가장 좋은 출발점이 되는 보안 프레임워크는 무엇인가? 우리는 이를 측정했다

“어떤 프레임워크로 시작해야 할까?”는 모든 보안 프로그램이 처음 맞닥뜨리는 질문 중 하나이며, 흔히 나오는 답은 의견에 가깝습니다. 우리는 수치가 필요했습니다: 프레임워크 X를 구현했다면, 다른 모든 프레임워크의 얼마나 많은 부분이 이미 다뤄진 것일까?

ControlMapping은 11개 프레임워크의 요구사항을 서로 매핑하므로 이를 측정할 수 있습니다. 각 프레임워크에 대해 다른 프레임워크를 하나씩 차례로 택하고, 그 요구사항 중 첫 번째 프레임워크와 최소 하나 이상 매핑되는 것이 몇 개인지 센 다음 10개에 걸쳐 평균을 냈습니다.

순위

보유한 경우	다른 프레임워크 매핑 비율 평균	다음 범위를 대부분 포괄	가장 적게 포함하는 항목
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

공유율 = 이 프레임워크와 최소 하나의 매핑(크로스워크 또는 편집)이 있는 다른 프레임워크의 요구사항 비율을 다른 10개 프레임워크에 대해 평균한 값. 격차 분석와 동일한 데이터로 실시간 계산됩니다.

두 프레임워크가 두드러집니다. NIST SP 800-53은 나머지 전체에서 가장 큰 비율과 매핑되는데, 이는 놀랄 일이 아닙니다. 거의 모든 보안 및 프라이버시 주제를 포괄하도록 작성된 수백 개 통제 항목의 카탈로그이며, NIST는 이를 CSF 2.0 및 ISO 27001에 대한 공식 매핑으로 공개하고 있습니다. ISO 27001이 그다음인데, 부록 A가 더 높은 수준에서 같은 영역을 다루고 관리 체계 조항이 대부분의 프레임워크가 건드리는 거버넌스를 추가하기 때문입니다.

반대쪽 끝에서는 Essential Eight가 설계상 가장 적게 매핑됩니다. 이는 완전한 프로그램이 아니라 8개의 표적 완화 전략이므로, 이를 구현해도 다른 프레임워크의 대부분은 손대지 않은 상태로 남습니다. GDPR도 비슷한 이유로 낮은데, 범위에 포함되는 것은 보안 조항뿐이기 때문입니다.

수치를 신중히 읽으십시오

다음 세 가지를 염두에 두십시오:

• 매핑은 충족을 뜻하지 않습니다. 매핑은 두 요구사항이 같은 주제를 다룬다는 뜻입니다. ISO 27001의 취약점 통제와 PCI DSS의 분기별 스캔 요구사항은 매핑되어 있지만, 전자를 충족한다고 해서 후자가 충족되는 것은 아닙니다.
• 세분화된 프레임워크는 쉽게 포괄되는 것처럼 보입니다. 거의 모든 프레임워크가 CIS Controls의 거의 전부를 건드리는 것으로 보입니다. CIS에는 153개의 구체적인 안전장치가 있어 대부분의 프레임워크가 주제 수준에서 각각을 건드리며, CIS 연결의 대부분은 우리의 편집 판단입니다. CIS가 공개한 대응표는 49개 안전장치만 다루기 때문입니다. CIS 열은 “완료”가 아니라 “건드림”으로 해석하십시오.
• 구체적인 프레임워크는 포괄하기 어려워 보입니다. PCI DSS와 SP 800-53은 다른 프레임워크가 포괄하기 가장 어려운데, 광범위한 프레임워크가 구체적으로 명시하지 않는 많은 세부 요구사항을 담고 있기 때문입니다.

누가 묻느냐가 답을 정합니다

이 측정은 어떤 프레임워크가 가장 넓은 기반을 주는지 알려줍니다. 어떤 프레임워크가 필요한지는 알려주지 않으며, 대개 이 질문은 다음으로 정리됩니다:

• 미국 기업 고객은 SOC 2 보고서를 요구합니다. 거래가 이에 달려 있다면 거기서 시작하십시오.
• 해외 고객, 입찰 및 규제 기관은 ISO 27001 인증을 요구합니다.
• 미국 연방 업무는 SP 800-53(클라우드의 경우 FedRAMP 포함)을 의미하며, 방위 계약은 CMMC Level 2를 의미합니다.
• 카드 결제는 무엇을 하든 PCI DSS를 의미합니다.
• EU 디지털 사업자 및 중요 분야는 NIS2가 필요합니다.
• 아직 아무도 묻지 않았습니까? ISO 27001이나 NIST CSF 2.0이 가장 넓은 기반을 제공합니다. CSF는 무료이며 시작하기에 더 가볍고, ISO는 필요할 때 인증서를 추가해 줍니다. SP 800-53은 가장 많이 포괄하지만, 그 규모 때문에 대부분의 민간 기업에는 첫 단계로 무거운 선택입니다.

다시 시작하지 말고 확장하십시오

무엇으로 시작하든, 두 번째 프레임워크는 첫 번째보다 저렴합니다. 현재 보유한 프레임워크에서 필요한 프레임워크로 격차 분석을 실행하면, 무엇이 그대로 이월되고 무엇이 새로운지에 대한 요구사항별 목록을 각 연결의 근거와 함께 얻을 수 있습니다. 비교 자료는 가장 흔한 짝을 더 깊이 다루며, 예를 들어 ISO 27001 vs SOC 2 및 NIST CSF vs ISO 27001이 있습니다.

측정 방법

프레임워크의 각 순서쌍에 대해, 격차 분석과 동일한 계산을 사용했습니다. 요구사항은 다른 프레임워크의 요구사항과 같은 ControlMapping 주제로 큐레이션되었거나, 게시된 대응표 또는 명시된 이유가 있는 편집 콘텐츠 링크로 직접 연결된 경우 매핑된 것으로 봅니다. NIST CSF 2.0 결과만 공유하는 요구사항(“느슨하게 관련됨”)은 계산에 포함하지 않습니다. 위 수치는 현재 데이터로부터 실시간으로 계산되며, 방법론을 참조하십시오.

질문

어떤 보안 프레임워크가 다른 프레임워크를 가장 많이 포괄하는가?

ControlMapping 데이터에 따르면, NIST SP 800-53은 다른 프레임워크 요구사항의 평균적으로 가장 큰 비율을 포괄하며, 그다음이 ISO 27001입니다. 매핑은 요구사항들이 관련된 결과를 다룬다는 뜻이지, 한쪽이 다른 쪽을 충족한다는 뜻이 아닙니다.

소규모 기업은 ISO 27001과 SOC 2 중 어느 것으로 시작해야 할까?

고객이 요청하는 것부터 시작하십시오. 아직 아무도 요구하지 않는다면 ISO 27001이나 NIST CSF가 가장 넓은 기반을 제공하며, 미국 거래가 보고서에 달려 있다면 SOC 2가 보고서를 얻는 가장 빠른 길입니다.