아우토크립트 반기보고서 (2025.06)
1. 사업의 개요

가. 기업 개황 당사의 사업화는 자동차가 갖는 연결성(Connectivity)의 성격에 따라 구성됩니다. 자동차가 외부와 연결되는 연결성이 늘어남에 따라 외부의 공격으로부터 자동차를 보호하는 사이버보안을 확보해야 합니다. 또한, 자동차 내부에 존재하는 네트워크를 안전하게 보호함으로써 자동차 전체를 보호하는 사이버보안도 필요합니다. 당사의 제품은 자동차의 외부 네트워크인 V2X를 보호하는 제품군과 자동차 내부시스템(IVS: In-Vehicle System)을 보호하는 제품군으로 구분되며, 각각의 확산 전략에 따라 사업화가 이루어지고 있습니다. V2X 통신보안은 자동차 외부통신의 물리적 성격에 따라 V2V(Vehicle-to-Vehicle)이나 V2I(Vehicle-to-Infra) 등의 무선교통 네트워크와 충전을 위한 V2G(Vehicle-to-Grid)의 전력통신 네트워크로 세분됩니다.

당사는 자동차를 외부의 해킹으로부터 보호하기 위한 S/W 솔루션과 기술을 제공하는 회사입니다. 근래에 자동차 내부에 ECU라는 전자제어 장치가 다수 탑재되고, ECU에는 일반 컴퓨터와 유사하게 다수의 S/W들이 탑재됩니다. 또한 양산되고 있는 대다수의 자동차들이 외부와의 다양한 통신채널들(LTE, BLE, NFC, WIFI 등)로 외부 서비스 또는 시스템과 연계되고 있습니다. 따라서 외부에서 자동차를 해킹하여 정보를 탈취하거나, 오동작을 유발하는 사례가 급증하고 있습니다. 이에 대부분의 완성차 제조사와 자동차를 수입하는 다수의 국가들은 자동차의 사이버보안을 강화하기 위해 많은 노력을 투입하고 있다. 관련된 보안체계를 수립하고, 신규 기술을 개발하며, 관련 요구사항들을 법제화하는 노력이 전세계적으로 진행되고 있습니다. 동사는 이런 자동차 환경의 변화에 대응하여 보다 안전하고 편리한 자동차를 만들고, 나아가 신뢰할 수 있는 모빌리티 서비스를 제공하고자 설립되었습니다. 안전한 모빌리티 환경을 위한 사이버보안 기술은 다양한 S/W기술들을 채택하고 있는 전기자동차와 자율주행차가 확대됨에 따라 더욱 중요해지고 있습니다. 이미 유럽, 한국, 중국, 일본, 미국 등 주요 국가 들에서는 자동차 판매를 위한 보안 탑재가 필수 요건이 되어 법제화되어 자동차 산업의 핵심 분야로 발전해 나가고 있습니다.

나. 주요 사업의 현황 및 전망 (1) IVS 보안 사업

IVS 보안 시장은 다양한 보안 위협에 대응할 수 있는 유연한 확장성을 제공해야 합니다. 자동차보안은 지속적으로 발전하고 있으며, 차량 내부 및 외부 시스템 간 통신 등 다양한 경로를 통해 발생하는 보안 위협을 탐지하고 대응할 수 있는 기능이 필요합니다. 이에 보안 인프라 운영 제품군은 유연한 확장성을 갖추어 새로운 보안 위협에 대응하고 시스템을 요구 사항에 맞게 확장할 수 있어야 합니다.

규제와 산업은 목표시장에 큰 영향을 미치는 요소이며 산업의 기술 성숙도를 견인하기도 합니다. 1) UNECE/WP.29 UNR155, UNR156 규제

- 유럽은 안전에 대한 기준을 중요하게 여기며 형식승인 제도를 통해 사전 검증을 주요한 정책으로 운영하는 규제 선도 지역

- 완성차 제조사는 UNECE에서 발표한 자동차 사이버보안 규제를 준수해야 유럽 시장에 판매가 가능하기 때문에 2022년 7월 (신차 대상 사이버보안 기능 탑재 의무), 2024년 7월 (구형 모델이더라도 신규 양산되는 차량에 사이버보안 기능 탑재 의무) 등의 타임라인을 준수하며 생산계획을 수립

- 유럽으로 차량을 판매하려는 유럽에 소재하지 않은 자동차제조사도 해당 사이버보안 규제를 준수하도록 하며, 한국, 미국 등도 유럽의 사이버보안과 유사한 형태로 규제를 제정할 것이라 예상

- UNECE/WP.29의 사이버보안 관련 법규인 UNR155는 2020년 6월에 제정되었고, 2024년 7월까지의 4년이 짧은 시간이었기 때문에 자동차 부품 생산 업계에서 소프트웨어 준비, 사이버보안 준비가 이제 현실적으로 고려되는 상황

자동차제조사에서는 고성능의 연산능력을 가진 제어기를 우선순위로 설정하여 보안을 적용 중이며 현대자동차는 24년까지 최소 5개의 제어기 보안을 탑재할 계획을 가지고 있습니다.

아우토크립트가 수주한 현대모비스 IVI도 4년 전에 시작하여 미리 대응해서 준비를 한 것입니다. 2024년 1월 현재는 2개 제어기 (ADAS, IVI - 가장 고도화된 AP가 들어간 제어기 2개)가 사이버보안 적용 대상이고, 내년 7월부터 TCU(통신제어기), BSM(배터리관리) 추가되면서 5개 정도로 늘어납니다. 여기에 OTA 서비스를 운영하면 2년안에 20개까지 늘어나야 하며, 현재 현대모비스도 이에 맞춰서 준비하고 있기에 아우토크립트도 TCU, BSM, CCU 차세대 모델들에 대한 사이버보안 컨설팅을 제안하고 사업을 추진하고 있습니다.

현대자동차와 사이버보안을 적용한 ADAS 제어기 양산에 대해 논의 중이며 TCU, BSM, CCU에 대한 사업 제안을 전개합니다. CCU은 차량에 적용되는 CCU 2.0에 대해서는 TARA분석을 마친 상태이며 CCU 3.0에 대한 개발을 아우토크립트가 담당하게 되면 양산까지 무리없이 이어질 것으로 예상합니다. 24년에는 ADAS와 CCU를 포함하여, 현대자동차와 최소 3개 이상의 제어기에 대해 보안적용 양산 계약을 체결하는 것이 목표입니다.

2) SDV(Software Defined Vehicle)의 발전

완성차 제조사와 부품사 등 기업에서 시작된 SDV(Software-Defined Vehicle)라는 모빌리티 발전의 방향성으로, CES에서 모빌리티 섹션은 'SDV'라는 표어가 없는 부스가 없었을 정도로 소프트웨어의 중요성에 대한 공감대가 형성되었습니다.

소프트웨어에 있어 개발 및 아키텍처 정립 시 가장 중요한 고려사항은 보안에 대한 내용이며 이에 빠르게 IVS 시장의 리더로 거듭나기 위한 완성차 제조사와 부품사의 노력이 있으며, 보안 법제화에 대응하기 위해 전체 자동차 제어기에 대한 양산이 시작되면서 해당 사업과 시장이 본격적으로 활성화되고 있습니다. (2) V2X 보안 사업

자율주행 시장은 협력자율주행을 추구하며 성장하고 있으며, 이를 위해선 정부 주도의 교통 인프라에 통신 기능이 갖춰져야 합니다. 자동차 사이버보안 사고가 증가하고 있어 이에 대한 규제가 강화되고 기술이 발전함에 따라 자동차보안 시장은 성장할 것으로 예상된다. 특히 규제와 표준의 개선 및 기술 발전으로 성장 가능성이 높아지고 있습니다.

2025년까지 커넥티드카의 연결 기능이 증가함에 따라 클라우드 연결, 무선 업데이트 연결, 운영 체제 및 외부 통신 채널(V2X/V2I)이 가장 취약한 부분이 될 것으로 예상됩니다. 자동차보안 운영/관제 시장은 아직 초기 단계이지만, 시장의 성장 가능성이 높다. 자동차 사이버 보안의 중요성이 부각되면서 관련 규제와 표준이 정비되고, 관련 기술 및 제품의 개발도 활발히 이루어지고 있습니다. 이러한 추세가 지속된다면, 자동차보안 시장은 빠르게 성장할 것으로 예상됩니다.

국제 자동차보안 운영/관제 시장은 국내 시장에 비해 더욱 성숙하며, 미국과 EU는 선도적인 역할을 하고 있다. 중국 또한 성장 가능성이 높은 국가로 인식되고 있습니다. 미래에는 커넥티드카의 연결 기능이 증가함에 따라 보안 인프라의 중요성이 부각될 것으로 예상되며, 이는 자동차보안 시장의 성장을 더욱 가속화할 것으로 전망됩니다.

자동차보안 시장은 다양한 경로를 통해 발생하는 보안 위협을 고려해야 하며, 보안 인프라 운영 제품군은 이러한 위협에 대응할 수 있는 기능을 갖추어야 합니다. 이를 위해서는 국제 표준을 준수하는 것이 중요하며, 관련 기술과 제품의 개발이 활발히 이루어져야 합니다. AutoCrypt IMS for SCMS는 이러한 요구사항을 충족하는 국제형 보안/인증 기술 기반의 시스템을 제공하고 있습니다.

- (한국) 2019년에 발표한 미래자동차 산업 발전 전략에 따르면 2024년까지 완전자율주행 제도 및 인프라를 세계 최초 완비하고 2027년까지 전국 주요도로의 완전자율주행(레벨4) 세계 최초 상용화를 목표로 하고 있음. 다른 국가와 비교하더라도 C-ITS 도입에 대한 강한 적극성을 보여주고 있으며, R 사업 등을 통해 실제 구축에 대한 대비를 하고 있음.

- (중국) 2018년 중화인민공화국 공업과 정보화부에서 관련한 Action Plan을 발표함. 핵심내용으로는 2025년까지 전국 도시와 도로에 V2X 장비 설치 완료 및 신차의 50% 이상 V2X 전장 설치 목표가 있었음. 완성차 제조사사가 주도적으로 V2X 장비 도입에 앞장서서 적극적으로 시장을 리드하고 있음.

- (미국) 협력 자율주행의 핵심 역할을 하고 있는 국가임. 통신에 대한 합의를 C-V2X로 확정한 후 주별로 다양한 전략을 수행하고 있음.

- (유럽) UNR155/156의 발의 주체로 실제 인프라는 국가 개별적으로 진행하지만 완성차 제조사와 부품사에서는 UNECE 제정안에 따라서 V2X 구현을 위해 움직이고 있음을 확인함.

다. 주요제품 및 서비스 당사는, 보안 위협을 완화하여 검증하고, 참여자들에 대한 신뢰를 제공하며, 보안 적용 후에도 지속적으로 관찰하고 대응하는 전방위 솔루션을 공급합니다.

위와 같은 4단계의 보안을 위해, 총 6개의 제품군을 개발하여 공급하고 있으며, 6개 제품군은 모두 당사의 보유기술을 기반으로 구성되어 있습니다. 이들은 핵심기술 1건과 핵심기술을 활용하는 응용기술 2건에 기반하고 있으며, 핵심기술인 "자동차 특화 암호기술(Automotive CryptoCore)"는 자동차 환경에서 사용되는 암호학적 연산들을 제공하고, 자동차 내부 혹은 자동차의 외부 통신에서 공통적으로 사용되는 기반 기술을 제공합니다.

"자동차 특화 암호기술(Automotive CryptoCore)"은 2가지 응용기술로 확장되어 자동차 특화 사이버보안 기술을 완성합니다. 첫째, "차량 암호응용 개발 및 검증 기술(CryptoDev)"는 자동차 부품을 보안적으로 안전하게 설계·개발·테스트하고, 모든 부품이 결합된 최종 산출물인 자동차에 대해 보안성을 검증함으로써 전방위적으로 자동차의 IVS(In-Vehicle System) 보안을 충족하는 기술입니다. 둘째, "차량통신 보안 및 인프라 운영 기술(CryptoComm)"은 자동차 내·외부 통신보안을 구현하고, 차량의 지속적 보안성 유지 관리 운영을 위한 인프라에 적용하여 종합적 자동차보안 관리를 수행하기 위한 요소 기술입니다.

당사가 보유한 핵심기술과 응용기술은 다양한 기술제품으로 제품화됩니다. 기술제품은 "차량 암호응용 개발 및 검증 기술(CryptoDev)" 중심의 제품군과 "차량통신 보안 및 인프라 운영 기술(CryptoComm)" 중심의 제품군으로 구분되며, 각 제품군은 IVS 보안 사업과 V2X 보안 사업으로 사업화되고 있습니다.

위와 같은 구분에 따라, 6가지의 제품군을 분류하면, 아래와 같습니다.

라. 주요 핵심기술 및 서비스

(1) 차량 암호응용 개발 및 검증 기술(CryptoDev)

암호응용 개발 및 검증기술'은 자동차 제어기에 핵심기술인 자동차 특화 암호기술(Automotive CryptoCore)에 기반하여 제어기를 개발할 수 있는 기반 기술로서, 암호학적 데이터 처리를 제공하는 기술과 공격을 탐지하여 제어기의 내부 시스템을 보호하고 이를 테스트 및 검증하는 기술로 구성됩니다.

자동차의 사이버보안 적용 방법론을 규정하는 ISO 21434 표준은 자동차 제어기에 사이버보안의 적용 과정을 명시한 표준으로서, 설계부터 개발 결과물에 대한 검증을 포함하고 있다. 암호응용 개발 및 검증기술은 ISO 21434에 부합하여 자동차 제어기에 사이버보안을 적용할 수 있는 개발 기술과 제어기에 적용된 사이버보안을 검증할 수 있는 검증기술을 제공합니다.

(2) 차량통신 보안 및 인프라 운영 기술(CryptoComm)

당사의 통신보안 및 보안관리 운영 기술(CryptoComm)은 공개키 인증서의 생명주기를 관리할 수 있는 공개키 기반 구조인 PKI 시스템과 자동차 및 외부 연결 개체인 단말 개체(End-Entity)를 위한 단말 소프트웨어, 그리고 보안 운영을 위한 솔루션으로 구성됩니다.

자동차에 다양한 외부 연결성(Connectivity)을 적용하여 다양한 서비스 시나리오를 사용자들에게 제공하고 있으며, 자동차의 외부 연결성은 자동차와 연결되는 외부 개체의 종류에 따라 통신의 방식과 보안 기술의 표준이 상이합니다.

자동차와 외부 개체 간의 통신을 안전하게 보호하기 위해서 자동차와 외부 연결 개체 간의 인증(Authentication)과 암호화(Encryption) 및 전자서명(Digital Signature) 등이 필요합니다. 자동차와 외부 개체 간의 인증은 사전 공유 키(Pre-Shared key)를 사용하거나, 패스워드 등의 사전 지식을 사용하는 방법을 일부 적용하기도 합니다. 그러나, 대부분의 경우에 자동차와 외부 개체 간의 인증에 공개키 인증서(Public Key Certificate)를 사용합니다.

공개키 인증서를 사용하는 인증 기술은 자동차나 외부 연결 개체가 사용할 공개키 인증서를 생성, 발급, 갱신, 폐지 등의 인증서 생명주기를 관리하는 공개키 기반 구조(PKI: Public Key Infrastructure) 기술을 요구합니다. 자동차나 외부 연결 개체는 공개키 기반 구조(PKI)로부터 발급받은 공개키 인증서를 사용하여 인증(Authentication)이나 전자서명 및 암호화를 활용함으로써 외부 연결 서비스(V2X Service)를 이용할 수 있습니다.

자동차에 사이버보안 솔루션을 적용하더라도 자동차에 적용된 사이버보안 솔루션이 오류나 오작동 없이 동작함을 확인하고 신규 보안 위협의 발생 여부를 지속적으로 살펴야 합니다. 이러한 사이버보안의 관리는 보안 인프라에 의해서 제공될 수 있으며, 보안 인프라의 운영 기술은 자동차 사이버보안을 완성할 수 있는 기반 체계가 됩니다.