VisualPro Tech Brief
DO-178C는 보안을 다루지 않습니다
DO-326A가 감항 요건이 된 지금
항공 감항 보안 | 안전·보안 통합 인증 | 업계 동향 브리프
DO-326A / ED-202ADO-356ADO-355DO-178CARP4754A
01개요 (TL;DR) — 안전 인증에서 의도적으로 비어 있던 자리
항공 소프트웨어 인증의 기준인 DO-178C(유럽 ED-12C)와 시스템 개발 지침 ARP4754A는 안전을 다룹니다. 그런데 이들 표준은 사이버보안을 의도적으로 범위 밖에 두었습니다. 무작위 고장과 개발 오류를 다루는 체계였지, 악의적 행위자를 상정한 체계가 아니었기 때문입니다.
그 빈자리를 메우는 것이 DO-326A/ED-202A — 「감항 보안 프로세스 사양(Airworthiness Security Process Specification)」입니다. FAA와 EASA는 이를 감항 인증의 수용 가능한 준수 방법(AMC)으로 채택했고, 항공기·회전익기·엔진·프로펠러 인증에 사실상 필수 요건이 되었습니다.
주목할 점은 이것이 “사이버 DO-178”이 아니라는 것입니다. 원문은 이 표현을 명시적으로 부정하며, DO-326A를 ARP-4754A에 얹는 사이버 애드온이자 부분적으로 “사이버 ARP-4761”, “사이버 DO-178C”에 해당한다고 설명합니다. 전통적 안전 표준 위에 인위적 고장(man-made failure)에 대한 방어 계층을 하나 더 얹는 구조입니다.
감항 보안은 감항 안전의 자매다 — 같은 프로세스와 원칙이 적용된다.
02왜 지금인가 — 항공 안전·보안 통합을 밀어 올리는 3가지 변화
1규제가 확정됐다 — 특별 조건에서 표준 요건으로규제 확정
FAA는 2005년 보잉 787 인증을 시작으로 약 20건의 사이버보안 특별조건(special condition)을 개별 적용해 왔고, 2017년 2월 정책성명 PS-AIR-21.16-02로 이를 공식화했습니다. 이후 AC 119-1(2015), AC 20-140C(2016), AC 120-76D(2017)를 거쳐, EASA는 항공기·회전익기·엔진·프로펠러 전반의 공식 AMC로 제안했고 FAA도 자문회람 발행과 14 CFR Part 21/23/25/27/29/33/35 개정을 예고했습니다. 사례별 특별조건으로 처리하던 영역이 표준 요건으로 굳어진 것입니다.
2e-Enabled 항공기가 공격면을 만들었다공격면 확대
DO-326A는 TCP/IP 기반의 e-enabled 시스템을 보호 대상으로 지목합니다 — 위성통신(SATCOM), 기내 서버·Wi-Fi와 연결된 이더넷 라우터, 셀룰러 기기·노트북·태블릿, 그리고 VHF/AM·디지털 VHF 데이터링크·ACARS·무선 브리지 같은 지상 통신망입니다. 보호는 한 계층에서 끝나지 않고 접근점, 전송 데이터, 시스템, 서브시스템, 코드까지 여러 추상화 수준에서 요구됩니다.
3안전과 보안이 같은 프로세스 골격을 쓴다프로세스 동형성
DO-326A의 보안 위험평가는 안전의 기능위험분석(FHA)과 평행하게 수행되고, 위협 수준·심각도 판정은 설계보증수준(DAL) 할당과 유사한 역할을 합니다. 원문은 “보안은 수년간 안전 확보를 위해 해 온 일과 상당 부분 겹친다”고 서술합니다. 안전 크리티컬 개발 경험이 있는 조직에게 보안 통합이 직관적인 이유이자, 두 분석을 한 도구에서 이어야 하는 이유입니다.
03DO-326A는 7단계로 내려온다
감항 보안 프로세스 7단계
| 단계 | 하는 일 | 산출물 |
|---|
| 1. PSecAC 계획 | 위험평가·보증수준 할당·보안요구 포착 계획 수립 | 인증 보안 계획(PSecAC) |
| 2. 범위 설정 | 보호가 필요한 논리·물리 자산 식별 | 자산 목록, 보안 경계 |
| 3. 보안 위험평가 | 위협 수준과 심각도 판정 | 위협 시나리오, 위험 등급 |
| 4. 결정 게이트 | 완화 증거가 필요한 위험인지 판정 | 완화 대상 판정 근거 |
| 5. 보안 보호 구현 | 상위 보안요구를 하위 사양으로 분해해 설계에 반영 | 보안요구 계층, 설계 반영 |
| 6. 검증·확인(V&V) | 구현된 보호의 유효성 시험 | 시험 케이스와 결과 |
| 7. 인증 증거 취합 | 전 증거를 요약 문서로 통합 | PSecAC 요약 |
3종 문서 체계 — 역할이 나뉘어 있다
| 문서 | 제목 | 역할 |
|---|
| DO-326A / ED-202A | 감항 보안 프로세스 사양 | 프로세스의 뼈대 — 무엇을 해야 하는가 |
| DO-356A / ED-203A | 감항 보안 방법 및 고려사항 | 개발 단계별 요구와 위험평가 상세 — 어떻게 하는가 |
| DO-355 / ED-204 | 지속 감항을 위한 정보보안 지침 | 운용·정비 단계 — 취항 이후 |
참고 DO-326A는 프로세스를 규정하고, 방법론의 상세는 DO-356A가, 취항 이후 운용 보안은 DO-355가 담당합니다. 인증 대응 시 세 문서의 역할을 구분해 산출물을 배치해야 합니다.
04안전 프로세스와 보안 프로세스는 평행하게 흐른다
두 프로세스는 이름만 다를 뿐 같은 자리에서 같은 일을 합니다.
| 보안 활동 (DO-326A) | 안전 프로세스 대응 | 공유되는 것 |
|---|
| PSecAC 계획 수립 | PSAC (DO-178C 인증 소프트웨어 계획) | 인증 계획 문서의 위치와 역할 |
| 자산 식별·범위 설정 | 시스템·아이템 정의 | 같은 아키텍처 모델 |
| 보안 위험평가 | FHA (기능위험분석) | 위험 식별·등급화 절차 |
| 위협 수준·심각도 판정 | DAL 할당 | 보증 수준으로 엄격도를 정하는 방식 |
| 보안요구 분해 | 안전요구 분해 | 요구 계층과 설계 반영 |
| 보호 유효성 V&V | 검증·시험 | 요구↔시험 추적 |
| PSecAC 요약 | 적합성 증거 패키지 | 심사 대응 근거 |
V모델 위에서는 이렇게 꽂힙니다 좌측(요구 단계)에서 2단계 범위 식별과 3단계 예비 보안 위험평가가 수행되고, 이때 요구사항은 PLM·ALM 또는 요구관리 도구에 포착되어 분해되고 추적성이 수립됩니다. 우측(검증 단계)에서 5단계 보호 구현과 6단계 유효성 검증이 이뤄지고, 그 결과가 PSecAC 문서로 모여 인증 증거가 됩니다.
문제는 여기서 발생합니다. 안전 요구는 안전 도구에, 보안 요구는 보안 도구에, 아키텍처는 또 다른 곳에 있으면 — 같은 아키텍처를 두 번 모델링하고, 두 분석의 결과가 서로에게 전달되지 않습니다. 보안 침해가 유발하는 안전 위험이 누락되는 전형적인 경로입니다.
05VisualPro는 어떻게 지원하나
하나의 구조 트리, 다섯 개의 분석구조 공유
FMEA·FTA·HARA·TARA·STPA가 동일한 시스템 구조 DB를 공유합니다. DO-326A 2단계에서 식별한 자산과 안전 분석의 아이템 정의가 같은 트리 위에 놓이므로, 보안 위험평가와 기능위험분석이 하나의 모델을 참조합니다.
분석 간 추적성 (디지털 스레드)핵심 가치
보안 위협 ↔ 대응책 ↔ 보안요구 ↔ 검증 항목, 그리고 안전목표 ↔ FTA 정상사상 ↔ 고장모드 ↔ 안전요구가 단일 DB에서 연동됩니다. 설계 변경이나 신규 위협 반영 시 관련 분석이 함께 갱신되어, 인증 심사가 요구하는 살아있는 추적성이 유지됩니다.
표준 정합 산출물인증 증거
ISO/SAE 21434 TARA, ISO 26262 HARA(ASIL), AIAG-VDA FMEA, FTA를 표준 서식으로 산출하고 국·영문 보고서를 생성합니다. 위협·위험 항목별로 어떤 분석의 어떤 근거인지 제시할 수 있어, PSecAC 요약에 들어갈 증거를 분석 DB에서 직접 정리할 수 있습니다.
MCP 기반 AI 에이전트 연동AI 연동
FMEA·FTA·HARA·TARA·STPA 분석을 지원하는 MCP(Model Context Protocol) 기능으로 Claude 등 AI 에이전트가 VisualPro와 직접 통신합니다. 후보 위협·위험원 식별부터 스코어링 초안까지 대화형으로 수행하고, 분석자는 검증과 판단에 집중합니다.
06자주 묻는 질문 (FAQ)
Q1군용 항공기도 DO-326A를 따라야 하나요?
아닙니다. 군용 항공기는 현재 DO-326A 범위 밖이며, 인증 의무는 FAA·EASA 관할의 민간 항공에 적용됩니다. 군용 체계의 안전·보안 논증은 MIL-STD-882E 시스템안전, 그리고 국내의 경우 K-RMF 같은 별도 체계를 따릅니다. 민수와 군수를 같은 요건으로 묶어 설명하면 사실과 어긋나므로, 사업 영역에 맞는 체계를 구분해 대응해야 합니다.
Q2DO-178C를 이미 하고 있는데 DO-326A는 얼마나 추가 부담인가요?
프로세스 골격은 상당 부분 공유됩니다. PSecAC는 PSAC와 같은 위치에 놓이고, 보안 위험평가는 FHA와 평행하며, 요구 분해와 V&V 구조도 대응합니다. 실질적 부담은 새로운 방법론 학습이 아니라 자산·위협 관점의 분석을 추가하고, 그 결과를 기존 안전 분석·요구·시험과 추적 가능하게 연결하는 일입니다. 두 체계를 별도 도구로 운영하면 이 연결 비용이 급격히 커집니다.
Q3자동차 사이버보안(ISO/SAE 21434) 경험이 항공에 전이될까요?
핵심 사고방식은 전이됩니다. 자산 식별 → 위협 시나리오 도출 → 위험 평가 → 대응책 도출 → 추적성 확보라는 흐름은 TARA와 DO-326A가 공유합니다. 다른 것은 용어(위협 등급 체계, PSecAC 산출물), 규제 주체(FAA·EASA), 그리고 지속 감항 단계를 다루는 DO-355의 존재입니다. 방법론이 아니라 인증 체계를 새로 익히는 일에 가깝습니다.
07지금 시작하십시오 (Next Step)
항공에서 안전과 보안은 이미 하나의 인증 흐름 안에 들어와 있습니다. 두 분석을 서로 다른 도구와 파일에 나눠 두면, 그 연결을 증명해야 하는 순간에 비용이 발생합니다. 자동차·국방·로봇·반도체에서 검증된 VisualPro로, 안전과 보안을 하나의 구조 위에서 잇는 인증 준비를 시작하십시오.
안전과 보안을 하나의 구조 위에서 잇는다 — VisualPro와 함께하는 항공 인증 준비.
참고 자료: Military Embedded Systems, “Incorporating DO-326A security airworthiness into the software development life cycle” · Aviation Today, “How DO-326/ED-202 is becoming mandatory airworthiness” (규제 일정은 발표 시점 기준)
항공 소프트웨어 인증의 기준인 DO-178C(유럽 ED-12C)와 시스템 개발 지침 ARP4754A는 안전을 다룹니다. 그런데 이들 표준은 사이버보안을 의도적으로 범위 밖에 두었습니다. 무작위 고장과 개발 오류를 다루는 체계였지, 악의적 행위자를 상정한 체계가 아니었기 때문입니다.
그 빈자리를 메우는 것이 DO-326A/ED-202A — 「감항 보안 프로세스 사양(Airworthiness Security Process Specification)」입니다. FAA와 EASA는 이를 감항 인증의 수용 가능한 준수 방법(AMC)으로 채택했고, 항공기·회전익기·엔진·프로펠러 인증에 사실상 필수 요건이 되었습니다.
주목할 점은 이것이 “사이버 DO-178”이 아니라는 것입니다. 원문은 이 표현을 명시적으로 부정하며, DO-326A를 ARP-4754A에 얹는 사이버 애드온이자 부분적으로 “사이버 ARP-4761”, “사이버 DO-178C”에 해당한다고 설명합니다. 전통적 안전 표준 위에 인위적 고장(man-made failure)에 대한 방어 계층을 하나 더 얹는 구조입니다.
두 프로세스는 이름만 다를 뿐 같은 자리에서 같은 일을 합니다.
문제는 여기서 발생합니다. 안전 요구는 안전 도구에, 보안 요구는 보안 도구에, 아키텍처는 또 다른 곳에 있으면 — 같은 아키텍처를 두 번 모델링하고, 두 분석의 결과가 서로에게 전달되지 않습니다. 보안 침해가 유발하는 안전 위험이 누락되는 전형적인 경로입니다.
항공에서 안전과 보안은 이미 하나의 인증 흐름 안에 들어와 있습니다. 두 분석을 서로 다른 도구와 파일에 나눠 두면, 그 연결을 증명해야 하는 순간에 비용이 발생합니다. 자동차·국방·로봇·반도체에서 검증된 VisualPro로, 안전과 보안을 하나의 구조 위에서 잇는 인증 준비를 시작하십시오.