 집중되어 있습니다. 저장 데이터(data at rest), 즉 펌웨어, 인증서, 자격 증명, 로그에 대한 보호도 그에 못지않게 중요하지만 상대적으로 주목을 덜 받고 있습니다.
• 규제가 뒤따라오고 있습니다: UN R155, ISO/SAE 21434, EU 사이버복원력법(Cyber Resilience Act)은 차량 소프트웨어와 저장 데이터가 어떻게 보호·검증·복구되어야 하는지를 점점 더 구체적으로 규정하고 있습니다.
• 암호화만으로는 충분하지 않습니다: 암호화는 기밀성을 보장할 뿐, 트랜잭션 무결성, 예측 가능한 복구, 감사 가능한 장애 모드, 무성 손상(silent corruption) 탐지를 보장하지는 않습니다. 이러한 속성은 스토리지 스택에 존재합니다.
• 스토리지는 배경이 아니라 전략입니다: 목적에 맞게 설계된 차량용(automotive-grade) 스토리지 소프트웨어는 범용 상품이 아니라 OEM의 방어 가능성을 확보하는 계층이 되고 있습니다.

SDV 사이버보안에서 간과되어 온 계층

OTA 업데이트 실패와 소프트웨어 결함에서 비롯된 최근의 자동차 리콜 사례는 보다 눈에 띄지 않는 문제, 즉 차량 내부에 저장된 데이터를 가리키고 있습니다. 침해된 네트워크가 아닙니다. 아키텍처가 감당하도록 설계되지 않은 조건에서 실패하는 저장 데이터(data at rest)입니다.

2022년 4월, 스키드 컨트롤 ECU의 소프트웨어 로직 결함으로 Toyota는 약 458,000대의 차량을 리콜했습니다. 보다 최근인 2025년 5월에는 OTA 업데이트 실패로 Volvo XC90의 제동 기능이 일시적으로 영향을 받았으며, 후속 OTA를 통해 해결되었습니다. 이들은 순수한 스토리지 장애라기보다는 소프트웨어 및 업데이트 로직 결함이었지만, 오늘날 차량의 동작이 차량에 기록되고 차량에서 읽히는 데이터의 무결성에 얼마나 직접적으로 의존하고 있는지를 보여 줍니다.

대부분의 SDV 사이버보안 작업은 암호화된 통신, 안전한 OTA 파이프라인, 강화된 게이트웨이 등 전송 중 데이터(data in motion)에 집중되어 있습니다. 이러한 보호 조치는 중요합니다. 그러나 여기에는 한 가지 질문이 남습니다. 차량 내부의 저장 데이터(data at rest)는 무엇이 보호합니까?

SDV는 방대한 양의 임베디드 데이터를 생성하고 보관합니다. 펌웨어 이미지, 보안 인증서, 인증 자격 증명, 진단 로그, AI 모델 아티팩트, 규제 기록, 그리고 실내(in-cabin) 시스템에서 수집되는 개인정보 및 생체 정보가 여기에 해당합니다. 이 데이터는 시큐어 부트를 검증하고 업데이트의 진정성을 확인하며 UN R155 준수를 뒷받침하는 동시에 GDPR의 적용도 받습니다. 이 데이터를 신뢰할 수 없거나, 보관할 수 없거나, 요청에 따라 삭제할 수 없다면 그 위에 놓인 사이버보안 아키텍처는 약화됩니다.

무결성 유지가 점점 더 어려워지는 이유

상시 연결성, ADAS, EV 플랫폼, 그리고 빈번한 OTA 업데이트는 플래시 쓰기 작업량을 기존 ECU 수준을 훨씬 뛰어넘는 수준으로 끌어올립니다. 또한 차량은 정상적인 운행의 일부로서 갑작스러운 전원 차단 상황을 겪습니다. 매번의 키 오프, 매번의 12 V 전압 강하가 그렇습니다.

전통적인 ECU의 플래시 쓰기 부하는 거의 0에서 하루 수 MB 수준에 그칩니다. 데이터 스트림이 아니라 진단 트러블 코드, 캘리브레이션 값, 카운터와 같은 작은 파라미터를 저장하기 때문입니다. 기능이 도메인 컨트롤러, 특히 중앙 고성능 컴퓨터로 통합되면서 이 수치는 OS 로깅, 텔레메트리, OTA 스테이징, ADAS 이벤트 캡처로 인해 하루 수 GB에서 수십 GB 수준으로 증가합니다. 여기에 피지컬 AI 데이터 플라이휠(data flywheel) 워크로드까지 더해지면 다시 한 자릿수 규모, 즉 10배 수준의 증가도 충분히 일어날 수 있습니다.

결정론적이고 페일세이프한 스토리지 동작이 없으면 임베디드 데이터는 변형되거나 손상되거나 소리 없이 동기화가 어긋납니다. 저장된 아티팩트 중 상당수, 즉 서명된 펌웨어 이미지, 인증서 폐기 목록, 감사 로그, 키 자료는 그 자체가 사이버보안 통제 수단이므로 스토리지 장애는 단순한 신뢰성 문제가 아니라 보안 장애가 됩니다. (기능 안전은 이와 관련은 있으나 별개의 영역입니다.) 이는 기술적인 불편함 수준의 문제가 아닙니다. 손상된 파일 시스템은 규제 준수 증거를 약화시키고, 리콜 및 보증 리스크를 확대하며, 장기적인 브랜드 리스크를 초래합니다.

경제적 측면도 이를 뒷받침합니다. 전통적인 리콜 비용은 차량 1대당 500~2,000달러 수준인 반면, OTA를 통한 시정 조치는 전송 1GB당 100달러 미만으로 건당 비용이 훨씬 저렴합니다. 그럼에도 플릿 규모에서는 누적 리스크가 수십억 달러에 이를 수 있습니다.

규제가 스토리지 계층까지 도달하고 있습니다

UN R155는 전 수명주기에 걸친 사이버보안 관리를 의무화합니다. ISO/SAE 21434는 설계 단계부터 보안을 반영하는(secure-by-design) 엔지니어링을 요구합니다. EU 사이버복원력법(Cyber Resilience Act)은 디지털 요소를 포함한 제품에 대해 수평적 의무를 부과합니다. 현재 차량은 대체로 적용 대상에서 제외되어 있으나 이 예외는 동등성(equivalence)을 조건으로 하며, 애프터마켓, 진단, EV 충전, 앱, 백엔드 등 생태계 구성 요소는 이미 적용 범위에 포함되어 있습니다.

이는 특정 지역에 국한된 문제가 아니라 전 세계적인 흐름입니다. 중국은 데이터보안법(Data Security Law) 및 PIPL과 함께 의무 표준인 GB 44495-2024를 포함하여 자동차 사이버보안 규제를 UN R155에 맞추어 정비했습니다. 일본과 한국은 UNECE 사이버보안 규정을 채택했습니다. NHTSA는 소프트웨어 무결성과 공급망 보안에 대한 미국의 요구 수준을 계속 확대하고 있습니다.

그리고 암호화만으로는 이 격차를 메울 수 없습니다. SDV의 안전한 스토리지에는 다음 다섯 가지가 동시에 필요합니다.

• 트랜잭션 무결성: 쓰기 작업은 완전하게 완료되거나 아예 수행되지 않아야 합니다.
• 예측 가능한 복구: 전원 손실로 인해 파일 시스템이 정의되지 않은 상태에 놓여서는 안 됩니다.
• 감사 가능한 장애 모드: 장애가 발생했을 때 증거가 보존되어야 합니다. 쓰기 도중 전원이 차단되면 파일 시스템은 소리 없이 잘려 나간 파일이 아니라 추적 가능하고 로그로 기록된 트랜잭션을 남겨야 합니다. 저널링 또는 카피 온 라이트(copy-on-write) 설계는 사후에 어떤 상태였는지를 입증할 수 있습니다.
• 무성 손상(silent corruption)에 대한 저항성: 저장된 인증서나 캘리브레이션 테이블에서 발생한 비트 반전은 리드 디스터브(read disturb)에 의한 것이든 부분 프로그램(partial program)에 의한 것이든 그대로 흡수되지 않고 반드시 검출되어야 합니다. 엔드 투 엔드 체크섬, ECC, 메타데이터 체크섬이 이에 대한 방어 수단입니다. 그렇지 않으면 손상은 시큐어 부트나 감사가 실패할 때에야 비로소 드러납니다.
• 증명 가능한 삭제: 플래시 웨어 레벨링과 FTL 리매핑으로 인해 “삭제된” 데이터가 NAND 상에 읽을 수 있는 형태로 남을 수 있음에도 불구하고, 키 자료와 개인정보를 검증 가능한 방식으로 파기할 수 있어야 합니다.

이는 라이선스의 문제라기보다 소싱의 문제를 제기합니다. 오픈소스, 상용, 자체 개발 소프트웨어 사이의 균형을 다룬 Tuxera의 웨비나에서는 스토리지 계층이 15년 동안 견뎌야 할 때 이러한 판단을 어떻게 내려야 하는지를 자세히 살펴봅니다.

시청하기: 자동차 소프트웨어에서 올바른 균형 찾기

많은 레거시 임베디드 파일 시스템은 이러한 속성의 조합을 염두에 두고 설계되지 않았습니다. 플래시 동작 특성, 결정론적 성능, 안전 프로세스를 고려하여 목적에 맞게 설계된 차량용(automotive-grade) 스토리지 소프트웨어는 범용 상품이 아니라 규제 대응의 방어 계층이 되고 있습니다.

지금 던져야 할 질문

유럽, 중국, 북미, 아시아 태평양 전역에서 규제가 강화되는 가운데 자동차 업계 조직이 마주한 질문은 명확합니다. 우리의 스토리지 아키텍처는 SDV 시대가 요구하는 결정론적 무결성, 복구 가능성, 추적 가능성을 제공하고 있습니까?

소프트웨어 정의 차량에서 장기적인 사이버보안 신뢰는 결국 한 가지 역량으로 귀결됩니다. 바로 차량 내부에 저장된 데이터를 신뢰할 수 있는 능력입니다. 그 답이 분명한 ‘예’가 아니라면, 그 격차는 감사 시점보다 지금 메우는 편이 훨씬 수월합니다. 여러분의 아키텍처를 저희에게 알려 주시면 전원 손실 상황에서 어떻게 동작하는지, 어떤 증거를 생성하는지, 그리고 어디에 격차가 있는지 함께 검토해 드리겠습니다.

Tuxera와 함께 스토리지 아키텍처를 점검해 보세요