CSMS와 VTA는 뭐가 다를까?— 조직 인증과 차량 인증은 완전히 다른 이야기다

현업에서 보는 차량 보안 트렌드

차량 사이버보안 업무를 하다 보면 이런 말들을 자주 듣습니다.

현업에서 실제로 혼용되는 말들

"CSMS 인증 받았으니까 이제 끝 아닌가요?"

"R155 인증이요? 차량 인증이요? 같은 거 아닌가요?"

"CSMS 했으면 차량 인증도 자동으로 되는 거 아닌가요?"

"한국은 VTA가 없으니까 보안 인증 안 받아도 되지 않나요?"

이 혼란의 원인은 하나입니다. CSMS와 VTA가 완전히 다른 개념인데 같은 맥락에서 쓰이기 때문입니다.

CSMS는 "회사가 보안을 운영할 수 있는가"를 보는 것이고,
VTA는 "이 차량이 실제로 요구사항을 만족하는가"를 보는 것입니다.

조직 인증과 차량 인증은 완전히 다른 이야기입니다.

---

핵심 구분 — 먼저 이것부터

CSMS — 조직 인증

"이 회사는 보안을
운영할 수 있는가?"

• 프로세스 체계 검증
• 조직 전체에 적용
• 3년 유효기간, 정기 재심사
• 차량 무관하게 독립적

VTA — 차량 형식 인증

"이 차량은 실제
요구사항을 만족하는가?"

• 특정 차량 모델 검증
• 차량별 개별 적용
• 차종마다 별도 필요
• CSMS와 독립적으로 필요

비유: CSMS는 "이 공장은 품질 관리 시스템을 갖췄는가"를 보는 공장 인증이고, VTA는 "실제 출고 차량이 기준을 만족하는가"를 보는 차량 검사입니다. 공장 인증을 받았다고 모든 차량이 자동으로 합격하지 않습니다.

---

CSMS — "회사가 보안 운영 체계를 갖췄는가"

CSMS(Cybersecurity Management System)는 회사 조직 전체의 보안 운영 능력을 보는 인증입니다. 특정 차량이 아니라 조직의 프로세스와 체계를 검증합니다.

취약점 관리 프로세스

CVE 모니터링, 패치 대응 절차, PSIRT 운영

TARA 수행 체계

위협 분석·리스크 평가 방법론과 절차 보유

Incident 대응 체계

보안 사고 발생 시 대응·보고 프로세스

공급망 보안 관리

Tier-1·2 보안 요구사항 관리, Audit 체계

보안 개발 프로세스

Secure by Design, 보안 요구사항 관리

지속적 모니터링

양산 이후 차량 보안 상태 지속 관리

CSMS는 차량 모델과 무관합니다. "이 회사는 앞으로 어떤 차량을 개발하더라도 보안을 체계적으로 관리할 수 있는가"를 봅니다. 조직 전체에 적용되며, R155 기준으로 인증 유효기간은 3년이고 정기 재심사가 필요합니다. 조직 구조·프로세스 변경 시에는 중간에도 재검토가 요구됩니다.

✅ CSMS 인증 = "이 조직은 보안 운영 체계를 갖췄다"는 증명.
특정 차량이 안전하다는 증명이 아닙니다.

---

VTA — "이 차량 모델이 실제 요구사항을 만족하는가"

VTA(Vehicle Type Approval, 차량 형식 승인)는 특정 차량 모델이 규제 요구사항을 실제로 만족하는지 검증하는 인증입니다. CSMS와 달리 차량별로 별도로 필요합니다.

VTA에서 실제로 확인하는 것들

1

차량 TARA 결과 — 이 차량 모델에서 실제로 식별된 위협과 리스크 분석

2

Cybersecurity Concept · 요구사항 — 차량에 적용된 보안 아키텍처와 요구사항

3

검증·검사 결과 — Pentest, 취약점 테스트, 보안 기능 검증 결과

4

Residual Risk 처리 — 남은 위험을 어떻게 판단하고 수용했는지

5

Work Product Traceability — 위협→요구사항→구현→검증 연결 추적

⚠️ CSMS 인증이 있어도 VTA는 별도로 받아야 합니다.
새 차종을 출시할 때마다 해당 차량에 대한 검증이 필요합니다.

---

왜 둘 다 필요한가

이 질문이 가장 중요합니다.

❌ CSMS만 있고 VTA가 없다면

조직의 보안 체계는 훌륭합니다. 하지만 실제 이 차량 모델에 보안이 제대로 적용됐는지 확인이 없습니다. 프로세스가 좋아도 특정 차량 구현이 잘못될 수 있습니다.

→ "좋은 시스템을 가진 회사지만, 이 차가 안전한지는 모른다"

❌ VTA만 있고 CSMS가 없다면

이 차량 모델은 출시 시점에 검증됐습니다. 하지만 새로운 취약점이 발견됐을 때, 업데이트·패치를 어떻게 관리할지 체계가 없습니다. 사고 발생 시 대응도 불명확합니다.

→ "지금 이 차는 안전하지만, 6개월 후는 모른다"

R155가 두 가지를 모두 요구하는 이유:
CSMS는 "지속 가능한 보안 운영"을 보장하고, VTA는 "실제 차량의 보안 수준"을 검증합니다. 두 가지가 함께 있어야 차량 출시부터 폐차까지 전 주기 보안이 가능합니다.

---

R155 전체 구조 — 어디에 위치하나

UNECE R155 인증 구조

CSMS 인증 조직 체계 인증 — 회사 단위

TARA 프로세스 취약점 관리 Incident 대응 공급망 관리 PSIRT 지속 모니터링

↓ CSMS가 있어야 VTA 신청 가능

VTA 인증 차량 형식 승인 — 차종 단위

차량 TARA Security Concept 보안 요구사항 검증 결과 Pentest Work Product

↓ 두 가지 모두 충족해야

차량 판매 승인 유럽 시장 출시 가능

실제 프로젝트에서는 이 순서로 흘러간다

CSMS → VTA 전체 흐름

1

CSMS 구축 — 조직 전체 보안 운영 프로세스·체계 수립

2

CSMS Audit — 인증기관 또는 OEM이 조직 체계 검증

3

차량 개발 — CSMS 체계 기반으로 특정 차량 모델 개발

4

차량별 TARA · 시험 · Work Product — 해당 차량 모델에 대한 개별 검증

5

VTA 대응 완료 → 차량 출시

핵심: CSMS는 조직 체계 위에 깔리는 기반이고, VTA는 그 위에서 차종마다 올라가는 개별 검증입니다. 순서가 있고 역할이 다릅니다.

---

유럽은 VTA, 한국은 왜 자기인증인가

🇪🇺 유럽 · UNECE 회원국

VTA

Vehicle Type Approval · 형식 승인

정부 또는 공인 인증기관이 직접 차량 형식을 심사·승인합니다.

• 사전 심사 → 승인 → 판매
• 독립 인증기관(TÜV 등) 검증
• 정부가 직접 적합성 확인
• R155에 따른 CSMS + 차량 심사 필요
• 미승인 차량은 시장 진입 불가

🇰🇷 한국

자기인증

Self Certification · 제작사 적합성 선언

OEM(제작사)이 스스로 안전 기준 적합성을 선언합니다. 정부는 사후 관리합니다.

• OEM 스스로 기준 충족 선언
• 정부가 출시 후 검사·관리
• 문제 발생 시 리콜·제재
• UNECE R155 반영 방향으로 논의 중
• 미국과 유사한 철학

❌ 자주 나오는 오해: "한국은 VTA가 없으니까 사이버보안 인증 안 받아도 된다"

✅ 실제: 한국도 UNECE R155 기반 요구사항을 반영하는 방향으로 가고 있다

한국의 자기인증 구조는 "인증 기관이 사전 심사를 안 한다"는 의미이지, "보안을 요구하지 않는다"는 뜻이 아닙니다. 국토교통부는 자동차 사이버보안 관련 고시를 통해 R155에 준하는 요구사항을 반영하고 있으며, 유럽 수출 차량은 별도로 R155 VTA 대응이 필요합니다.

---

실무에서는 이렇게 연결된다

실무 활동	해당 인증	내용
TARA 프로세스 구축	CSMS	조직 차원의 TARA 방법론 수립 및 운영
차량 TARA 수행	VTA	특정 차량 모델의 실제 위협 분석·리스크 평가
PSIRT 운영	CSMS	취약점 접수·대응·패치 배포 프로세스
Pentest 수행	VTA	특정 차량 ECU·시스템 침투 테스트
공급망 Audit	CSMS	Tier-1·2 보안 수준 관리 체계
Work Product 관리	CSMS + VTA	프로세스(CSMS) + 차량별 산출물(VTA)
OTA 보안 운영	CSMS + VTA	운영 체계(CSMS) + 차량 OTA 구현 검증(VTA)

---

공급망에서도 이 구분이 중요해진다

최근 Tier-1·Supplier들도 두 가지를 모두 요구받고 있습니다.

📋 CSMS 관점에서 Supplier에게 요구하는 것

OEM이 Supplier의 조직 보안 체계를 확인합니다.

• 취약점 관리 프로세스 보유 여부
• PSIRT 또는 대응 체계 존재 여부
• 보안 개발 프로세스 적용 여부
• Incident 발생 시 OEM 보고 체계

🔧 VTA 지원 관점에서 Supplier에게 요구하는 것

차량 인증을 위해 OEM이 Supplier에게 요구하는 산출물입니다.

• ECU별 TARA 결과 또는 기여분
• 보안 시험 성적서
• Work Product Traceability
• Residual Risk 처리 근거

즉 Supplier 입장에서는 "우리 조직 체계를 증명하는 것(CSMS)"과 "특정 ECU·부품의 보안을 증명하는 것(VTA 지원)"을 따로 준비해야 합니다. 보안은 이제 ECU 기능만의 문제가 아닙니다.

---

현업에서는 이렇게 느낀다

현업 경험 4가지

CSMS와 VTA 혼동이 실제 프로젝트에서 문제를 만든다 — "CSMS 인증 받았으니까 끝"이라고 생각해서 차량별 Work Product 준비가 늦어지는 경우가 있습니다. 두 가지 일정을 따로 관리해야 합니다.

Tier-1 입장에서 두 가지 모두 대응해야 한다 — OEM의 CSMS Audit 대응(조직 체계)과 차량별 보안 시험 성적서·Work Product 제출(VTA 지원)은 성격이 다른 업무입니다.

한국 자기인증 구조도 점점 R155 방향으로 가고 있다 — "자기인증이니까 안 해도 된다"는 인식이 바뀌고 있습니다. 유럽 수출 차량은 이미 R155 대응이 필수이고, 국내 요구도 강화되는 방향입니다.

SUMS(Software Update Management System)는 또 별도다 — R156으로 규제되는 OTA 보안 체계입니다. CSMS, VTA, SUMS 세 가지가 연결되어야 전체 그림이 완성됩니다.

---

마무리

CSMS는 "회사가 보안을 운영할 수 있는가"를 보는 조직 인증이고,
VTA는 "이 차량이 실제 요구사항을 만족하는가"를 보는 차량 인증입니다.

둘은 서로 다른 개념이지만,
R155는 이 두 가지를 모두 요구합니다.

CSMS만으로는 특정 차량이 안전하다고 할 수 없고, VTA만으로는 지속적 보안 운영을 보장할 수 없습니다. 두 가지가 함께 있어야 차량 Lifecycle 전체 보안이 가능합니다.

핵심 요약

1

CSMS = 조직 인증 — "이 회사는 보안을 운영할 수 있는가", 회사 단위로 적용됩니다

2

VTA = 차량 형식 인증 — "이 차량 모델이 요구사항을 만족하는가", 차종마다 별도 필요합니다

3

R155는 둘 다 요구한다 — CSMS 없이 VTA 신청 불가, VTA 없이 유럽 출시 불가입니다

4

한국 자기인증 ≠ 보안 불요 — 자기인증은 심사 방식의 차이이지 보안 요구 면제가 아닙니다

5

실무에서는 두 가지 일정을 따로 관리해야 한다 — CSMS Audit 대응과 차량별 Work Product 준비는 성격이 다릅니다

CSMS VTA R155 ISO21434 차량사이버보안 형식승인 자기인증 UNECE 자동차보안규제 SUMS