독일 자동차보안인증(TISAX)의 이해와 발전방안 연구
|
| 인공지능과 사이버 보안, 정보보안 및 개인정보보호 논문 |
|
(사)한국인터넷정보학회
2025년도 추계 학술발표대회
|
❖ 일시 : 2025. 10. 30(목) ~ 11. 01(토)
❖ 장소 : 전남 여수시, 디오션호텔앤리조트
❖ 연구회 발표일 : 2025년 10월 30일(금)
|
|
|
 |
|
 논문 주제 독일 자동차보안인증(TISAX)의 이해와 발전방안 연구 |
|
| 영문명 A Study on the Understanding and Development Plan of the German Automotive Security Certification (TISAX) |
|
| 논문 저자 여동균 Yeo Dong Kyun, 임범석 Lim Beom Seok |
|
 1. 서 론 |
|
 오늘날 자동차 산업은 전통적인 기계적 안정성과 품질뿐만 아니라, 차량이 연결(Connected)되고 자율주행·전동화가 가속화되면서 사이버 보안이 핵심 경쟁력으로 부상하고 있다. 차량은 더 이상 단순한 교통수단이 아니라, 대규모 소프트웨어 시스템과 데이터 플랫폼이 결합된 이동형 ICT 기기라 할 수 있다. 이에 따라 자동차 제조사 및 부품 공급망 전체에서 정보보호와 데이터 보안 수준을 체계적으로 검증하고 상호 신뢰할 수 있는 인증 제도의 필요성이 커지고 있다. 독일 자동차 산업협회(VDA)가 주도하여 개발한 TISAX (Trusted Information Security Assessment Exchange) 인증은 이러한 배경 속에서 등장한 글로벌 표준화된 정보보호 평가 체계이다. TISAX는 ISO/IEC 27001을 기반으로 하되, 자동차 산업의 특수한 요구(연구개발 기밀, 설계 데이터, 시제품 제작, 공급망 협력 등)를 반영하여 업계 전반의 보안 수준을 통일적으로 검증하고, 그 결과를 협력사 간에 안전하게 교환·공유할 수 있도록 설계되었다. 따라서 TISAX는 단순히 하나의 인증제도를 넘어, 자동차 산업의 공급망 신뢰 확보, 지적재산 및 기밀정보 보호, 그리고 유럽 및 글로벌 시장에서의 경쟁력 유지를 위한 필수 조건으로 자리 잡아가고 있다. 본 연구에서는 TISAX 인증의 개념과 구조, 필요성에 대해 살펴보고, 향후 발전방안을 모색하고자 한다. |
|
| 2. 관련 연구 |
|
2.1 TISAX 인증의 개요와 종류
독일 자동차산업협회(VDA)가 주도하고 ENX 협회가 운영하는 자동차 산업 특화 정보보호 인증제도이다. 인증체계의 목적은 공급망 전체에 걸친 정보보호 수준의 표준화 달성과 기밀자료(연구개발 데이터, 설계도면 등) 공유 시 신뢰 기반 협력을 확보하는 것이다. 또한 인증에 대한 평가결과를 교환(Exchange)하여, 중복 심사를 방지하는 기능을 제공한다. 인증평가는 세 종류로 분류되고, 평가레별(AL: Assessment Level)에 따라 차등화된 심사 강도를 적용한다. AL1은 자가평가(Self-Assessment), AL2는 외부 평가(현장 미포함 가능), AL3는 심층 평가(현장 심사 포함, 높은 기밀 요구 시 적용)를 수행한다. AL2는 외부평가자(심사위원)가 피평가업체에 방문하지 않고, 원격에서 심사를 수행하는 특징이 있다.
2.2 TISAX 인증의 절차
등록(Registration)단계는 기업이 ENX 포털에 등록하고, 평가 목적·범위·평가 수준(Assessment Level)을 명시한다. 두번째, 평가기관 선택(Assessment Provider Selection) 단계는 ENX가 공인한 평가기관(Audit Provider) 중 하나를 선택한다. 셋째, 평가 수행(Assessment Execution) 단계는 선택된 Level에 따라 TISAX 인증의 요구사항을 서면검토/원격/현장 심사를 통해서 검증이 수행된다. 넷째, 결과 제출 및 교환(Result Upload & Sharing) 단계는 평가기관이 결과를 ENX 플랫폼에 업로드하고, 기업은 필요한 협력사와 결과를 선택적으로 공유하게 된다. 마지막으로 인증 유지 및 재평가(Maintenance & Reassessment) 단계로 인증 유효기간은 일반적으로 3년이며, 매년 평가하지 않는다. 3년에 한번씩 갱신평가가 진행된다.
2.3 TISAX vs ISO 27001 인증 범위 및 차이점
TISAX는 자동차 분야에 특화된 보안 인증체계이고, ISO 27001은 산업전반에 적용이 가능한 범용적인 정보보호 인증체계이다.
2.4 TISAX 인증 요구사항(요약)
TISAX는 크게 Information Security, Prototype Protection, Data Protection 영역으로 나누어져 있으며, 그 중 Information Security는 정보보호 정책 및 조직, 인적자원, 물리적보안 및 비즈니스 연속성, 계정 및 접근관리, IT보안 및 사이버보안, 협력업체 정보보안, 정보보안 법률 준수 등 총 7개의 Chapter로 구성되어 있다. 아래와 같이 IS영역은 7개 Chapter, 41개의 통제항목과 총 265개의 Requirement(Must+Should) 항목으로 구성되어 있다.
2.5 TISAX 인증 요구사항(상세)
2.6 TISAX 인증의 개선·발전방안
|
|
| 3. 결 론 |
|
| 본 연구에서는 독일 자동차산업의 정보보안 인증체계인 TISAX의 특징과 한계, 그리고 발전방안을 고찰과 제도적·이론적 분석에 집중하였으므로, 향후에는 실제 인증 취득 기업의 사례 연구나 비용·효과 분석을 통해 제안된 발전방안의 타당성을 실증적으로 검증할 필요성이 있을 것이다. |
|
|
|
  |
|
|
2025추계_여동균_독일TISAX의_이해와_발전방안.pdf
미국 국방사이버성숙도모델인증(CMMC) 이해와 발전방안 연구 
양자컴퓨팅 발전에 따른 블록체인의 암호 체계의 영향도