NIST CSF 2.0 프로파일로 이사회에 보고하기

대부분의 이사회 사이버보안 보고는 두 가지 방식 중 하나로 실패합니다. 이사회 구성원 누구도 해석할 수 없는 기술 지표가 쏟아지거나, 실제 위험을 가리는 안심용 신호등 표시만 보이는 경우입니다. NIST CSF 2.0은 이 둘 사이에 놓이는 구조를 제공합니다. 여섯 가지 기능(관리, 식별, 보호, 탐지, 대응, 복구)은 이사회가 이해하기에 충분히 명확하고, 프로파일은 “우리는 얼마나 안전한가?”라는 질문을 “우리는 지금 어디에 있고, 어디로 가고 있으며, 무엇이 방해가 되는가?”라는 질문으로 바꿔 줍니다.

현재 프로파일과 목표 프로파일

현재 프로파일은 오늘 조직이 어떤 CSF 성과를 달성하고 있으며 그 수준이 어느 정도인지를 기록합니다. 목표 프로파일은 위험 선호도, 의무사항, 위협을 기준으로 선택한 목표 성과를 기록합니다. 두 프로파일 사이의 격차가 로드맵이 되며, 이사회의 역할은 목표를 승인하고 격차를 메울 자금을 승인하는 것입니다.

무엇을 보여줄 것인가

1. 하나의 차트: 기능별 현재 대 목표. 여섯 개의 막대에 각각 두 개의 값을 표시합니다. 이사회 구성원은 예를 들어 복구가 보호에 비해 크게 뒤처져 있다는 점을 몇 초 안에 파악할 수 있습니다.
2. 업무 관점에서 본 주요 위험. “랜섬웨어 공격으로 한 주 동안 주문 처리가 중단될 수 있음”이라는 설명이 “PR.DS-11 부분 달성”이라는 표현보다 훨씬 잘 전달됩니다.
3. 지난 보고 이후의 진척. 무엇이 개선되었고, 무엇이 그렇지 못했는지 보여줍니다.
4. 필요한 의사결정. 예산, 위험 수용, 또는 목표 변경이 여기에 해당합니다.
5. 의무사항. 어떤 프레임워크와 규제가 적용되는지, 그리고 각각에 대해 현재 어디에 있는지(인증 완료, 진행 중, 격차 존재)를 보여줍니다.

관리 기능은 안건 그 자체에 포함돼야 한다

CSF 2.0의 관리 기능은 조직의 맥락, 위험 전략, 역할, 정책, 감독, 공급망 위험 관리를 다룹니다. 이 기능의 여러 성과는 이사회의 고유한 책임입니다. 위험 선호도 설정, 전략 감독, 책임 배정 등이 그렇습니다. NIS2(제20조)에 따르면 경영진은 사이버보안 조치를 승인하고 감독해야 하며, 직접 교육도 받아야 합니다. 이에 따라 관리 기능은 모범 사례일 뿐 아니라 규정 준수 항목이기도 합니다. 어떤 프레임워크가 관리 기능을 다루는지에 대한 분석에서 다른 프레임워크들이 어디에서 공백을 남기는지 확인할 수 있습니다.

감사받는 프레임워크와 CSF 연결하기

ISO 27001로 인증을 받거나 SOC 2에 따라 보고하고 있다면, 별도의 CSF 프로그램이 필요하지 않습니다. 통제를 CSF 성과에 한 번 매핑한 뒤, 같은 증거를 두 가지 방식으로 보고하면 됩니다. 이사회에는 CSF 기능 단위로, 감사인에게는 프레임워크 요구사항 단위로 보고하는 것입니다. NIST는 CSF 2.0과 ISO 27001 및 SP 800-53 간의 공식 매핑을 공개하고 있습니다.

방향	매핑됨	느슨하게 관련됨	매핑 없음
NIST CSF 2.0 보유 → ISO 27001 필요	79 / 123 (64%)	34	10	보고서 →
ISO 27001 보유 → NIST CSF 2.0 필요	89 / 106 (84%)	15	2	보고서 →

잘못된 정밀성 없이 성과 점수화하기

이사회에는 소수점 자리가 필요하지 않습니다. CSF 범주별로 단순하고 일관된 척도를 사용하는 것으로 충분하며, 예를 들면 다음과 같습니다.

점수	의미
0	구축되지 않음
1	부분적으로 구축됨, 비공식적이거나 일관성이 없음
2	구축되어 문서화되었으며, 일부 증거가 있음
3	구축되어 있고, 증거가 있으며, 정기적으로 테스트됨
4	측정되고 지속적으로 개선됨

각 범주는 의견이 아니라 증거를 바탕으로 점수화하고, 이사회 차트를 위해 범주 점수를 여섯 개 기능으로 집계하십시오. 점수 산정 규칙은 문서로 남겨 두어야 이번 분기와 다음 분기의 수치가 같은 의미를 갖습니다. CSF 2.0의 등급(Tiers)은 전반적인 거버넌스 및 위험 관리의 엄격성을 설명하므로, 이는 서술형 보고에 사용하고 차트에는 범주 점수를 사용하십시오.

핵심 요약

• 하나의 차트에 CSF 기능별 현재 대 목표를 보여줍니다.
• 주요 위험과 필요한 의사결정을 업무 관점에서 제시합니다.
• 증거에 근거해 일관되게 점수화합니다.

솔직하게 보고하기

• 성과는 의견이 아니라 증거에 근거해 점수화하십시오. 성과는 해당 통제가 실제로 작동하고 증거를 만들어 낼 때 달성된 것으로 봅니다.
• 불편한 격차도 보여주십시오. 알려진 격차가 있는 목표를 이사회가 승인했다면 이는 위험을 수용한 것이고, 격차를 한 번도 보지 못한 이사회는 그렇지 않습니다.
• 사업이 바뀌면 목표도 바꾸고, 그 사실을 분명히 밝히십시오.

모든 CSF 2.0 하위 범주는 여기에서 열 개의 프레임워크와 매핑된 페이지를 갖고 있습니다. CSF 2.0 프레임워크 페이지나 NIST CSF 대 ISO 27001 비교에서 시작하십시오.

질문

CSF 현재 프로파일이란 무엇인가?

CSF 2.0 핵심 요소에 대해 조직의 현재 사이버보안 성과를 설명한 것입니다. 목표 프로파일은 조직이 달성하고자 하는 성과를 설명하며, 두 프로파일 사이의 격차가 계획을 이끕니다.

이사회 보고에는 ISO 27001을 써야 할까, NIST CSF를 써야 할까?

많은 조직이 ISO 27001로 인증을 받으면서도, CSF의 성과 중심 언어가 비전문가에게 더 이해하기 쉬워서 CSF의 여섯 기능을 사용해 이사회에 보고합니다. 두 체계는 서로 긴밀하게 매핑됩니다.