21434 V&V 공백, 8477이 채워줄까 — 현재 개발 현황과 실무자가 알아야 할 것

기본 지식 — 표준·법규 심화

ISO/SAE 8477에 대해 자주 듣는 말

"8477에 Secure Boot, OTA, UDS 시험 방법이 정의되어 있다고 들었어요."

"8477 기준으로 Penetration Test 범위를 잡으면 된다고 하던데요?"

"8477은 이미 발행된 표준 아닌가요? 21434 후속으로 나왔다고 알고 있는데요."

"CAL 등급별로 어떤 시험을 해야 하는지 8477에 나와 있다고요?"

ISO/SAE 8477에 대한 이야기가 업계에서 자주 나온다. 그런데 정작 이 표준의 실제 내용과 현재 상태를 정확히 아는 사람은 많지 않다.

8477은 아직 발행되지 않았다. 그리고 많은 사람들이 기대하는 "시험 방법 카탈로그"가 아니다. 이 글은 그 오해를 정확하게 짚는다.

---

먼저 — 이름부터 다르다

업계에서 ISO/SAE 8477을 "자동차 사이버보안 테스트 방법 표준"으로 소개하는 경우가 많다. 하지만 공식 제목은 다르다.

❌ ISO/SAE 8477 — "Road vehicles: Cybersecurity Testing Methods"

✅ ISO/SAE 8477 — "Road vehicles: Cybersecurity Verification and Validation"

제목의 차이가 중요하다. Testing Methods는 특정 보안 기능을 어떻게 시험하는지 절차를 규정하는 문서다. Verification and Validation은 V&V 활동을 어떻게 계획하고 수행할 것인지에 대한 전략적 프레임워크다. 8477은 후자다. CAN, UDS, HSM, OTA에 대한 구체적인 공격 시나리오나 시험 절차를 찾는다면 이 문서에는 없다.

---

8477은 아직 발행되지 않았다

더 중요한 사실이 있다. 2026년 6월 현재, ISO/SAE 8477은 정식 발행된 표준이 아니다.

ISO/SAE 8477 개발 타임라인

2021년 6월

PWI (Preliminary Work Item) 등록 — 21434 발행 직후 V&V 후속 작업 시작DONE

2023년 9월

AWI TR 8477로 공식 등록 — Technical Report 형태로 방향 결정DONE

2024년 8월 ~ 12월

Working Draft 1, 2 작성 및 내부 코멘트 회람DONE

2025년 1월 ~ 5월

Committee Draft 코멘트 회람 및 검토DONE

2026년 1월

CD → DIS 등록 승인 (ISO Stage 30.99) — 현재 위치NOW

2026년 후반 ~ 2027년 (예상)

DTR/DIS 투표 → 정식 발행EXPECTED

~2028년 (예상)

ISO/SAE 21434 2nd Edition — 8477 내용이 규범적으로 흡수될 가능성FUTURE

⚠️ 주의 — 2025년 말 또는 2026년 초 발행 예정이라는 정보가 일부 블로그와 벤더 자료에 나돌고 있지만, 이미 여러 차례 발행 목표 시점이 슬립됐다. 현재 공식 ISO 페이지(ISO 83188) 기준으로 DIS 투표조차 완료되지 않은 상태다.

---

왜 8477이 필요해졌는가 — 21434 Clause 11의 공백

8477이 등장한 배경을 이해하려면 ISO/SAE 21434:2021의 구조를 먼저 봐야 한다.

21434 Clause 11은 사이버보안 검증 활동을 요구한다. 요구사항 검증, 취약점 분석, 취약점 평가, 침투 테스트가 명시되어 있다. 그런데 21434는 이것들을 "수행하라"고 요구하면서도, 어떻게 수행해야 하는지는 의도적으로 열어뒀다.

💡 SAE International 공식 페이지에 명시된 8477의 탄생 배경

"This document includes technical considerations on the planning and execution of verification and validation of the cybersecurity of items and components of road vehicles, in the context of ISO/SAE 21434:2021. Some of this content was intended to be included in ISO/SAE 21434, but was removed before publication since the content was not yet mature enough."

8477은 사실상 21434에서 잘려나간 V&V 부록이다. 2021년 21434 발행 시점에 V&V 방법론이 충분히 성숙하지 않았다는 판단 하에 분리됐고, 이후 별도 문서로 개발되고 있다.

❌ 8477은 21434와 별개로 새롭게 만들어지는 시험 표준이다

✅ 8477은 21434에 포함될 예정이었다가 분리된 V&V 가이드다

이 사실이 8477의 범위를 이해하는 데 가장 중요한 맥락이다. 21434의 연장선이기 때문에 21434가 다루지 않는 새로운 기술 영역을 커버하는 것이 아니라, 21434의 V&V 활동을 어떻게 계획하고 수행할지에 집중한다.

---

8477은 Technical Report다 — 이것이 왜 중요한가

8477 개발 초기에는 PAS(Publicly Available Specification) 형태로 시작됐다. 그런데 중간에 Technical Report(TR)로 형태가 변경됐다. 이 차이가 실무적으로 중요하다.

구분	PAS / IS (국제 표준)	TR (Technical Report)
법적 성격	규범적 — 요구사항 포함 가능	정보 제공 — 요구사항 포함 불가
준수 의무	OEM·협력사가 준수 선언 가능	참조는 가능하나 준수 선언 대상 아님
21434와의 관계	21434와 동급 요구사항 가능	21434를 보완하는 가이드라인 수준
Clause 11 보완	V&V 방법 의무화 가능	의무화 불가 — "참고" 수준

⚠️ TR의 한계

TR은 "review와 rationale만으로 Validation을 완료할 수 있다"는 21434 Clause 11의 허점을 직접 막을 수 없다. 즉 CAL 3 시스템이 실제 Fuzzing이나 Penetration Test 없이 Validation을 통과하는 상황을 8477 TR이 막아주지는 않는다. 업계에서 이 점을 비판적으로 바라보는 시각이 있으며, 이 문제의 실질적인 해결은 2028년경 예정된 21434 2nd Edition에서 8477 내용이 규범적으로 흡수될 때까지 미뤄질 가능성이 높다.

---

그래서 8477은 실제로 무엇을 다루는가

공개된 JWG(Joint Working Group) 발표자료와 SAE International 페이지를 기반으로 확인된 8477의 실제 범위는 다음과 같다.

8477이 다루는 것 — 공개 정보 기준

1

Verification과 Validation의 정의 명확화 — 21434에서 혼용되는 두 개념의 경계를 정립. 요구사항이 올바르게 구현됐는지(Verification)와 올바른 요구사항을 만들었는지(Validation)를 명확히 구분하고 각각의 수행 주체와 시점을 정의한다.

2

V&V 활동의 전략적 접근법 — 어떤 상황에서 어떤 종류의 V&V를 선택할 것인가에 대한 가이드. 개발 단계, 시스템 복잡도, CAL 등급에 따른 V&V 전략 수립 방법을 다룬다.

3

적용 가능한 방법 목록 및 장단점 분석 — 21434 Clause 10에서 나열된 V&V 방법들(요구사항 기반 테스트, 인터페이스 테스트, Fuzzing, Penetration Test, 정적 분석, 동적 분석 등)의 특성과 적용 맥락을 설명한다. 어떤 방법을 언제 쓰는지에 대한 판단 근거를 제공한다.

4

OEM과 공급망 간 V&V 역할 분배 — OEM이 수행할 V&V와 Tier 1/Tier 2가 수행할 V&V의 경계를 어떻게 정의하고 계약에 반영할 것인지 가이드한다. 특히 Out-of-context 컴포넌트와 재사용 컴포넌트의 V&V 처리 방법을 다룬다.

5

V&V 시점과 실행 타이밍 — 개발 생애주기의 어느 단계에서 어떤 V&V를 수행해야 하는지 타이밍 가이드. 사이버보안 목표 확정 후 / 설계 완료 후 / 구현 완료 후 / 통합 후 단계별 V&V 활동을 정리한다.

6

V&V 보고서 예시 — OEM과 협력사 간 V&V 결과를 어떤 형식으로 공유할지 예시를 제공한다. 현재 조직마다 다른 보고서 포맷을 어느 정도 표준화하는 역할을 기대한다.

ℹ️ 8477에 없는 것 — 명확히 확인된 사항

CAN, UDS, OBD-II, Bluetooth, Wi-Fi, 차량용 Ethernet 등 인터페이스별 구체적 시험 절차 / Secure Boot, HSM, Secure Flash 등 보안 기능별 공격 시나리오 / CAL 등급별 시험 깊이 의무 매핑 테이블 / CVSS 스타일의 점수 체계 / 시험 도구나 벤더 권고사항

이 항목들을 기대하고 있다면 8477이 아닌 다른 곳에서 찾아야 한다.

---

8477이 참조하는 V&V 방법 목록

8477이 직접 시험 절차를 정의하지는 않지만, 21434에서 상속된 V&V 방법 목록을 중심으로 각각의 특성과 적용 맥락을 설명한다. 2025년 GlobalPlatform JWG 발표에서 공개된 내용 기준으로 정리하면 다음과 같다.

방법	유형	주요 적용 목적
Requirements-based Test	기능적	보안 요구사항별 만족 여부 확인
Interface Test	기능적	ECU 통신 인터페이스 동작 검증
Resource Usage Evaluation	성능	리소스 고갈 취약점 탐지
Control/Data Flow Verification	정적/동적	실행 경로 및 데이터 흐름 무결성 확인
Static Analysis	정적	코드 레벨 결함 탐지
Dynamic Analysis	동적 (런타임)	실행 중 동작 결함 탐지
Mutation Testing	커버리지	테스트 케이스 강도 평가
Hardware Emulation	기능적	실리콘 이전 단계 검증
Fuzz Testing	부정적 (Negative)	인터페이스 무작위 입력 강인성 평가
Penetration Testing	공격적 (Adversarial)	실제 공격 시나리오 기반 종합 평가

8477은 이 방법들을 언제, 어떤 상황에서 선택하는지에 대한 판단 기준을 제공하는 것이 목적이다. 각 방법의 구체적인 실행 절차는 8477의 범위가 아니다.

---

8477, 8475, 21434 2nd Edition — 세 문서의 관계

8477을 제대로 이해하려면 함께 개발 중인 관련 문서들과의 관계를 봐야 한다.

개발 중인 21434 패밀리 문서 관계

ISO/SAE 21434
2021
(현행)

+

ISO/SAE
PAS 8475
CAL / TAF

+

ISO/SAE
TR 8477
V&V 가이드

→

21434
2nd Edition
~2028

8475와 8477은 현재 21434의 공백을 채우는 보조 문서. 2028년경 21434 2nd Edition에 규범적으로 통합될 것으로 예상된다.

ℹ️ ISO/SAE PAS 8475란?

8477과 함께 개발 중인 CAL(Cybersecurity Assurance Level) 및 TAF(Targeted Attack Feasibility) 방법론 문서. 21434에서 CAL 결정 방법이 추상적으로 남아 있는 부분을 구체화한다. 8477의 V&V 전략은 8475의 CAL 프로파일을 참조해 시험 깊이를 조정하는 방식으로 연결된다. 8477보다 먼저 발행될 가능성이 있다.

---

지금 당장 8477을 쓸 수 있는가

현실적인 질문이다. 2026년 현재 UN R155 형식승인을 준비 중이거나 21434 기반 프로젝트를 수행하고 있다면, 8477을 직접 인용하거나 준수 선언의 근거로 활용하는 것은 불가능하다. 발행되지 않은 문서이기 때문이다.

지금 당장의 현실적인 V&V 접근법

1

ISO/SAE 21434 Clause 11 기반으로 V&V 계획 수립 — 현재 유일한 공식 기준. 요구사항별 시험 방법 선택, 시험 케이스 도출, 결과 문서화를 자체 기준으로 수행한다.

2

ENX VCS 카탈로그 참조 — ENX(European Network Exchange)의 VCS(Vehicle Cybersecurity) 프로젝트 그룹이 개발한 감사 기준이 현재 가장 구체적인 공급망 V&V 기준으로 활용된다. OEM 감사 준비에 실질적으로 유용하다.

3

8477 초안 방향을 선행 학습으로 반영 — JWG 발표 자료와 GlobalPlatform 공개 문서를 통해 8477이 다룰 V&V 구조를 미리 파악하고 현재 프로젝트의 V&V 계획에 반영해 두면, 표준 발행 후 전환 비용이 줄어든다.

4

OEM별 보안 시험 요구사항 직접 확인 — 현실적으로 Penetration Test 범위와 시험 기준은 OEM의 자체 사이버보안 가이드라인이 가장 구체적이다. 프로젝트 초기에 OEM 요구사항을 명확히 협의하는 것이 가장 효과적이다.

---

🔧 현업에서 느끼는 변화들

벤더 자료에 8477이 마치 발행된 표준처럼 등장하는 경우가 있다 — 일부 컨설팅사와 툴 벤더가 "8477 기반 시험 서비스"나 "8477 준수 솔루션"을 마케팅에 활용하고 있다. 아직 발행되지 않은 문서를 근거로 한 것이므로 계약 전 실제 적용 기준을 확인할 필요가 있다.

"V&V 어디까지 해야 하냐"는 질문의 답이 아직 표준에 없다 — 8477이 발행되기 전까지 Penetration Test의 범위와 깊이는 21434 자체만으로는 결정하기 어렵다. 프로젝트마다 OEM과 범위를 별도로 협의해야 하고, 그 결과가 조직마다 다르다. 8477이 이 문제를 해결해 줄 것으로 기대되지만, TR이라는 특성상 완전한 해결은 21434 2nd Edition까지 기다려야 할 수 있다.

Verification과 Validation을 혼용하는 현장이 아직 많다 — "검증 완료"라는 표현으로 두 활동을 뭉뚱그리는 경우가 실무에서 자주 보인다. 8477이 이 경계를 명확히 해줄 것으로 기대되는 이유 중 하나다. Cybersecurity Case 작성 시 두 개념의 구분이 명확하지 않으면 OEM 심사에서 재작업이 발생하는 원인이 된다.

ISO/SAE 8477은 "어떤 공격으로 무엇을 시험하는가"에 대한 답이 아니다.

"V&V를 어떻게 계획하고, 누가 어느 단계에서 수행하며, 어떻게 문서화할 것인가" — 21434가 열어둔 이 질문에 답하기 위해 만들어지고 있다.

그리고 그 답은 아직 완성되지 않았다.

핵심 요약

1

8477의 공식 제목은 "Verification and Validation"이다 — "Testing Methods"가 아니다. CAN·UDS·HSM·OTA 시험 절차를 찾는다면 이 문서에 없다.

2

2026년 6월 현재 발행되지 않았다 — CD 단계 통과 후 DIS 투표 전이다. 현실적인 발행 시점은 2026년 후반~2027년이다.

3

8477은 21434에서 잘려나간 V&V 부록이다 — 2021년 21434 발행 당시 성숙도 부족으로 제외됐던 내용을 별도 문서로 개발하고 있다.

4

Technical Report라서 요구사항을 의무화할 수 없다 — 21434 Clause 11의 "review로 Validation 완료" 허점은 8477 TR만으로는 막히지 않는다. 실질적 해결은 21434 2nd Edition(~2028) 이후다.

5

지금 당장은 21434 Clause 11 + OEM 요구사항 협의가 현실적인 기준이다 — 8477 방향을 선행 학습해 현재 V&V 계획에 반영해 두면 표준 발행 후 전환 비용을 줄일 수 있다.

ISO/SAE8477 ISO/SAE21434 차량사이버보안V&V Verification Validation 자동차사이버보안 ISO/SAE8475 CAL CybersecurityCase 표준현황 TARA