침해사고 대응 요구사항 비교

침해사고 대응은 모든 프레임워크가 요구하는 다섯 가지 주제 중 하나입니다. 계획은 서로 비슷하지만 보고 기한은 그렇지 않습니다. 아래에서 비교해 보겠습니다.

이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.

침해사고 대응은 공통 핵심 요구사항에 포함되며, 우리가 매핑하는 모든 프레임워크가 이를 요구합니다. 핵심 요구사항은 어디에서나 동일합니다. 즉, 계획, 자신의 역할을 아는 담당자, 그리고 탐지, 봉쇄, 복구, 교훈 도출을 수행하는 방법입니다. 차이는 테스트에 있으며, 무엇보다도 누구에게, 얼마나 빨리 알려야 하는지에 있습니다.

프레임워크별 요구사항

프레임워크	사고 대응	링크
NIST CSF 2.0	RS.MA-01 RS.MA-02 RS.MA-03 RS.MA-04 ID.IM-04	주제 정의
ISO 27001	A.5.24 A.5.25 A.5.26	대응표
CIS v8.1	CIS 17.1 CIS 17.4 CIS 17.5 CIS 17.7 CIS 17.9	대응표
SOC 2	CC7.4 CC7.3	편집 콘텐츠
PCI DSS	12.10.1 12.10.3 12.10.2 12.10.4	대응표
CMMC	IR.L2-3.6.1 IR.L2-3.6.3	대응표
800-53	IR-4 IR-8 IR-2 IR-3	대응표
HIPAA	§164.308(a)(6)§164.308(a)(6)(ii)	대응표
GDPR	Art.33(1)Art.33(5)	편집 콘텐츠
NIS2	3.1 3.5	대응표
Essential Eight	ISM-1819	편집 콘텐츠

모든 연결의 상세 내용과 근거: 프레임워크별 사고 대응 →

계획 수립

모든 프레임워크는 문서화된 침해사고 대응 역량을 기대합니다. ISO 27001의 사고 관리 계획, 평가 및 대응 통제(A.5.24~A.5.26), SOC 2의 사고 평가 및 대응(CC7.3, CC7.4), PCI DSS의 침해사고 대응 계획(12.10.1), CMMC의 사고 처리(IR.L2-3.6.1), HIPAA의 보안 사고 절차(§164.308(a)(6)), NIS2의 사고 처리 정책 및 대응(3.1항 및 3.5항)이 그렇습니다. 내용은 일관됩니다. 역할, 심각도 수준, 에스컬레이션, 봉쇄, 근절, 복구, 교훈 도출이 포함됩니다.

테스트

PCI DSS는 고정 주기를 정한 유일한 프레임워크입니다. 최소 연 1회 계획을 검토하고 테스트하며(12.10.2), 이를 운영하는 담당자를 교육합니다(12.10.4). CMMC와 SP 800-53은 정의한 주기에 따라 역량 테스트를 요구합니다(IR.L2-3.6.3, IR-3). CIS는 정기적인 훈련을 요구합니다(17.7). ISO 27001과 SOC 2는 주기를 정하지 않고 계획이 작동한다는 증거를 기대하며, 보통 연 1회 테이블탑 훈련으로 대응합니다.

야간의 작은 회의실 사진: 열린 노트북, 커피잔, 지워진 화이트보드, 의자에 걸쳐진 재킷 — 대부분의 사고는 업무 시간에 발생하지 않으며, 기한은 멈추지 않습니다.

보고 기한

여기서 프레임워크 간 차이가 실제로 큽니다:

프레임워크	통지 대상	기한
NIS2	CSIRT 또는 관할 당국	조기 경보는 24시간 이내, 통지는 72시간 이내, 최종 보고서는 1개월 이내
GDPR	감독기관(개인정보 침해)	침해를 인지한 시점부터 72시간 이내(제33조)
GDPR	위험이 높은 경우의 정보주체	부당한 지연 없이(제34조)
CMMC / DFARS	미국 국방부	DFARS 조항 252.204-7012에 따라 72시간 이내
HIPAA	영향을 받은 개인(위반 통지 규칙)	부당한 지연 없이, 최대 60일 이내
PCI DSS	결제 브랜드 및 매입사	각 브랜드의 절차에 따름(12.10.1)
ISO 27001, SOC 2	규제상 기한 없음	귀사의 계획과 계약에 따라 결정

하나의 사고가 여러 기한을 동시에 촉발할 수 있습니다. 개인정보를 저장하고 카드 결제를 처리하는 EU 클라우드 제공업체에 대한 랜섬웨어 공격은 같은 시간 안에 NIS2, GDPR, 결제 브랜드 절차를 모두 시작하게 만들 수 있습니다.

핵심 요약

모든 프레임워크는 침해사고 대응 계획을 요구하며, 그 내용은 일관됩니다.
보고 기한은 크게 다르며, NIS2의 24시간부터 HIPAA의 60일까지 걸쳐 있습니다.
하나의 사고가 여러 기한을 시작할 수 있으므로, 한 명의 조정 담당자가 이를 모두 관리해야 합니다.

실행 방법

하나의 계획을 작성하십시오. 가장 엄격한 내용 요구사항을 충족하고, 적용되는 모든 통지 의무를 기한, 수신자, 담당자와 함께 나열하십시오.
중대성 판단 주체를 정하십시오. NIS2의 24시간 기한은 중대 사고를 인지한 시점부터 시작되므로, 이 판단을 월요일까지 미룰 수 없습니다.
최소 연 1회 테스트하십시오(PCI의 규칙이 좋은 기본값입니다). 근무 시간 외 시나리오를 포함하십시오.
모든 사고와 침해 기록을 보관하십시오, 통지 여부와 관계없이. GDPR은 이를 요구하며(제33조 제5항), 모든 감사인이 물어볼 것입니다.

침해사고 대응 주제 페이지에서 출처와 함께 모든 요구사항을 확인할 수 있으며, 보고 주제에서는 통지를 다룹니다. NIS2 가이드에서는 보고 절차를 더 자세히 설명합니다.

질문

NIS2에 따른 침해사고 보고 기한은 어떻게 됩니까?

중대 사고를 인지한 시점부터 24시간 이내의 조기 경보, 72시간 이내의 사고 통지, 그리고 1개월 이내의 최종 보고서입니다.

침해사고 대응 계획은 얼마나 자주 테스트해야 합니까?

PCI DSS는 최소 연 1회 검토 및 테스트를 요구합니다(12.10.2). CMMC와 SP 800-53은 침해사고 대응 역량의 테스트를 요구합니다(IR.L2-3.6.3, IR-3). ISO 27001과 SOC 2는 테스트를 기대하지만 주기는 귀사에 맡깁니다.

ISO 27001은 침해사고 보고 기한을 설정합니까?

아니요. ISO 27001은 내부 보고 및 대응을 포함한 사고 관리를 요구하지만, 규제상 통지 기한은 없습니다. 기한은 법률(NIS2, GDPR), 계약, 산업 규정에서 나옵니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

프레임워크별 침해사고 대응 요구사항 비교