프레임워크 전반의 암호화 요구사항 비교

거의 모든 주요 프레임워크가 암호화를 요구합니다. 그러나 어떤 알고리즘을 쓸지 명시하는 경우는 매우 드뭅니다. 실질적인 차이는 암호화가 언제 의무인지, 검증된 모듈이 필요한지, 키 관리를 얼마나 구체적으로 규정하는지에 있습니다.

이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.

암호화는 거의 모든 보안 프레임워크가 어떤 형태로든 요구하는 몇 안 되는 통제 항목 중 하나입니다. 그러나 요구사항을 자세히 읽어 보면, 알고리즘 선택보다 훨씬 중요한 세 가지 점에서 차이가 납니다: 언제 암호화가 의무인지, 검증된 암호 모듈을 반드시 사용해야 하는지, 그리고 키 관리를 얼마나 구체적으로 규정하는지입니다.

누가 무엇을 요구하는가

프레임워크	암호화	링크
NIST CSF 2.0	PR.DS-01 PR.DS-02	주제 정의
ISO 27001	A.8.24	대응표
CIS v8.1	CIS 3.10 CIS 3.11 CIS 3.6 CIS 3.9	대응표
SOC 2	CC6.1 CC6.7	편집 콘텐츠
PCI DSS	3.5.1 3.6.1 4.2.1 3.7.1 3.7.4 4.2.1.1	대응표
CMMC	SC.L2-3.13.8 SC.L2-3.13.11 SC.L2-3.13.16 AC.L2-3.1.13 AC.L2-3.1.19 SC.L2-3.13.10 MP.L2-3.8.6	대응표
800-53	SC-8 SC-12 SC-13 SC-28	대응표
HIPAA	§164.312(a)(2)(iv)§164.312(e)(2)(ii)	대응표
GDPR	Art.32(1)(a)Art.34(3)(a)	편집 콘텐츠
NIS2	9.1	대응표
Essential Eight	—	보유 데이터에 매핑 없음

모든 연결의 상세 내용과 근거: 프레임워크별 암호화 →

암호화가 의무인 시점

PCI DSS는 명확합니다. 저장되는 기본 계좌번호(PAN)는 판독 불가능하게 처리되어야 하며(3.5.1), 공개 네트워크로 전송될 때는 PAN을 강력한 암호화로 보호해야 합니다(4.2.1).
CMMC Level 2는 전송 중(SC.L2-3.13.8), 저장 시(SC.L2-3.13.16), 모바일 기기(AC.L2-3.1.19), 이동식 저장매체(MP.L2-3.8.6)에 있는 CUI에 대해 암호화 보호를 요구합니다.
HIPAA는 저장 시 및 전송 중 암호화를 부가적(addressable) 사양으로 둡니다. 즉, 구현하거나 동등한 대안이 합리적인 이유를 문서화해야 합니다. 실무적으로 암호화되지 않은 ePHI가 든 분실 노트북을 정당화하기는 어렵고, HHS는 2025년 1월 암호화를 필수로 하는 개정안을 제안했습니다.
GDPR은 암호화를 고려해야 할 조치로 명시하며(제32조 제1항 (a)호), 구체적인 이점도 규정합니다. 유출된 데이터가 암호화되어 있었다면 영향을 받는 개인에게 통지하지 않아도 될 수 있습니다(제34조 제3항 (a)호).
ISO 27001(A.8.24), SOC 2(CC6.1, CC6.7), NIS2(9.1항, 암호화 정책)는 모든 곳에 암호화를 의무화하기보다, 암호화가 필요한 지점을 결정하고 적용하도록 요구합니다.

검증된 암호화

미국 연방 계열 프레임워크만이 검증된 모듈을 요구합니다. CMMC Level 2는 CUI 기밀성 보호를 위해 FIPS 검증 암호화를 요구하며(SC.L2-3.13.11), SP 800-53 시스템은 FIPS 검증 모듈을 사용합니다(SC-13). 그 밖의 프레임워크는 "강력한" 또는 "적절한" 암호화를 요구합니다. 계약업체라면 이 차이에 따라 사용할 수 있는 라이브러리, VPN, 디스크 암호화 제품이 달라집니다.

사무실 벽에 설치된 열린 철제 키 보관함 사진. 빈 고리 줄과 걸려 있는 열쇠 하나가 보임 — 대부분의 프레임워크는 암호화만큼 키도 중요하게 다룹니다.

키 관리

키 관리는 프레임워크마다 깊이 차이가 가장 큰 영역입니다. PCI DSS는 3.6절과 3.7절에 걸쳐 이를 구체적으로 규정합니다. 키 생성, 배포, 저장, 암호 기간(cryptoperiod) 종료 시 키 교체, 손상된 키 폐기, 분할 지식(split knowledge)과 이중 통제(dual control), 키 관리자(custodian)의 확인 서명 등이 포함됩니다. 또한 신뢰된 키와 인증서의 목록 관리를 요구합니다(4.2.1.1). SP 800-53(SC-12)과 CMMC(SC.L2-3.13.10)는 키 설정 및 관리를 요구합니다. ISO 27001은 키 관리를 포함하여 암호화의 효과적 사용에 관한 규칙을 요구하지만, 세부 사항은 조직에 맡깁니다.

핵심 요약

프레임워크는 알고리즘을 명시하는 경우가 드물며, 암호화가 의무인 시점, 검증된 모듈, 키 관리에서 차이가 납니다.
PCI DSS와 CMMC가 가장 엄격하며, HIPAA의 암호화 사양은 부가적입니다.
해당 프레임워크와 무관하더라도, PCI의 키 관리 세부 사항을 점검표로 활용하세요.

실행 방안

기본값으로 암호화하세요. 민감 데이터는 저장 시와 전송 중 모두 암호화해야 합니다. 거의 모든 프레임워크 계열에서 어딘가에는 의무이며, 예외를 정당화하기는 어렵습니다.
제품을 구매하기 전에 검증된 모듈이 필요한지 확인하세요(CMMC, FedRAMP 및 기타 연방 업무).
PCI 수준의 세부 사항으로 키 관리를 문서화하세요. PCI가 적용되지 않더라도 이는 현재 이용 가능한 가장 완전한 점검표입니다.
암호화 결정을 암호화 정책에 기록하고(NIS2 9.1, ISO A.8.24), 암호 스위트를 주기적으로 검토하세요(PCI 12.3.3은 연 1회 검토를 요구합니다).

암호화 주제 페이지에서 출처와 함께 모든 요구사항을 확인할 수 있으며, 격차 분석에서는 두 프레임워크를 요구사항별로 비교할 수 있습니다.

질문

HIPAA는 암호화를 요구합니까?

현행 보안 규칙에 따라 ePHI의 저장 시(§164.312(a)(2)(iv)) 및 전송 중(§164.312(e)(2)(ii)) 암호화는 부가적(addressable) 사양입니다. 즉, 이를 구현하거나 동등한 조치가 합리적인 이유를 문서화해야 합니다. HHS는 2025년 1월 암호화를 필수로 하는 개정안을 제안했습니다.

어떤 프레임워크가 FIPS 검증 암호화를 요구합니까?

CMMC Level 2는 CUI의 기밀성 보호를 위해 FIPS 검증 암호화를 요구하며(SC.L2-3.13.11), SP 800-53에 따른 미국 연방 시스템은 FIPS 검증 모듈을 사용합니다(SC-13).

프레임워크는 어떤 암호화 알고리즘을 요구합니까?

알고리즘을 명시하는 프레임워크는 매우 드뭅니다. PCI DSS는 업계에서 인정된 알고리즘과 키 길이에 기반한 강력한 암호화를 요구하고, 미국 연방 시스템은 FIPS 검증 모듈을 사용하며, ASD의 ISM은 승인된 알고리즘과 프로토콜을 나열합니다. 그 밖의 대부분의 프레임워크는 최신 표준을 참고하여 선택을 조직에 맡깁니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

프레임워크별 암호화 요구사항 비교: 명시 사항과 조직 재량