CIS Controls 대응표: 49개 안전장치만 매핑되는 이유

CIS Controls는 가장 실용적인 보안 기준선 중 하나이지만, 안전장치의 3분의 1만이 CIS가 NIST CSF 2.0에 대해 공개한 대응표에 나타납니다. CIS를 다른 프레임워크에 매핑한다면 이것이 무엇을 의미하는지 정리했습니다.

CIS 핵심 보안 통제(CIS Critical Security Controls)는 실무자들이 즐겨 찾는 기준인데, 무엇을 해야 하는지 명확하게 알려 주기 때문입니다. 자산을 자동 탐지로 목록화하고, 소프트웨어를 허용 목록으로 관리하고, 명령줄 감사 로그를 수집하라고 제시합니다. 버전 8.1에는 18개 통제와 153개 안전장치가 있으며, 이는 세 개의 구현 그룹(Implementation Group)으로 우선순위가 정해져 있습니다. 이를 다른 프레임워크에 매핑하는 일은 쉬워야 하며, CIS는 NIST의 OLIR 카탈로그에 NIST CSF 2.0과의 대응표를 직접 공개하기도 했습니다.

해당 대응표는 49개 안전장치를 다룹니다. 나머지 104개는 이 대응표에 공개된 연결이 없습니다.

49개가 다루는 범위

CIS가 OLIR에 제출한 안전장치들은 여러 통제에 걸쳐 분포하며, CSF 성과를 직접 지원하는 항목에 중점을 둡니다. 개별 로그 유형, 특정 악성코드 방지 설정, 내부 및 외부 자산에 대한 별도 스캔 등 구체적인 기술 안전장치 상당수는 포함되어 있지 않습니다. 명확한 일대일 연결이 존재하는 수준에서만 매핑한 것으로 보입니다. CIS의 보다 완전한 매핑은 자사 웹사이트에서 다운로드 양식 뒤에 제공되며, 라이선스(CC BY-NC-ND)는 타인의 재사용 방식을 제한합니다.

나머지 104개를 처리한 방식

CIS의 3분의 2를 매핑하지 않은 채로 두는 대신, ControlMapping은 남은 모든 안전장치를 명백히 속하는 주제에 배치했습니다(취약점 스캔은 취약점 관리로, 감사 로그 안전장치는 로깅으로, 워크포스 교육은 인식 제고로). 각 항목에는 한 줄짜리 편집 사유를 표시했습니다. 결과는 다음과 같습니다:

CIS v8.1의 보호조치 153개 중 153개(100%)는 NIST CSF 2.0의 항목에 대응되고, 0개는 느슨하게만 관련되며, 0개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

이제 모든 CIS 안전장치가 CSF에 정의된 주제에 연결됩니다. 하지만 이 연결 대부분은 CIS의 판단이 아니라 저희의 판단이므로 그렇게 이해하고 활용하시기 바랍니다.

빈 화면이 표시된 노트북, 라벨 프린터, 감긴 케이블이 놓인 IT 기술자 작업대의 사진 — CIS 안전장치는 이 작업대에 앉은 사람들을 위해 작성되었습니다.

CIS의 '매핑됨'이 이렇게 쉬워 보이는 이유

CIS 안전장치는 범위가 좁고 기술적이어서, 대부분의 광범위한 프레임워크가 주제 수준에서 각각을 건드리게 됩니다. ISO 27001의 로깅 통제는 CIS의 모든 로깅 안전장치와 관련되며, NIST의 취약점 관련 성과는 모든 스캔 안전장치와 관련됩니다. 그래서 CIS는 다른 어떤 프레임워크로도 거의 완전히 다뤄지는 것처럼 보이며, 이는 프레임워크 시작점 분석에서도 확인된 바입니다. 실제로는 CIS 안전장치가 더 까다로운 요구사항인 경우가 많습니다. ISO는 로그를 남기라고 요구하고, CIS는 어떤 로그를 남길지 알려 줍니다.

반대 방향

NIST CSF 2.0의 하위 범주 106개 중 59개(56%)는 CIS v8.1의 항목에 대응되고, 9개는 느슨하게만 관련되며, 38개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

CIS에서 CSF 2.0으로 넘어갈 때의 격차는 대부분 거버넌스 영역입니다. CIS v8.1은 운영 기준선이며, 조직 상황, 위험 전략, 공급망 프로그램에 대해서는 거의 다루지 않습니다. 이런 내용이 CSF의 '관리' 기능을 구성합니다.

핵심 요약

공개된 NIST CSF 2.0 대응표는 CIS Controls v8.1 안전장치 153개 중 49개를 다룹니다. 나머지는 여기서 판단에 따라 매핑했으며, 각 항목에 사유를 명시했습니다.
CIS 안전장치는 범위가 좁고 기술적이기 때문에 거의 모든 광범위한 프레임워크가 이를 다루는 것처럼 보입니다. 실제로는 CIS 안전장치가 더 까다로운 요구사항인 경우가 대부분입니다.
CIS에서 다른 프레임워크로 넘어갈 때의 주요 격차는 거버넌스입니다. 위험 전략, 감독, 공급망 프로그램이 해당합니다.
ISO 27001이나 CSF 아래에서 구현 세부 사항으로 CIS를 사용하고, 감사에 공식적인 연결이 필요하다면 CIS의 전체 매핑을 확보하세요.

다른 프레임워크와 함께 CIS 활용하기

CIS를 구현 세부 사항으로 사용하세요. 광범위한 프레임워크 아래에서, ISO 27001이나 CSF는 무엇을 달성할지 규정하고, CIS IG1과 IG2는 어떻게 할지 규정합니다.
편집 연결은 출발점으로 취급하세요. 저희 요구사항 페이지에서 어떤 CIS 연결이 대응표에 근거하는지, 어떤 것이 저희 판단인지 확인할 수 있습니다. CIS Controls v8.1에서는 153개 안전장치 모두를 두 가지 구분과 함께 보여 줍니다.
CIS의 전체 매핑을 확보하세요. 감사에 공식적인 CIS-CSF 연결이 필요하다면 필수입니다.

NIST CSF 대 CIS 비교와 ISO 27001 대 CIS 비교에서 두 방향 모두 다룹니다.

질문

CIS는 NIST CSF 2.0에 대한 전체 매핑을 공개하나요?

CIS는 자사 웹사이트에서 다운로드 양식 뒤에 더 완전한 매핑을 제공합니다. NIST의 OLIR 카탈로그에 있는 공개 대응표는 CIS Controls v8.1 안전장치 153개 중 49개를 다룹니다.

ControlMapping의 CIS 연결은 신뢰할 수 있나요?

대응표에 근거한 49개 연결은 CIS 자체의 것입니다. 나머지는 ControlMapping의 편집 콘텐츠이며, 명시된 사유와 함께 주제에 배치되었습니다. 의존하기 전에 CIS의 전체 매핑과 대조해 확인하세요.

CIS 구현 그룹(Implementation Groups)이란 무엇인가요?

CIS 안전장치는 세 단계로 나뉩니다. IG1은 모든 조직에 필수적인 기본 사이버 위생이고, IG2는 더 복잡한 환경을 가진 조직을 위한 안전장치를 추가하며, IG3은 정교한 공격에 직면한 조직을 위한 안전장치를 추가합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

CIS 통제 격차: 153개 안전장치 중 49개만 대응표가 공개된 이유