두 프레임워크 간 격차 분석을 수행하고 이를 추적 도구로 전환하는 방법

두 번째 프레임워크를 도입할 때마다 같은 질문에서 출발합니다. 이 중 우리가 이미 갖추고 있는 것은 얼마나 될까? 격차 분석은 이 질문에 답합니다. 잘못 수행하면 모든 항목에 "부분 준수"라고 표시된 스프레드시트가 만들어지고 다시는 열리지 않습니다. 잘 수행하면 담당자가 지정되고 비용이 산정된 작업 목록이 나옵니다. 아래는 저희가 사용하는 방법입니다.

1단계: 범위와 방향 확정

격차 분석에는 방향이 있습니다. 보유하고 있는 프레임워크(또는 현재 통제 항목)와 필요한 다른 프레임워크입니다. 두 가지를 버전과 함께 적고, 조직 범위(대상 법인, 서비스, 사업장)도 기록하십시오. 격차 분석은 두 범위가 일치하지 않을 때 가장 흔하게 실패합니다. 예를 들어 한 제품 라인만 포함하는 ISO 인증을 법인 전체에 적용되는 NIS2 의무와 비교하는 경우가 이에 해당합니다.

2단계: 요구사항별 비교 생성

빈 시트가 아니라 매핑에서 시작하십시오. ControlMapping의 격차 분석은 필요한 프레임워크의 모든 요구사항을, 보유한 프레임워크에서 대응하는 항목과 함께 나열합니다.

• 매핑됨: 공개된 대응표 또는 저희 편집 콘텐츠의 판단이 해당 요구사항을 보유 항목 중 하나와 연결합니다.
• 느슨하게 관련됨: 보유 항목과 결과(outcome)만 공유합니다. 대체로 새로운 작업으로 간주하십시오.
• 보유 데이터에 매핑 없음: 해당 프레임워크의 적용 범위가 부분적이지 않는 한 새로운 작업일 가능성이 큽니다.

예를 들어 ISO 27001에서 NIS2로 이동하는 경우는 다음과 같습니다.

NIS2의 요구사항 항목 49개 중 49개(100%)는 ISO 27001의 항목에 대응되고, 0개는 느슨하게만 관련되며, 0개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

3단계: 매핑을 실제 상황과 대조해 검증

매핑은 두 요구사항이 관련되어 있다고 말해 줄 뿐, 귀사의 구현이 두 가지를 모두 충족한다고 말해 주지는 않습니다. 매핑된 행마다 다음을 확인하십시오.

1. 매핑한 내용을 실제로 수행하고 있는가? ISO A.8.8 매핑은 취약점 관리가 실제로 작동할 때만 도움이 됩니다.
2. 새 요구사항이 더 구체적인가? 기한, 주기, 명시된 기법, 범위가 종종 다릅니다.
3. 그 연결이 편집 판단에 따른 것인가? 표시된 근거를 확인하고 동의할지 결정하십시오.

각 행을 충족, 부분 충족, 미충족 중 하나로 표시하십시오. 솔직해야 합니다. 관대한 격차 분석은 발견 사항을 감사 단계로 미룰 뿐입니다.

4단계: 추적 시트로 내보내기

격차 보기에서 e를 누르거나(또는 CSV 내보내기 버튼) 결과를 다운로드하십시오. 각 행에는 요구사항, 해당 섹션, 대응 항목, 근거, 사유가 포함되며, 작업을 위한 빈 열 네 개(담당자, 구현 상태, 증적 참조, 비고)가 함께 제공됩니다. 스프레드시트에서 열거나 GRC 도구로 가져오십시오.

5단계: 행을 작업으로 전환

• 요구사항 번호가 아닌 담당자와 주제별로 묶으십시오. "공급업체 계약"은 여섯 개 행을 닫을 수 있는 하나의 작업입니다.
• 각 그룹의 공수를 추정하고 순서를 정하십시오. 거버넌스 및 정책 변경이 보통 기술 작업의 병목을 해소합니다.
• 작업하면서 증적 열을 채우십시오. 그러면 추적 시트가 곧 감사 파일이 됩니다.
• 어느 한 프레임워크가 변경되면 분석을 다시 실행하십시오. 저희 데이터가 업데이트되면 결과도 함께 갱신됩니다.

핵심 요약

• 먼저 범위와 방향을 확정하십시오. A를 보유하고 B가 필요하며, 버전을 명시합니다.
• 매핑에서 시작해, 모든 대응 항목을 실제 수행 내용과 대조해 검증하십시오.
• 결과를 담당자, 상태, 증적 열이 있는 추적 시트로 내보내고, 행을 묶어 작업으로 전환하십시오.

흔한 실수

• 대체된 버전과 비교하는 것(CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1).
• "느슨하게 관련됨"을 충족된 것으로 취급하는 것.
• 매핑 밖의 요구사항을 완전히 무시하는 것. 사고 보고 기한 같은 법적 의무는 종종 어떤 통제 카탈로그에도 포함되지 않습니다.

실제 사례는 ISO 27001 vs NIS2 항목별 비교와 비교 자료를 참고하십시오. 각각이 그대로 사용할 수 있는 양방향 격차 분석입니다.

질문

컴플라이언스 격차 분석이란 무엇인가요?

이미 수행 중인 항목(또는 이미 충족한 프레임워크)을 필요한 프레임워크의 요구사항과 요구사항별로 비교하여, 충족된 부분, 부분적으로 충족된 부분, 누락된 부분을 식별하는 작업입니다.

격차 분석에는 얼마나 걸리나요?

ControlMapping의 격차 분석 같은 도구를 사용하면 매핑은 몇 분 안에 만들 수 있습니다. 실제 통제 항목과 증적을 기준으로 검증하는 것이 실질적인 작업이며, 범위에 따라 보통 며칠에서 몇 주가 걸립니다.

격차 분석에서 '느슨하게 관련됨'은 무엇을 의미하나요?

두 요구사항은 NIST CSF 2.0 결과(outcome)를 공유할 뿐이며, 누구도 둘을 서로 매핑하지 않았습니다. 확인이 필요한 단서로 보되, 보통은 충족 근거가 아니라 새로운 작업으로 취급하십시오.