대응표인가, 판단인가? 프레임워크 매핑이 공개된 근거에 기대는 정도
모든 컴플라이언스 도구는 프레임워크 간 매핑을 보여줍니다. 그중 어떤 매핑이 공식 대응표에서 왔고 어떤 매핑이 누군가의 의견인지 알려주는 도구는 드뭅니다. 우리는 그것을 직접 세어 보았습니다.
이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.
모든 컴플라이언스 플랫폼, 컨설팅 스프레드시트, 감사 도구에는 프레임워크 간 매핑이 들어 있습니다. 그러나 이 매핑이 어디서 왔는지는 거의 밝히지 않습니다. 일부는 공식 대응표에서 옮겨온 것이고, 많은 경우는 한 번 작성된 뒤 다시 검토되지 않은 누군가의 최선의 판단입니다. 둘 다 유용할 수 있지만, 여러분이 무엇에 의존하고 있는지는 알아야 합니다.
ControlMapping은 모든 연결에 출처를 표시합니다. 공개된 대응표가 뒷받침하는 경우에는 '대응표', 근거를 명시한 우리의 판단인 경우에는 '편집 콘텐츠'로 표시합니다. 그 구분 현황은 다음과 같습니다.
수치
| 프레임워크 | 매핑 | 대응표 | 편집 콘텐츠 | 대응 비중 |
|---|---|---|---|---|
| NIS2 | 65 | 64 | 1 | 98% |
| ISO 27001 | 105 | 99 | 6 | 94% |
| 800-53 | 120 | 106 | 14 | 88% |
| CMMC | 72 | 60 | 12 | 83% |
| HIPAA | 47 | 36 | 11 | 77% |
| PCI DSS | 95 | 70 | 25 | 74% |
| CIS v8.1 | 163 | 40 | 123 | 25% |
| SOC 2 | 66 | 0 | 66 | 0% |
| GDPR | 34 | 0 | 34 | 0% |
| Essential Eight | 62 | 0 | 62 | 0% |
| 전체 | 829 | 475 | 354 | 57% |
전체적으로 주제 매핑의 절반을 조금 넘는 비율이 공개된 대응표에 근거하고 있습니다. 나머지는 편집 콘텐츠입니다. 이 비율은 프레임워크에 따라 크게 다릅니다.
비율이 다른 이유
일부 프레임워크에는 권위 있는 대응표가 있습니다. NIST는 CSF 2.0에서 SP 800-53으로, 그리고 SP 800-53에서 ISO 27001로 가는 공식 참조를 공개합니다. EU 기관인 ENISA는 NIS2 시행규정의 모든 조항을 ISO 27001 및 CSF 2.0에 매핑한 자료를 공개합니다. NIST SP 800-171 부록 D는 CMMC 요구사항을 SP 800-53에 매핑합니다. 이들 프레임워크의 매핑은 대부분 대응표에 기반합니다.
일부 대응표는 부분적입니다. NIST 카탈로그에 있는 CIS 자체 매핑은 CIS safeguards 153개 중 49개만 다룹니다. PCI SSC의 CSF 2.0 매핑은 MFA 요구사항 등 일부 핵심 요구사항을 빠뜨리고 있습니다. 그 밖의 모든 연결은 편집 콘텐츠입니다.
우리가 사용할 수 있는 대응표가 없는 프레임워크도 있습니다. SOC 2, GDPR, Essential Eight에 대해서는 공개 라이선스 대응표가 없습니다. 이 경우 모든 연결이 편집 콘텐츠입니다. 이는 틀렸다는 뜻이 아니지만, 여러분이 검증할 수 있어야 하는 의견이라는 뜻입니다.
이것이 중요한 이유
- 권위가 다릅니다. NIST 또는 ENISA 대응표는 공개 의견수렴을 거쳤고 업계 전반에서 사용됩니다. 편집 콘텐츠 매핑은 한 분석가의 관점입니다. 감사관이 왜 두 요구사항을 동등하다고 보았는지 물을 때, 'NIST 매핑이 그렇게 말한다'는 답이 더 강력합니다.
- 대응표도 준수를 증명하지는 않습니다. 공식 대응표조차 두 요구사항이 관련된 결과를 다룬다고만 말할 뿐입니다. 하나의 구현이 다른 요구사항을 충족한다고 말해주지는 않습니다.
- 출처가 없는 매핑은 실수를 숨깁니다. 매핑의 출처를 알 수 없다면 언제 틀렸는지도 알 수 없습니다. 우리 자체 데이터를 감사할 때, 이 표시 덕분에 편집 콘텐츠 매핑의 오류를 빠르게 찾아 고칠 수 있습니다.
핵심 요약
- 주제 매핑의 절반을 조금 넘는 비율만이 공개된 대응표에 기반하며, 나머지는 편집 콘텐츠 판단입니다.
- 비율은 프레임워크마다 다릅니다. NIST, NIS2, CMMC는 높고, SOC 2, GDPR, Essential Eight는 0입니다.
- 판단이 틀린 것은 아니지만, 표시되고 설명되어야 합니다.
- 어떤 매핑이든 의존하기 전에 출처, 버전, 의미, 근거를 확인하세요.
모든 매핑에 대해 물어야 할 것
- 출처는 무엇인가? 공식 대응표, 프레임워크 소유 기관, 아니면 누군가의 판단인가?
- 근거가 보이는가? 편집 콘텐츠 연결이라면 그 이유를 밝혀야 합니다.
- 어떤 버전인가? 대체된 버전(CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1)에 대한 매핑은 심각하게 틀릴 수 있습니다.
- '매핑됨'은 무엇을 의미하는가? 동등한지, 부분적으로 겹치는지, 아니면 단지 관련될 뿐인지?
방법론은 모든 출처와 버전을 명시하고, 모든 요구사항 페이지는 각 연결의 근거를 보여줍니다. 다운로드에는 근거 열이 포함되어 있어 여러분이 우리 작업을 직접 확인할 수 있습니다.
질문
프레임워크 대응표란 무엇인가?
두 프레임워크 요구사항 사이에 공개된 매핑으로, 예컨대 NIST의 SP 800-53과 ISO 27001 간 매핑이 여기에 해당합니다. 이는 요구사항들이 관련된 결과를 다룬다는 것을 보여줄 뿐, 한쪽을 충족하면 다른 쪽도 충족된다는 의미는 아닙니다.
SOC 2 매핑은 왜 편집 콘텐츠인가?
AICPA는 신뢰 서비스 기준(Trust Services Criteria)과 다른 프레임워크 간 매핑을 공개하지만, 개방형 라이선스가 아니어서 ControlMapping이 근거 자료로 사용할 수 없습니다. 모든 SOC 2 링크는 근거를 함께 표시한 우리의 판단입니다.
편집 콘텐츠 매핑이 대응표보다 덜 정확한가?
꼭 그렇지는 않습니다. 전문가의 판단이 폭넓게 공개된 대응표보다 더 정밀할 수도 있습니다. 차이는 권위성과 검증 가능성에 있으며, 그래서 편집 콘텐츠 링크에는 항상 근거를 함께 표시해야 합니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-27Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교영국의 Cyber Essentials와 호주의 Essential Eight은 모두 흔한 공격을 겨냥하지만, 다루는 범위가 다릅니다. 무엇이 겹치고 무엇이 겹치지 않는지, 그 이유는 무엇인지 살펴봅니다.
분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.