로깅 및 로그 보존 요구사항 비교
거의 모든 주요 프레임워크가 감사 로그를 요구합니다. 그런데 보존 기간을 명시한 곳은 놀라울 만큼 적습니다. 어떤 프레임워크가 기간을 정하고 어떤 곳이 정하지 않는지, 그리고 이 모두를 충족하는 기간을 어떻게 고를지 정리했습니다.
이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.
감사 로깅은 거의 보편적입니다. 저희가 매핑한 11개 프레임워크 중 10개가 이를 요구합니다(GDPR이 예외이지만, 그 경우에도 침해 사고를 조사하려면 로그가 필요합니다). 요구사항은 두 가지 측면에서 다릅니다. 무엇을 기록할지, 그리고 얼마나 오래 보관할지입니다. 두 번째 항목에서 팀들이 가장 자주 막히는데, 기간을 명시하는 프레임워크가 일부에 불과하기 때문입니다.
누가 무엇을 요구하는가
| 프레임워크 | 로깅 및 감사 | 링크 |
|---|---|---|
| NIST CSF 2.0 | PR.PS-04DE.AE-03 | 주제 정의 |
| ISO 27001 | A.8.15A.8.17 | 대응표 |
| CIS v8.1 | CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12 | 대응표 |
| SOC 2 | CC7.2 | 편집 콘텐츠 |
| PCI DSS | 10.2.110.3.210.5.110.6.1 | 대응표 |
| CMMC | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | 대응표 |
| 800-53 | AU-2AU-3AU-11AU-12 | 대응표 |
| HIPAA | §164.312(b) | 대응표 |
| GDPR | — | 보유 데이터에 매핑 없음 |
| NIS2 | 3.2 | 대응표 |
| Essential Eight | ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623 | 편집 콘텐츠 |
모든 연결의 상세 내용과 근거: 프레임워크별 로깅 및 감사 →
무엇을 기록할 것인가
가장 구체적인 프레임워크는 이벤트를 나열합니다. PCI DSS는 카드 소유자 데이터에 대한 개별 사용자 접근, 모든 관리 작업, 로그 자체에 대한 접근, 잘못된 접근 시도, 식별 및 인증 자격 증명 변경, 로깅의 시작과 중지, 시스템 수준 객체의 생성 및 삭제를 기록하도록 요구합니다(10.2.1.1~10.2.1.7). 각 로그에는 사용자, 유형, 시각, 결과, 출처가 포함되어야 합니다(10.2.2). CIS Controls는 상세한 DNS, URL, 명령줄 로그를 추가합니다(8.5~8.8). SP 800-53과 CMMC는 기록할 이벤트를 정의하도록 요구합니다(AU-2; AU.L2-3.3.1). ISO 27001(A.8.15)과 SOC 2(CC7.2)는 위험에 맞는 로깅을 요구합니다.
로그를 얼마나 보관할 것인가
| 프레임워크 | 보존 기간 |
|---|---|
| PCI DSS | 최소 12개월, 최근 3개월은 즉시 조회 가능 상태로 유지(10.5.1) |
| CIS Controls | 최소 90일(8.10) |
| SP 800-53 | 조직이 정의한 기간(AU-11) |
| CMMC Level 2 | 모니터링, 분석, 조사 및 보고에 필요한 기간(AU.L2-3.3.1) |
| ISO 27001, SOC 2 | 명시되지 않음. 위험 평가와 법적 의무에 따라 설정 |
| HIPAA | 로그에 대해서는 명시되지 않음(6년 규정은 문서에 적용됨) |
보존 기간 선택하기
PCI DSS가 환경의 어떤 부분에라도 적용된다면, 12개월과 3개월 즉시 조회 가능이 명백한 기준선이며, CIS 최소 요건도 충분히 충족합니다. 그 외의 조직에도 합리적인 기본값입니다. 몇 달 뒤에야 발견되는 사고(실제로 많습니다)를 조사할 만큼 길고, 저장 비용 측면에서도 감당할 만큼 짧습니다. 소속 분야의 법률과 계약 조건에 맞게 조정하고, 그 결정과 근거를 기록하세요. ISO 및 SOC 2 감사인이 바로 이 부분을 확인합니다.
기간뿐 아니라 무엇을 보관할지
보존 기간은 조사에 중요한 로그에 적용됩니다. 실무적인 등급 분류는 다음과 같습니다.
- 보안 관련 로그(인증, 특권 작업, 방화벽 및 EDR 이벤트, 민감 데이터 접근): 전체 보존 기간 적용, 변경으로부터 보호
- 운영 로그(애플리케이션 디버그 출력, 성능 지표): 보존 기간을 짧게 두고, 엔지니어링 필요에 따라 설정
- 개인정보가 포함된 로그: 보안에 필요한 만큼 보관하되 필요 이상으로 보관하지 않음. 이는 GDPR의 저장 제한 원칙을 충족하는 방법입니다.
등급을 로깅 정책에 명시하면 보존 결정이 가시화되고 정당성을 입증할 수 있습니다.
핵심 요약
- 11개 프레임워크 중 10개가 감사 로깅을 요구합니다.
- 보존 기간을 설정하는 곳은 PCI DSS와 CIS뿐입니다.
- 12개월 보관, 그중 3개월 즉시 조회 가능이 안전한 기본값입니다.
- 로그를 변조로부터 보호하고 보안 이벤트를 검토하세요. PCI DSS는 일일 검토를 요구합니다.
보존 이상의 과제
- 로그 변조 방지(PCI 10.3.2, CMMC AU.L2-3.3.8): 한 번 기록하면 수정할 수 없는 저장소나, 접근이 제한된 중앙 로그 플랫폼을 사용하세요.
- 시계 동기화(PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7). 그렇지 않으면 여러 시스템에 걸친 이벤트 상관 분석이 실패합니다.
- 검토: PCI는 보안 이벤트의 일일 검토를 요구합니다(10.4.1). 대부분의 다른 프레임워크도 정기 검토를 기대하며, 보통 자동화된 방식입니다.
로깅 및 감사 주제 페이지에서 출처와 함께 모든 요구사항을 확인할 수 있으며, 관련 SIEM / SOC 주제는 분석을 다룹니다. 격차 분석에서는 두 프레임워크를 전체적으로 비교할 수 있습니다.
질문
PCI DSS는 로그를 얼마나 오래 보관하도록 요구합니까?
최소 12개월의 감사 로그 이력을 유지해야 하며, 가장 최근 3개월은 분석을 위해 즉시 조회할 수 있어야 합니다(10.5.1).
HIPAA는 로그 보존 기간을 정하고 있습니까?
아니요. 보안 규칙(Security Rule)은 감사 통제(§164.312(b))를 요구하지만 로그 보존 기간은 정하지 않습니다. 6년 보존 요건은 정책 등 필수 문서에 적용되며, 감사 로그에는 적용되지 않습니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-27Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교영국의 Cyber Essentials와 호주의 Essential Eight은 모두 흔한 공격을 겨냥하지만, 다루는 범위가 다릅니다. 무엇이 겹치고 무엇이 겹치지 않는지, 그 이유는 무엇인지 살펴봅니다.
분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.