NIST CSF 2.0의 관리(Govern) 기능: 어떤 프레임워크가 이미 이를 다루고 있을까?

NIST가 2024년 2월 CSF 2.0을 발표했을 때 가장 두드러진 변화는 여섯 번째 기능이었다. 관리는 식별, 보호, 탐지, 대응, 복구와 함께 자리 잡았고, NIST는 이를 다른 기능의 중심에 배치했다: 조직 상황, 위험 관리 전략, 역할과 책임, 정책, 감독, 사이버보안 공급망 위험 관리. 이로써 거버넌스는 식별 내의 한 범주에서 다른 모든 것을 이끄는 요소로 격상되었다.

이미 다른 프레임워크를 따르고 있다면, 관리 기능을 얼마나 갖추고 있는가?

프레임워크별 관리 기능 커버리지

ControlMapping에는 관리 기능에 고정된 주제가 여섯 개 있다. 각 프레임워크가 그중 몇 개를 매핑하는지는 다음과 같다:

프레임워크	거버넌스개 주제 매핑됨	다음에 대한 매핑 없음
ISO 27001	6 / 6	—
SOC 2	6 / 6	—
PCI DSS	6 / 6	—
800-53	6 / 6	—
GDPR	6 / 6	—
NIS2	6 / 6	—
HIPAA	5 / 6	공급망 위험
CIS v8.1	2 / 6	거버넌스 정책, 위험 관리, 역할 및 책임, 컴플라이언스
CMMC	2 / 6	거버넌스 정책, 공급망 위험, 역할 및 책임, 벤더 리스크 관리
Essential Eight	0 / 6	거버넌스 정책, 위험 관리, 공급망 위험, 역할 및 책임, 컴플라이언스, 벤더 리스크 관리

주제: 거버넌스 정책, 위험 관리, 공급망 위험, 역할 및 책임, 컴플라이언스, 벤더 리스크 관리.

이를 다루는 프레임워크

관리 체계형 및 통제 카탈로그 프레임워크는 관리 기능을 잘 다룬다. ISO 27001의 4~6항과 9항은 거버넌스에 해당한다: 상황, 리더십, 역할, 위험 평가 및 처리, 성과 평가, 경영 검토. SP 800-53에는 프로그램 관리(PM) 패밀리 전체가 있다. SOC 2의 통제 환경 기준(CC1~CC5)은 COSO 내부통제 프레임워크에서 왔으며, 이는 설계상 거버넌스다. PCI DSS의 요구사항 12와 NIS2의 경영진 의무도 같은 영역을 채운다.

다루지 않는 프레임워크

운영 기준선은 이 영역을 거의 다루지 않는다. Essential Eight는 여덟 가지 기술적 완화 전략으로 구성되며 거버넌스 내용은 전혀 없다. 이는 간과가 아니라 설계상의 선택이다. CIS Controls v8.1은 주로 서비스 제공자 관리와 데이터 관리 프로세스를 통해 거버넌스와 맞닿아 있다. CMMC 레벨 2는 SP 800-171의 시스템 내 CUI 보호 중심을 계승하므로, 위험 전략과 공급망 프로그램 성과 대부분은 빠진다.

공급망: 관리 기능에서 가장 어려운 부분

관리 기능에는 사이버보안 공급망 위험 관리에 관한 하위 범주 열 개가 포함되며, 프로그램을 갖추는 것부터 관계 수명주기 전반에 걸쳐 공급업체를 관리하는 것까지 범위가 넓다. 많은 프레임워크가 공급업체 보안을 다루지만(ISO 27001의 A.5.19~A.5.23, SOC 2의 CC9.2, PCI DSS 12.8), 위험 기준, 등급, 모니터링을 갖춘 프로그램으로 다루는 경우는 드물다. 관리 기능에 대한 프레임워크 커버리지가 높다면, 특히 공급망 영역에서도 높은지 확인하라.

핵심 요약

• 관리는 CSF 2.0의 새로운 기능으로, 상황, 위험 전략, 역할, 정책, 감독, 공급망 위험을 다룬다.
• 관리 체계형 및 카탈로그 프레임워크(ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2)가 이를 잘 다룬다.
• 운영 기준선(Essential Eight, CIS, CMMC)은 설계상 이 영역을 거의 다루지 않는다.
• 공급망 위험은 프레임워크 간 깊이 차이가 가장 큰 관리 영역이다.

실행 방안

1. 운영 기준선(CIS, Essential Eight, CMMC)을 운영 중이라면, 그 위에 거버넌스를 더하라. CSF의 관리 기능이나 ISO 27001의 관리 체계가 구조를 제공한다.
2. ISO 27001이나 SOC 2를 운영 중이라면, 관리 기능을 활용해 이사회 보고를 정교하게 하라. CSF의 성과는 경영진이 이해하는 언어로 작성되어 있다.
3. 공급망 및 벤더 위험 주제를 확인하라. 프레임워크 간 깊이 차이가 가장 큰 영역이다.

CSF 2.0 프레임워크 페이지에서는 모든 관리 하위 범주와 매핑을 확인할 수 있으며, 격차 분석에서는 보유한 어떤 프레임워크로든 CSF 커버리지를 확인할 수 있다.

질문

NIST CSF 2.0의 관리 기능이란 무엇인가?

관리(GV)는 2024년 CSF 2.0에서 추가되었으며, 조직 상황, 위험 관리 전략, 역할과 책임, 정책, 감독, 사이버보안 공급망 위험 관리를 다룬다. NIST는 이를 다른 다섯 개 기능의 중심에 배치한다.

ISO 27001은 CSF 2.0 관리 기능을 다루는가?

대체로 그렇다. ISO 27001의 4~6항과 9항(상황, 리더십, 위험, 성과 평가)과 공급업체 통제는 대부분의 관리 성과에 대응한다.

CSF 2.0 관리 기능은 대기업만을 위한 것인가?

아니다. 소규모 조직도 가벼운 형태로 같은 기본 사항이 필요하다: 누가 책임을 지는지, 어떤 위험이 수용 가능한지, 정책이 무엇인지, 공급업체를 어떻게 관리하는지.