프레임워크 피로: 허브 프레임워크 하나를 고르고 나머지를 여기에 매핑하라

성장 중인 기업의 컴플라이언스 담당자에게 한 해 일정을 물어보면 목록이 쏟아진다. SOC 2 관찰 기간, ISO 사후 심사, 신규 규제, PCI 평가, 그리고 끊이지 않는 고객 설문지까지, 각각 고유한 번호 체계와 용어를 가진다. 팀이 지치는 이유는 어느 한 프레임워크가 부당해서가 아니라, 대부분 같은 것을 요구하는 여러 프로그램을 동시에 운영하고 있기 때문이다.

구조적 해결책

허브를 하나 정한다. 자사의 통제 항목을 자사의 언어로 한 번만 정의하고, 그 허브를 중심으로 체계화한다. 이후 외부 프레임워크를 모두 이 허브에 매핑한다. 새 프레임워크는 더 이상 새로운 프로그램이 아니라, 매핑 작업과 실제로 새로운 몇 가지 요구사항을 처리하는 일이 된다.

ControlMapping 자체도 이 방식으로 구성되어 있다. NIST CSF 2.0이 허브이며, 모든 주제는 CSF 성과로 정의되고, 나머지 열 개 프레임워크가 그 주제에 매핑된다. CSF는 범위가 넓고 안정적이며, NIST 등이 거의 모든 것과 매핑해 두었기 때문에 이 방식이 통한다.

허브 선택하기

• NIST CSF 2.0: 중립적이고 성과 기반의 구조로, 경영진이 이해하기 쉬우며 SP 800-53, ISO 27001 등 다수와 공식 매핑이 있는 경우에 적합하다.
• ISO 27001: 어차피 이 표준으로 인증을 받고 있다면, 부속서 A와 적용성 선언서를 통제 체계의 뼈대로 삼을 수 있다.
• SP 800-53: 연방 시스템을 운영한다면 적합하다. 가장 포괄적이며 대부분의 다른 프레임워크와 매핑되는데, 이는 출발점 분석에서 측정한 결과다.

범위가 좁거나 규범적인 프레임워크를 허브로 삼는 것은 피하라. Essential Eight나 PCI DSS는 훌륭한 표준이지만, 프로그램 전체를 구성할 만큼 다른 프레임워크를 충분히 포괄하지 못한다.

허브가 생기면 무엇이 달라지나

• 새 프레임워크의 비용이 줄어든다. 허브에서 새 프레임워크로 격차 분석을 수행하라. 대부분의 요구사항이 매핑되며, 남는 부분만 새로운 작업이다.
• 증적은 한 번만 수집하고, 이를 사용하는 모든 프레임워크에 태그한다.
• 설문 응답이 빨라진다: 통제 세트에서 답하고 매핑된 요구사항을 인용하면 된다.
• 이사회 보고가 일관된다: 감사 일정이 어떻든 하나의 용어 체계로 보고한다.

예를 들어 NIST CSF 2.0 허브 기준으로는 다음과 같다:

방향	매핑됨	느슨하게 관련됨	매핑 없음
NIST CSF 2.0 보유 → NIS2 필요	45 / 49 (92%)	3	1	보고서 →
NIS2 보유 → NIST CSF 2.0 필요	85 / 106 (80%)	12	9	보고서 →

설정 방법

1. 통제 항목을 자사의 언어로 작성한다. 조직이 내리는 결정 하나당 하나씩, 누가, 무엇을, 얼마나 자주, 어떤 증적을 남기는지 담는다.
2. 각 통제를 허브에 매핑한다(예: CSF 2.0 하위 범주). 그다음 응답해야 하는 모든 프레임워크에 매핑한다.
3. 매핑을 한 곳에서 관리하고, 각 연결의 근거를 함께 기록해 검증과 갱신이 가능하게 한다.
4. 프레임워크별이 아니라 통제별로 담당자를 지정한다.
5. 프레임워크가 바뀔 때마다 매핑을 검토한다. 프로그램을 처음부터 다시 만들지 않는다.

초기 작업량이 앞에 몰린다. 첫 매핑에는 실질적인 노력이 들지만, 이후의 모든 프레임워크와 설문지는 그것을 재사용한다. 다운로드 페이지에는 CSF 2.0 허브에 대한 완성된 매핑이 있어 출발점으로 삼을 수 있다.

핵심 요약

• 프레임워크 피로는 프레임워크마다 별도의 프로그램을 운영하는 데서 생긴다.
• 범위가 넓고 매핑이 잘 된 허브(NIST CSF 2.0, ISO 27001 또는 SP 800-53)를 고르고, 나머지를 모두 여기에 매핑하라.
• 그러면 새 프레임워크에는 격차 분석과 실제로 새로운 요구사항만 필요하다.

해결하지 못하는 것

허브가 프레임워크별 요구사항을 없애주지는 않는다. 보고 기한, 특정 주기, 법적 의무 등은 그대로 남는다. 다만 이것들을 중복 작업 속에 묻어 두지 않고, 예외 사항으로서 눈에 보이게 만들어 줄 뿐이다.

프레임워크 피로는 설계 문제다. 설계를 고치면 피로의 대부분도 함께 사라진다. 11개 프레임워크를 하나의 허브에 대비해 한눈에 보여 주는 적용 범위 매트릭스부터 시작하라.

질문

어떤 프레임워크가 가장 좋은 허브가 될까?

범위가 넓고, 안정적이며, 잘 매핑된 프레임워크여야 한다. NIST CSF 2.0은 NIST 등이 이에 대한 매핑을 공개하고 있어 강력한 선택지이며, ISO 27001은 어차피 이 표준으로 인증을 받는 조직에 잘 맞는다.

공통 통제 프레임워크란 무엇인가?

단일한 내부 통제 세트로, 각 통제는 조직이 응답해야 하는 모든 외부 프레임워크의 해당 요구사항에 매핑된다.

GRC 도구가 허브 역할을 할 수 있을까?

GRC 도구는 허브와 매핑을 보관할 수 있지만, 허브는 도구의 설정이 아니라 설계 선택이다. 통제를 조직하는 하나의 구조이므로, 먼저 이를 정한 뒤에 도구를 설정하라.