대응표 읽는 법과 신뢰하지 말아야 할 때
대응표는 다중 프레임워크 컴플라이언스의 핵심 도구이지만, 가장 잘못 쓰이는 도구이기도 합니다. 다섯 가지 질문으로 대응표를 어느 정도까지 신뢰할 수 있는지 판단할 수 있습니다.
대응표는 두 프레임워크의 요구사항 사이를 잇는 매핑입니다. 격차 분석은 이를 통해 ISO 27001의 A.8.24가 PCI DSS 3.5.1과 관련된다는 사실을 파악하고, GRC 도구는 이를 바탕으로 하나의 통제가 여섯 개 프레임워크를 "충족한다"고 주장합니다. 잘 활용하면 대응표는 막대한 노력을 덜어줍니다. 비판 없이 사용하면 감사인이 무너뜨리는 확신에 찬 답을 만들어냅니다. 다섯 가지 질문으로 대응표를 얼마나 신뢰할지 판단할 수 있습니다.
1. 누가 만들었는가?
권위는 크게 다릅니다. NIST, ENISA 또는 프레임워크 소유 기관이 발행한 대응표는 보통 공개 의견 수렴을 거쳤고 널리 쓰입니다. 벤더의 대응표는 신중하게 만들어졌을 수도 있고, 주니어 분석가가 오후 한나절에 만든 것일 수도 있습니다. 당사 데이터는 모든 링크에 대응표(발행된 대응표가 뒷받침함) 또는 편집 콘텐츠(당사 판단이며 근거 명시)라고 표시합니다. 발행된 근거에 얼마나 많은 매핑이 기대고 있는지에 관한 글에서 보듯, 이 구분은 많은 것을 드러냅니다.
2. 어떤 버전인가?
매핑은 시간이 지나면 낡습니다. CSF 1.1 기준 대응표는 더 이상 존재하지 않는 하위 범주를 가리키고(폐지된 항목이 어디로 갔는지 참고), ISO 27001:2013 기준 대응표는 2022년 전환과 함께 끝난 통제 번호 체계를 사용하며, PCI DSS v3.2.1 기준 대응표는 v4.0 요구사항을 놓칩니다. 다른 무엇보다 먼저 두 버전 모두 확인하십시오.
3. 한 줄이 무엇을 의미하는가?
NIST의 대응표 지침(NIST IR 8477)은 관계 유형을 구분합니다. 두 요구사항은 동등할 수 있고, 한쪽이 다른 쪽의 부분집합 또는 상위집합일 수 있으며, 단지 일부가 겹칠 수도 있습니다. 발행된 대응표 대부분은 어떤 관계인지 밝히지 않으므로, 두 요구사항을 잇는 선은 대개 '동등함'이 아니라 '관련됨'을 뜻합니다. 결론이 아니라 두 원문을 읽으라는 안내로 취급하십시오.
4. 어느 방향인가?
실제로 매핑은 대칭이 아닙니다. NIS2의 모든 항목은 ISO 27001의 무언가에 대응되지만, ISO 27001의 상당 부분은 NIS2 부속서에 대응하는 내용이 없습니다. 관리 체계에 해당하는 대응 항목이 없기 때문입니다. 대응표는 항상 질문의 방향에 맞춰 읽으십시오. '나는 A를 가지고 있다, B는 무엇을 추가로 요구하는가?' 격차 분석이 바로 이렇게 작동합니다:
| 방향 | 매핑됨 | 매핑 없음 | ||
|---|---|---|---|---|
| ISO 27001 보유 → NIS2 필요 | 49 / 49 (100%) | 0 | 0 | 보고서 → |
| NIS2 보유 → ISO 27001 필요 | 104 / 123 (85%) | 13 | 6 | 보고서 → |
5. 세분성은 어느 수준인가?
대응표는 요구사항 패밀리 전체("AC는 접근 통제에 대응")를 매핑하기도 하고 개별 요구사항을 매핑하기도 합니다. 패밀리 수준의 링크는 근거로서 거의 쓸모가 없습니다. 그 안의 모든 항목에 대해 참이기 때문입니다. NIST의 구버전 데이터는 일부 CSF 하위 범주를 SP 800-53의 모든 패밀리에 연결했는데, 당사는 바로 그 이유로 이런 링크를 해당 항목의 근거로 인정하지 않습니다.
대응표를 신뢰하지 말아야 할 때
- 출처나 버전이 명시되어 있지 않습니다.
- 모든 항목을 모든 항목에 연결합니다(패밀리 수준 또는 키워드 매핑의 신호).
- 매핑만으로 "완전한 준수"를 주장합니다.
- 프레임워크가 변경된 이후 업데이트되지 않았습니다.
- 두 특정 요구사항이 왜 연결되었는지 확인할 수 없습니다.
작업 예시
NIST가 발행한 참조에서 하나의 링크를 살펴보겠습니다: CSF 2.0 PR.AA-03(사용자, 서비스, 하드웨어가 인증됨)과 ISO 27001 A.8.5(보안 인증). 다섯 가지 질문을 적용합니다.
- 누가 만들었는가? NIST, CSF 2.0 정보 참조를 통해: 권위 있음.
- 어떤 버전인가? CSF 2.0과 ISO 27001:2022: 최신.
- 이 선은 무엇을 의미하는가? 관련된 결과. A.8.5는 보안 인증 기술과 절차를 요구하고, PR.AA-03은 인증이 이루어진다는 결과입니다. 가깝지만 동일하지는 않습니다.
- 어느 방향인가? A.8.5를 잘 충족하면 PR.AA-03을 달성하지만, PR.AA-03을 달성한다고 해서 A.8.5의 모든 측면이 증명되지는 않습니다.
- 세분성은 어느 수준인가? 요구사항 대 요구사항: 근거로 유용함.
결론: 강한 연결이며 계획 수립에는 좋지만, 감사에서 의존하기 전에 여전히 두 원문을 읽어볼 가치가 있습니다.
핵심 요약
- 출처, 버전, 의미, 방향, 세분성을 확인하십시오.
- 대응표는 무엇을 확인할지 찾는 데 쓰고, 결정을 내리는 데 쓰지 마십시오.
대응표를 잘 활용하는 방법
대응표는 확인할 대상을 찾는 데 사용하고, 완료 여부를 결정하는 데 사용하지 마십시오. 가장 권위 있는 출처에서 시작하고, 중요한 내용에 대해서는 두 요구사항 원문을 모두 읽고, 자신의 결론을 기록하십시오. 격차 분석은 모든 링크의 출처를 보여 주며, 방법론에는 당사의 출처와 버전이 나열되어 있습니다.
질문
대응표는 컴플라이언스를 입증하나요?
아니요. 대응표는 두 프레임워크의 요구사항이 관련된 결과를 다룬다는 것만 보여 줍니다. 귀사의 구현이 두 요구사항을 모두 충족하는지는 별개의 문제입니다.
권위 있는 대응표는 누가 발행하나요?
프레임워크 소유 기관과 공공 기관입니다: NIST(CSF 2.0 참조, SP 800-53에서 ISO 27001로, SP 800-171 부록 D), ENISA(NIS2에서 ISO 27001 및 CSF로), CIS와 PCI SSC(각자의 프레임워크에서 CSF 2.0으로).
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-1311개 보안 프레임워크의 MFA 요구사항 비교어떤 프레임워크가 MFA를 요구하는지, 대상과 강도는 어떠한지 확인하세요. PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, HIPAA를 한눈에 비교합니다.
분석 · 2026-09-29NIST CSF 2.0 관점에서 본 HIPAA 보안 규칙NIST CSF 2.0 프로그램은 HIPAA 보안 규칙의 요구사항 거의 전부와 대응됩니다. 그대로 이어지는 부분, 대응되지 않는 두 가지, 그리고 CSF가 HIPAA를 넘어 추가로 다루는 내용을 정리했습니다.