블로그
블로그
크로스워크 데이터, 실무 가이드, Paul Gillet의 의견을 바탕으로 한 분석. RSS 피드
분석
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-27Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교영국의 Cyber Essentials와 호주의 Essential Eight은 모두 흔한 공격을 겨냥하지만, 다루는 범위가 다릅니다. 무엇이 겹치고 무엇이 겹치지 않는지, 그 이유는 무엇인지 살펴봅니다.
분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.
분석 · 2026-10-1311개 보안 프레임워크의 MFA 요구사항 비교어떤 프레임워크가 MFA를 요구하는지, 대상과 강도는 어떠한지 확인하세요. PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, HIPAA를 한눈에 비교합니다.
분석 · 2026-09-29NIST CSF 2.0 관점에서 본 HIPAA 보안 규칙NIST CSF 2.0 프로그램은 HIPAA 보안 규칙의 요구사항 거의 전부와 대응됩니다. 그대로 이어지는 부분, 대응되지 않는 두 가지, 그리고 CSF가 HIPAA를 넘어 추가로 다루는 내용을 정리했습니다.
분석 · 2026-09-15프레임워크별 암호화 요구사항 비교: 명시 사항과 조직 재량ISO 27001, PCI DSS, CMMC, HIPAA, GDPR, NIS2가 저장 데이터 암호화, 전송 중 암호화, 키 관리를 어떻게 다루는지 요구사항 ID와 함께 정리합니다.
분석 · 2026-08-18프레임워크별 침해사고 대응 요구사항 비교ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, CMMC, HIPAA의 침해사고 대응 계획, 테스트 및 보고 기한을 비교합니다.
분석 · 2026-08-04프레임워크 전반의 물리적 보안: 클라우드 우선 기업이 놓치는 주제ISO 27001, PCI DSS, CMMC, HIPAA, SOC 2의 물리적 보안 요구사항을 비교하고, 클라우드 우선 기업이 이를 충족하는 방법을 설명합니다.
분석 · 2026-07-02로깅 및 로그 보존 요구사항 비교ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC, NIST 전반의 감사 로깅과 로그 보존을 비교하고, 기간이 고정된 몇 가지 보존 기간도 함께 정리합니다.
분석 · 2026-05-19PCI DSS v4.0.1 중 ISO 27001이 실제로 다루는 범위는 얼마나 될까?ISO 27001은 PCI DSS v4.0.1 요구사항의 3분의 1 미만에 매핑됩니다. 겹치는 부분이 어디인지, ISMS를 운영하는 조직에도 PCI 대부분이 신규 작업인 이유, 그리고 이에 대비한 계획 수립 방법을 설명합니다.
분석 · 2026-04-07GDPR의 보안 조항 정리: 개인정보 보호법의 보안 측면GDPR은 개인정보 보호법이지만, 제5조, 제25조, 제28조, 제32조~제35조, 제37조~제39조는 보안 의무를 부과합니다. 이 조항들이 ISO 27001 및 NIST와 어떻게 매핑되는지, 그리고 ISMS가 무엇을 누락하는지 설명합니다.
분석 · 2026-02-24프레임워크별 백업 및 복구 요구사항 비교백업 빈도, 보호, 복구 테스트를 ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, Essential Eight, NIST 기준으로 비교합니다.
분석 · 2026-01-06CMMC Level 2를 SP 800-53에 추적: NIST 부록 D가 알려 주는 것모든 CMMC Level 2 실천 항목은 SP 800-171 부록 D를 통해 NIST SP 800-53까지 추적됩니다. 매핑의 작동 방식, Rev 5 변경 사항, 그리고 남은 한 개의 실천 항목을 설명합니다.
분석 · 2025-11-25가장 적은 프레임워크가 요구하는 보안 주제와 그 중요성DNS, 위협 인텔리전스, API 및 웹 애플리케이션 보안은 가장 적은 프레임워크가 요구하는 주제입니다. 그 이유와 이를 건너뛰어도 된다는 허가가 아닌 까닭을 살펴봅니다.
분석 · 2025-10-14ISO 27001이 NIS2를 어디까지 다루는지 항목별로 정리ISO 27001은 NIS2 시행규정의 모든 항목에 대응되지만, 인증만으로 NIS2 준수가 되지는 않습니다. 무엇이 이어지고 무엇이 이어지지 않는지, 그 이유는 무엇인지 설명합니다.
분석 · 2025-08-27대응표인가, 판단인가? 프레임워크 매핑이 공개된 근거에 기대는 정도모든 프레임워크 매핑을 공개된 대응표 기반인지 편집 콘텐츠(편집적 판단)인지로 구분해 표시했습니다. 프레임워크별로 이 비율이 어떻게 다른지, 그리고 이것이 여러분에게 왜 중요한지 정리했습니다.
분석 · 2025-07-15공통 핵심: 모든 프레임워크가 공유하는 보안 요구사항ISO 27001과 SOC 2에서 NIS2와 Essential Eight까지, 11개 주요 프레임워크 모두에 등장하는 보안 주제 다섯 가지를 소개합니다. 각 주제가 무엇인지, 왜 가장 먼저 구축해야 하는지 설명합니다.
분석 · 2025-06-03CIS 통제 격차: 153개 안전장치 중 49개만 대응표가 공개된 이유CIS가 공개한 NIST CSF 2.0 매핑은 CIS Controls v8.1 안전장치 153개 중 49개만 다룹니다. 그 이유와 사용 중인 CIS 매핑에 미치는 영향을 살펴봅니다.
분석 · 2025-04-17공급업체 및 공급망 위험: 누가 무엇을 요구하는가ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA, NIST CSF 2.0 전반의 공급업체 및 공급망 보안 요구사항을 비교합니다.
분석 · 2025-04-02ISO 27001에 대응하는 항목이 없는 SOC 2 기준과 그 존재 이유대부분의 SOC 2 기준은 ISO 27001에 매핑되지만, 처리 무결성(Processing Integrity)과 대부분의 개인정보 보호(Privacy) 기준은 그렇지 않습니다. 어떤 기준이 해당하는지, 왜 그런지, 범위에 포함된 경우 무엇을 해야 하는지 설명합니다.
분석 · 2025-03-04NIST CSF 1.1에서 2.0으로: 폐기된 하위 범주는 어디로 갔나NIST는 CSF 2.0에서 CSF 1.1 하위 범주 79개를 폐기하고, 이를 다른 범주로 옮기거나 병합했습니다. 각 항목의 이동 경로를 정리한 전체 표와 기존 매핑을 업데이트하는 방법을 제공합니다.
분석 · 2025-01-21NIST CSF 2.0의 관리(Govern) 기능: 어떤 프레임워크가 이미 이를 다루고 있을까?CSF 2.0은 위험 전략, 역할, 정책, 감독, 공급망 위험을 다루는 관리 기능을 추가했다. 어떤 프레임워크가 이미 이를 다루고 있으며, 공백은 무엇인지 설명한다.
분석 · 2024-12-05가장 좋은 출발점이 되는 보안 프레임워크는 무엇인가? 우리는 이를 측정했다11개 보안 프레임워크 각각이 다른 10개 프레임워크를 얼마나 포괄하는지 측정했습니다. SP 800-53과 ISO 27001이 선두이지만, 누가 묻느냐에 따라 답이 달라집니다.
분석 · 2024-10-22Essential Eight vs ISO 27001: 연결 대부분이 “느슨하게 관련됨”인 이유ISO 27001은 원칙적으로 Essential Eight의 모든 전략을 다루지만, ASD 통제 대부분은 Annex A와 느슨하게만 관련됩니다. 이것이 의미하는 바를 설명합니다.실무 가이드
실무 가이드 · 2026-09-01이미 SP 800-53을 운영 중일 때 CMMC Level 2 평가 준비하기이미 NIST SP 800-53을 운영 중인 조직이 CMMC Level 2 평가를 준비하는 방법: CUI 범위, SSP, 증거 재사용과 흔한 함정.
실무 가이드 · 2026-07-21대응표 읽는 법과 신뢰하지 말아야 할 때프레임워크 대응표가 알려주는 것과 알려주지 않는 것: 관계 유형, 방향, 버전, 세분성, 작성 주체를 짚고, 의존하기 전에 확인할 사항을 정리합니다.
실무 가이드 · 2026-06-03ISO 27001에서 NIS2로: 실질적인 격차 해소 계획ISO 27001 인증 조직이 NIS2 적용 대상이 되었을 때 따라야 할 단계별 계획: 적용 범위, 등록, 경영진 의무, 보고 및 심화 조치.
실무 가이드 · 2026-04-21공급업체 실사: 여러 프레임워크를 하나의 프로세스로ISO 27001, SOC 2, PCI DSS, GDPR, HIPAA, NIS2를 위한 하나의 공급업체 실사 프로세스: 등급 분류, 보증 보고서, 계약, 모니터링.
실무 가이드 · 2026-03-10격차 보고서에서 프로젝트 계획까지: 책임자, 증적, 일정프레임워크 격차 분석을 프로젝트 계획으로 전환하는 방법: 워크스트림, 작업 순서, 공수 산정, 책임자, 그리고 감사까지 추적되는 증적.
실무 가이드 · 2026-01-21감사인이 인정하는 변경 관리 증적풀 리퀘스트부터 긴급 변경까지, SOC 2(CC8.1), ISO 27001(A.8.32), PCI DSS, NIS2 감사를 통과하는 변경 관리 증적을 정리했습니다.
실무 가이드 · 2025-12-09모든 감사인을 만족시키는 사용자 접근 검토ISO 27001, SOC 2, PCI DSS, HIPAA, CMMC 감사를 통과하는 사용자 접근 검토 수행 방법: 범위, 주기, 검토자, 증적.
실무 가이드 · 2025-10-28두 프레임워크 간 격차 분석을 수행하고 이를 추적 도구로 전환하는 방법두 보안 프레임워크 간 격차 분석을 위한 실용적 방법: 범위 설정, 각 대응 항목 검토, 연결 검증, 추적 도구로의 전환.
실무 가이드 · 2025-09-11ISO 27001, SOC 2, HIPAA에 공통으로 쓰는 하나의 위험 평가ISO 27001, SOC 2, HIPAA 보안 규칙을 모두 충족하는 정보보호 위험 평가 한 건을 수행하는 방법과 각 감사가 확인하는 항목
실무 가이드 · 2025-07-29Essential Eight 목표 성숙도 수준 선택하기Essential Eight 목표 성숙도 수준을 고르는 방법: 각 레벨이 막는 위협, 레벨 2 또는 3이 필요한 대상, 단계적으로 높이는 방법을 정리합니다.
실무 가이드 · 2025-06-17감사를 통과하는 적용성 선언서(SoA) 작성법ISO 27001:2022 적용성 선언서(SoA)를 작성하는 방법: 반드시 포함해야 할 내용, 제외 사유 정당화, 흔한 감사 지적 사항을 설명합니다.
실무 가이드 · 2025-05-20NIST CSF 2.0 프로파일로 이사회에 보고하기NIST CSF 2.0 현재 프로파일과 목표 프로파일을 활용해 이사회에 사이버보안을 보고하는 방법: 무엇을 보여줄지, 그리고 이를 프레임워크와 어떻게 연결할지 설명합니다.
실무 가이드 · 2025-05-01과도한 약속 없이 첫 SOC 2 보고서의 범위 설정하기첫 SOC 2 보고서의 범위를 정하는 방법: 대상 시스템, 적용할 신뢰 서비스 기준, 제외 항목과 사용자 기업 통제, 비용이 많이 드는 범위 설정 실수.
실무 가이드 · 2025-03-18정책 세트 하나를 다시 작성하지 않고 여러 프레임워크에 매핑하기ISO 27001, SOC 2, NIST, PCI DSS, NIS2를 모두 충족하는 보안 정책 세트 하나를 구성하는 방법과 각 프레임워크가 문서로 요구하는 사항.
실무 가이드 · 2025-02-04NIS2 24시간·72시간 기한에 대응하는 사고 보고 절차 구축NIS2 중대 사고 보고 절차 구축 방법: 중대성 판단, 24시간 조기 경보, 72시간 통지, 1개월 최종 보고서.
실무 가이드 · 2024-12-24SOC 2, ISO 27001, PCI DSS 전반에서 재사용할 수 있는 증거SOC 2, ISO 27001, PCI DSS에 동시에 쓰이는 감사 증거, 각 감사인이 다른 감사인과 달리 요구하는 것, 그리고 이를 한 번만 수집하는 방법.
실무 가이드 · 2024-11-06SOC 2와 ISO 27001을 위한 하나의 통제 세트: 같은 작업을 두 번 하지 않고 두 가지를 운영하는 방법단일 통제 세트로 SOC 2와 ISO 27001을 운영하는 방법: 겹치는 부분, 각 프레임워크가 추가하는 요소, 통제와 증적의 구조화 방식, 감사 일정 맞추기.의견
의견 · 2026-06-17매핑에 “대응표” 또는 “편집 콘텐츠” 표시를 붙이는 이유ControlMapping이 모든 프레임워크 매핑을 공개된 대응표 또는 편집 판단으로 표시하는 이유, 그리고 컴플라이언스 데이터에서 출처를 드러내는 것이 중요한 이유.
의견 · 2026-05-05개방형·무료 컴플라이언스 데이터가 필요한 이유프레임워크 매핑은 대부분 유료 도구와 스프레드시트에 갇혀 있습니다. 컴플라이언스 매핑 데이터가 왜 공개되고, 출처가 명확하며, 무료로 재사용 가능해야 하는지 살펴봅니다.
의견 · 2026-03-24사이버 보안 분야에서 20년간 얻은 감사에 관한 교훈20년간의 보안 감사에서 얻은 교훈: 증거가 서술을 이기고, 범위가 모든 것을 결정하며, 담당자가 없는 통제는 실패한다.
의견 · 2026-02-05AI 작성 보안 정책: 유용한 지름길인가, 감사 위험인가?생성형 AI는 몇 분 만에 보안 정책 초안을 작성할 수 있습니다. 어디에서 도움이 되고, 어디에서 감사 지적 사항을 만들며, 내용 없는 정책이 되지 않도록 어떻게 활용할지 살펴봅니다.
의견 · 2025-12-23컴플라이언스가 곧 보안은 아니지만, 대응표는 둘 다에 도움이 됩니다감사를 통과한다고 조직이 안전해지지는 않는 이유, 컴플라이언스와 보안이 일치하는 지점, 그리고 프레임워크 매핑이 보안에 쓸 시간을 확보해 주는 방법을 설명합니다.
의견 · 2025-11-11정책을 작성하기 전에 컴플라이언스 도구부터 구매하지 마세요운영 방식을 정하기 전에 컴플라이언스나 보안 도구를 구매한 조직이 사용되지 않는 도구(shelfware)를 떠안게 되는 이유와, 이를 피하는 작업 순서를 설명합니다.
의견 · 2025-09-25확인할 수 없는 벤더 대응표의 문제컴플라이언스 플랫폼은 검증할 수 없는 대응표로 하나의 통제를 여러 프레임워크에 매핑합니다. 이것이 왜 위험한지, 대신 무엇을 요구해야 하는지 설명합니다.
의견 · 2025-08-12NIS2 경영진 책임: 이사회의 행동을 바꿀 수 있을까?NIS2는 경영진 기구가 사이버보안을 승인하고 감독하며 교육을 받도록 하고, 이에 대한 책임을 지웁니다. 이것이 이사회의 행동을 바꿀지, 이사회가 무엇을 해야 하는지 살펴봅니다.
의견 · 2025-07-01소규모 기업에도 ISO 27001이 필요할까?소규모 기업에 ISO 27001이 적합한 경우, SOC 2나 기술 기준선을 먼저 갖춰야 하는 경우, 그리고 인증 부담을 규모에 맞게 유지하는 방법.
의견 · 2025-02-18프레임워크 피로: 허브 프레임워크 하나를 고르고 나머지를 여기에 매핑하라여러 보안 프레임워크에 대응해야 하는 조직은 각각을 따로 운영하느라 지쳐 버린다. 허브 프레임워크 하나를 고르고 나머지를 이에 매핑하는 방식이 더 효과적인 이유를 살펴본다.
의견 · 2025-01-07해외 조직도 Essential Eight을 사용해야 할까?ASD의 Essential Eight은 보편적 권고를 담은 호주 기준선입니다. 해외 조직이 이를 도입하는 이유와 ISO나 NIST와 함께 어떻게 쓸 수 있는지 설명합니다.
의견 · 2024-11-20"SOC 2 인증을 받았습니까?"라는 질문이 잘못된 이유SOC 2 인증이라는 것은 없습니다. 이 질문이 실제로 묻는 것, SOC 2 보고서가 보여주는 것과 보여주지 않는 것, 그리고 벤더에게 던져야 할 더 나은 질문들.