NIST CSF 1.1에서 2.0으로: 폐기된 하위 범주는 어디로 갔나
정책, 도구 또는 설문지가 여전히 PR.AC-1이나 ID.BE-2 같은 CSF 1.1 식별자를 인용하고 있다면, 그 식별자는 더 이상 존재하지 않는 하위 범주를 가리키고 있는 것입니다. 각 항목이 어디로 갔는지 아래에 정리했습니다.
NIST는 2024년 2월 새로운 Govern 기능과 재구성된 핵심 구조를 담은 CSF 2.0을 발표했습니다. 많은 CSF 1.1 하위 범주는 기존 형태를 유지하지 못했습니다. 새로운 식별자로 옮겨지거나 더 넓은 범주에 통합되었습니다. NIST는 CSF 2.0 데이터의 폐기 주석에 모든 항목이 어디로 갔는지 기록했습니다.
그 의미는 겉보기보다 큽니다. 정책, 위험 대장, GRC 도구, 공급업체 설문지, 그리고 셀 수 없이 많은 스프레드시트가 여전히 CSF 1.1 식별자를 참조하고 있습니다. 폐기된 하위 범주로의 매핑은 누구도 눈치채지 못하는 오류입니다. 그것은 아무 데도 연결되지 않는 링크입니다. ControlMapping의 빌드는 바로 이 이유로 폐기된 ID가 포함되면 실패합니다.
전체 표
NIST가 2.0에서 폐기한 모든 CSF 1.1 하위 범주와 NIST가 밝힌 각 항목의 처리 내용:
| CSF 1.1 | CSF 2.0(NIST)의 주요 변경 사항 |
|---|---|
| DE.AE-01 | 다음에 통합됨 ID.AM-03 |
| DE.AE-05 | 이동됨 DE.AE-08 |
| DE.CM-04 | 다음에 통합됨 DE.CM-01, DE.CM-09 |
| DE.CM-05 | 다음에 통합됨 DE.CM-01, DE.CM-09 |
| DE.CM-07 | 다음에 통합됨 DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09 |
| DE.CM-08 | 다음에 통합됨 ID.RA-01 |
| DE.DP-01 | 다음에 통합됨 GV.RR-02 |
| DE.DP-02 | 다음에 통합됨 DE.AE |
| DE.DP-03 | 다음에 통합됨 ID.IM-02 |
| DE.DP-04 | 다음에 통합됨 DE.AE-06 |
| DE.DP-05 | 다음에 통합됨 ID.IM, ID.IM-03 |
| ID.AM-06 | 다음에 통합됨 GV.RR-02, GV.SC-02 |
| ID.BE-01 | 다음에 통합됨 GV.OC-05 |
| ID.BE-02 | 다음에 통합됨 GV.OC-01 |
| ID.BE-03 | 다음에 통합됨 GV.OC-01 |
| ID.BE-04 | 다음에 통합됨 GV.OC-04, GV.OC-05 |
| ID.BE-05 | 다음에 통합됨 GV.OC-04 |
| ID.GV-01 | 다음에 통합됨 GV.PO, GV.PO-01, GV.PO-02 |
| ID.GV-02 | 다음에 통합됨 GV.OC-02, GV.RR, GV.RR-02 |
| ID.GV-03 | 이동됨 GV.OC-03 |
| ID.GV-04 | 이동됨 GV.RM-04 |
| ID.RM-01 | 다음에 통합됨 GV.RM-01, GV.RM-06, GV.RR-03 |
| ID.RM-02 | 다음에 통합됨 GV.RM-02, GV.RM-04 |
| ID.RM-03 | 이동됨 GV.RM-02 |
| ID.SC-01 | 다음에 통합됨 GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10 |
| ID.SC-02 | 다음에 통합됨 GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10 |
| ID.SC-03 | 이동됨 GV.SC-05 |
| ID.SC-04 | 다음에 통합됨 GV.SC-07, ID.RA-10 |
| ID.SC-05 | 다음에 통합됨 GV.SC-08, ID.IM-02 |
| PR.AC-01 | 다음에 통합됨 PR.AA-01, PR.AA-05 |
| PR.AC-02 | 이동됨 PR.AA-06 |
| PR.AC-03 | 다음에 통합됨 PR.AA-03, PR.AA-05, PR.IR-01 |
| PR.AC-04 | 이동됨 PR.AA-05 |
| PR.AC-05 | 다음에 통합됨 PR.IR-01 |
| PR.AC-06 | 이동됨 PR.AA-02 |
| PR.AC-07 | 이동됨 PR.AA-03 |
| PR.AT-03 | 다음에 통합됨 PR.AT-01, PR.AT-02 |
| PR.AT-04 | 다음에 통합됨 PR.AT-02 |
| PR.AT-05 | 다음에 통합됨 PR.AT-02 |
| PR.DS-03 | 다음에 통합됨 ID.AM-08, PR.PS-03 |
| PR.DS-04 | 이동됨 PR.IR-04 |
| PR.DS-05 | 다음에 통합됨 PR.DS-01, PR.DS-02, PR.DS-10 |
| PR.DS-06 | 다음에 통합됨 PR.DS-01, DE.CM-09 |
| PR.DS-07 | 다음에 통합됨 PR.IR-01 |
| PR.DS-08 | 다음에 통합됨 ID.RA-09, DE.CM-09 |
| PR.IP-01 | 다음에 통합됨 PR.PS-01 |
| PR.IP-02 | 다음에 통합됨 ID.AM-08, PR.PS-06 |
| PR.IP-03 | 다음에 통합됨 PR.PS-01, ID.RA-07 |
| PR.IP-04 | 이동됨 PR.DS-11 |
| PR.IP-05 | 이동됨 PR.IR-02 |
| PR.IP-06 | 다음에 통합됨 ID.AM-08 |
| PR.IP-07 | 다음에 통합됨 ID.IM, ID.IM-03 |
| PR.IP-08 | 이동됨 ID.IM-03 |
| PR.IP-09 | 이동됨 ID.IM-04 |
| PR.IP-10 | 다음에 통합됨 ID.IM-02, ID.IM-04 |
| PR.IP-11 | 이동됨 GV.RR-04 |
| PR.IP-12 | 다음에 통합됨 ID.RA-01, PR.PS-02 |
| PR.MA-01 | 다음에 통합됨 ID.AM-08, PR.PS-03 |
| PR.MA-02 | 다음에 통합됨 ID.AM-08, PR.PS-02 |
| PR.PT-01 | 다음에 통합됨 PR.PS-04 |
| PR.PT-02 | 다음에 통합됨 PR.DS-01, PR.PS-01 |
| PR.PT-03 | 다음에 통합됨 PR.PS-01 |
| PR.PT-04 | 다음에 통합됨 PR.AA-06, PR.IR-01 |
| PR.PT-05 | 이동됨 PR.IR-03 |
| RC.CO-01 | 다음에 통합됨 RC.CO-04 |
| RC.CO-02 | 다음에 통합됨 RC.CO-04 |
| RC.IM-01 | 다음에 통합됨 ID.IM-03, ID.IM-04 |
| RC.IM-02 | 다음에 통합됨 ID.IM-03 |
| RS.AN-01 | 다음에 통합됨 RS.MA-02 |
| RS.AN-02 | 다음에 통합됨 RS.MA-02, RS.MA-03, RS.MA-04 |
| RS.AN-04 | 이동됨 RS.MA-03 |
| RS.AN-05 | 이동됨 ID.RA-08 |
| RS.CO-01 | 다음에 통합됨 PR.AT-01 |
| RS.CO-04 | 다음에 통합됨 RS.MA-01, RS.MA-04 |
| RS.CO-05 | 다음에 통합됨 RS.CO-03 |
| RS.IM-01 | 다음에 통합됨 ID.IM-03, ID.IM-04 |
| RS.IM-02 | 다음에 통합됨 ID.IM-03 |
| RS.MI-03 | 다음에 통합됨 ID.RA-06 |
| RS.RP-01 | 다음에 통합됨 RS.MA-01 |
주요 패턴
- ID.BE(비즈니스 환경)와 ID.GV(거버넌스)는 새로운 Govern 기능으로 이동했으며, GV.OC(조직 상황), GV.RR, GV.PO, GV.OV가 되었습니다.
- ID.SC(공급망 위험 관리)는 GV.SC가 되었고, 하위 범주는 10개로 확대되었습니다.
- PR.AC(접근 통제)는 PR.AA(신원 관리, 인증 및 접근 통제)가 되었으며, 네트워크 분리는 PR.IR로 이동했습니다.
- PR.IP(정보 보호 프로세스)는 나뉘었습니다. 구성 및 유지보수 성과는 PR.PS(플랫폼 보안)로, 개선 성과는 ID.IM으로 이동했습니다.
- DE.DP(탐지 프로세스)는 폐기되었으며, 그 성과는 DE.CM, DE.AE, ID.IM에 통합되었습니다.
- 다수의 RS 및 RC 하위 범주는 RS.MA, RS.AN, RS.CO, RC.RP 아래 더 적고 더 넓은 성과로 통합되었습니다.
기존 매핑을 업데이트하는 방법
- 문서와 도구에서 CSF 식별자를 검색하고, 각 식별자를 위 표와 대조하세요. CSF 1.1 식별자는 숫자가 한 자리(PR.AC-1)이고, CSF 2.0은 두 자리(PR.AA-01)를 씁니다.
- “moved to” 링크는 바로 교체하세요. NIST가 하위 범주가 이동했다고 밝힌 경우, 새 식별자로 그대로 바꾸면 됩니다.
- “incorporated into” 링크는 검토하세요. 더 넓은 2.0 성과는 귀사의 통제보다 많은 범위를 포함할 수 있으므로, 매핑이 여전히 타당한지 확인하세요.
- 새로운 Govern 성과를 추가하세요. CSF 2.0은 1.1에 대응하는 항목이 없는 성과를 도입했으며, 특히 공급망 위험과 감독 영역에 많습니다.
CSF 2.0의 모든 하위 범주는 여기에 페이지가 있으며, 열 개의 다른 프레임워크와의 매핑을 제공합니다. CSF 2.0 프레임워크 페이지에서 시작하세요. Govern 기능이 실제로 무엇을 의미하는지는 어떤 프레임워크가 이를 다루는지를 참고하세요. 위의 폐기 주석은 NIST 자체의 CSF 2.0 데이터에서 가져온 것이며, Cybersecurity and Privacy Reference Tool을 통해 제공됩니다. 방법론을 참고하세요.
질문
NIST CSF 2.0에서 PR.AC를 대체한 것은 무엇인가요?
CSF 1.1의 PR.AC(접근 통제) 하위 범주 대부분은 새로운 PR.AA(신원 관리, 인증 및 접근 통제) 범주로 이동했습니다. NIST의 폐기 주석에 각 항목의 정확한 이동 위치가 나와 있습니다.
아직 CSF 1.1을 사용할 수 있나요?
사용할 수는 있지만, NIST의 현재 버전은 2.0이며 새로운 대응표와 참고 정보 참조는 2.0을 기준으로 발행됩니다. 기존 참조를 업데이트하면 조용히 폐기된 하위 범주를 가리키는 매핑을 피할 수 있습니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-27Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교영국의 Cyber Essentials와 호주의 Essential Eight은 모두 흔한 공격을 겨냥하지만, 다루는 범위가 다릅니다. 무엇이 겹치고 무엇이 겹치지 않는지, 그 이유는 무엇인지 살펴봅니다.
분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.