cm/controlmapping
한국어
English中文Españolالعربية日本語हिन्दीDeutschFrançaisPortuguês한국어ItalianoBahasa IndonesiaРусский
출처
분석 · PCI DSS · CMMC · NIS2 · Essential Eight · ISO 27001

11개 보안 프레임워크의 MFA 요구사항 비교

MFA가 중요하다는 점에는 모두 동의하지만, 프레임워크마다 어디에서 의무화하는지, 어떤 사용자에게 적용하는지, 얼마나 강력해야 하는지는 서로 다릅니다. 요구사항 ID와 함께 비교해 보겠습니다.

기준 · · 읽는 시간 2분

이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.

두 개의 서로 다른 열쇠 구멍이 있는 문과 그 옆에 놓인 모양이 다른 두 개의 열쇠를 그린 리소그래프 스타일 인쇄물
두 가지 요소, 두 개의 잠금장치.

다중 인증은 침해 사고 후 가장 자주 거론되는 단일 통제입니다: "해당 계정에 MFA가 없었다." 또한 프레임워크마다 차이가 큰 통제이기도 합니다. 일부는 특정 사용자와 접근 경로에 대해 MFA를 명시적으로 규정하고, 다른 일부는 "보안 인증"을 요구하면서 방식은 위험 평가에 맡깁니다. 하나는 MFA를 전혀 언급하지 않습니다.

누구에게 무엇을 요구하는가

프레임워크다단계 인증링크
NIST CSF 2.0PR.AA-03주제 정의
ISO 27001A.8.5대응표
CIS v8.1CIS 6.3CIS 6.4CIS 6.5편집 콘텐츠
SOC 2CC6.1편집 콘텐츠
PCI DSS8.4.18.4.28.4.38.5.1편집 콘텐츠
CMMCIA.L2-3.5.3대응표
800-53IA-2(1)IA-2(2)대응표
HIPAA—느슨하게 관련됨
GDPR—보유 데이터에 매핑 없음
NIS211.611.7대응표
Essential EightISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872편집 콘텐츠

모든 연결의 상세 내용과 근거: 프레임워크별 다단계 인증 →

명시적 요구사항

  • PCI DSS v4.0.1이 가장 구체적입니다. 카드 소유자 데이터 환경(CDE)에 대한 콘솔 외 관리자 접근(8.4.1), CDE에 대한 모든 접근(8.4.2), 원격 네트워크 접근(8.4.3)에 MFA를 요구합니다. 2025년 3월 31일부터 8.4.2는 관리자뿐 아니라 모든 사용자에게 적용됩니다. 8.5.1은 재생 공격과 우회 등에 대비해 MFA 시스템 자체의 구성 방식에 관한 요구사항을 추가합니다.
  • CMMC Level 2(IA.L2-3.5.3)는 특권 계정에 대한 로컬 및 네트워크 접근과 비특권 계정에 대한 네트워크 접근에 MFA를 요구합니다.
  • NIST SP 800-53은 IA-2(1)과 IA-2(2)를 통해 특권 및 비특권 계정 모두에 MFA를 요구합니다.
  • CIS Controls v8.1은 외부에 노출된 애플리케이션(6.3), 원격 네트워크 접근(6.4), 관리자 접근(6.5)에 MFA를 요구합니다.
  • NIS2 이행규정(11.7항)은 접근하는 시스템의 분류에 맞추어, 적절한 경우 다중 요소 또는 지속적 인증을 요구합니다. 지침 자체는 MFA를 제21조 조치 중 하나로 열거합니다.
  • Essential Eight는 8개 전략 중 하나로 MFA를 포함하며, 성숙도 수준마다 요구사항이 확장됩니다. 수준 1에서는 온라인 서비스와 원격 접근을, 특권 사용자와 데이터 저장소를 거쳐, 상위 수준에서는 피싱 저항형 MFA까지 요구합니다.

암묵적 요구사항

ISO 27001은 보안 인증(A.8.5)을 요구하고, ISO/IEC 27002의 지침은 중요 시스템에 대한 MFA를 가리키지만, 표준은 선택을 위험 처리에 맡깁니다. SOC 2에는 MFA 기준이 없으며, 감사인은 이를 논리적 접근 통제(CC6.1)의 일부로 검토하고, 실무에서는 대부분 원격 접근과 특권 접근에 MFA를 기대합니다. HIPAA 보안 규칙 현행 버전은 개인 또는 기관 인증(§164.312(d))을 요구하지만 방법은 명시하지 않습니다. HHS는 2025년 1월 MFA를 요구하도록 제안했습니다. GDPR은 위험에 적합한 보안을 요구하며 구체적인 통제는 명시하지 않습니다.

열쇠고리에 달린 작은 하드웨어 보안 키와, 나무 책상 위에 엎어 놓은 스마트폰을 찍은 사진
가장 엄격한 프레임워크들이 향하는 방향은 피싱 저항형 인증자입니다.

프레임워크의 방향: 피싱 저항성

방향은 분명합니다. NIST의 디지털 신원 가이드라인(SP 800-63B)과 CISA는 SMS나 앱으로 전송되는 일회용 코드보다 FIDO2 보안 키, 패스키와 같은 피싱 저항형 인증자를 선호합니다. Essential Eight는 상위 성숙도 수준에 피싱 저항성을 포함합니다. 지금 MFA 방식을 선택한다면, 직면할 수 있는 가장 엄격한 프레임워크를 기준으로 설계하십시오. 먼저 관리자와 원격 접근에 피싱 저항형을 적용하고, 이후 모든 사용자로 확대합니다.

핵심 요약

  • PCI DSS, CMMC, SP 800-53, CIS, NIS2, Essential Eight는 MFA를 명시적으로 규정합니다.
  • ISO 27001과 SOC 2는 MFA를 함축하며, HIPAA는 머지않아 이를 요구할 수 있습니다.
  • 지금 피싱 저항형 MFA를 설계하되, 관리자와 원격 접근부터 시작하십시오.

실무 기준선

  1. 원격 접근 전반에 MFA 적용: VPN, 원격 데스크톱, 클라우드 콘솔, 이메일, 외부에 노출된 모든 애플리케이션.
  2. 모든 특권 작업에 MFA 적용, CMMC가 적용되는 경우 로컬 관리자 접근 포함.
  3. 민감 데이터에 접근할 수 있는 모든 사용자에게 MFA 적용(PCI의 "CDE에 대한 모든 접근").
  4. 관리자에게는 지금 피싱 저항형 방식 적용, 가능한 한 빨리 모든 사용자로 확대.
  5. MFA 이벤트 로그 기록, 실패 및 신규 등록에 대해 경고 설정.

다중 인증 주제 페이지에서는 출처와 함께 모든 요구사항 ID를 확인할 수 있으며, 격차 분석에서는 현재 프레임워크의 MFA 요구사항이 다음에 필요한 프레임워크와 어떻게 비교되는지 보여 줍니다.

질문

어떤 프레임워크가 MFA를 명시적으로 요구하나요?

PCI DSS v4.0.1(8.4.1–8.4.3), CMMC Level 2(IA.L2-3.5.3), SP 800-53(IA-2(1) 및 IA-2(2)), CIS Controls(6.3–6.5), NIS2 이행규정(11.7), Essential Eight. ISO 27001과 SOC 2는 MFA를 명시하지 않고 보안 인증을 요구합니다.

HIPAA는 MFA를 요구하나요?

현행 보안 규칙은 MFA를 구체적으로 요구하지 않고 개인 또는 기관 인증을 요구합니다. HHS는 2025년 1월 MFA를 요구하도록 제안했으며, 해당 내용이 최종 확정되었는지 확인하십시오.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

관련 게시물

분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.분석 · 2026-10-27Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교영국의 Cyber Essentials와 호주의 Essential Eight은 모두 흔한 공격을 겨냥하지만, 다루는 범위가 다릅니다. 무엇이 겹치고 무엇이 겹치지 않는지, 그 이유는 무엇인지 살펴봅니다.분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.