정책 세트 하나를 다시 작성하지 않고 여러 프레임워크에 매핑하기

흔한 패턴이 있습니다. 회사가 ISO 27001용 정책 세트를 작성하고, 고객이 SOC 2를 요청하자 두 번째 템플릿 패키지를 구매하며, 이후 PCI DSS가 자체 요구사항과 함께 들어옵니다. 서로 겹치는 정책 세트 세 개가 생기고, 각각 조금씩 오래되었으며, 실제로 사람들이 하는 일과 맞는 것은 없습니다. 정책은 프레임워크별로 만들 필요가 없습니다. 조직에 맞게 작성하고 매핑하면 됩니다.

구조: 세 개의 계층

1. 하나의 정보보안 정책: 짧게 작성하고 경영진이 승인하며, 목표, 적용 범위, 책임 및 의지를 명시합니다. ISO 27001 5.2항과 PCI DSS 12.1.1은 모두 이를 요구합니다.
2. 주제별 정책(약 12개): 접근 통제, 허용 가능한 사용, 자산 관리, 암호화, 사고 대응, 업무 연속성, 공급업체 보안, 보안 개발, 취약점 및 패치 관리, 로깅 및 모니터링, 물리적 보안, 인사 보안.
3. 그 아래의 절차 및 표준: 주기, 설정 및 단계가 들어 있는 곳입니다. 이들은 더 자주 변경되므로 매번 경영진의 승인이 필요하지 않아야 합니다.

프레임워크별 세부 사항은 정책이 아니라 절차에 담으십시오. “접근 권한은 6개월마다 검토한다”는 접근 검토 절차에 두어야 하며, 그래야 PCI DSS의 주기 요구사항을 정책을 비대하게 만들지 않고 담을 수 있습니다.

다시 쓰지 말고 매핑하기

정책 섹션마다 한 행씩, 각 프레임워크에서 해당 섹션이 다루는 요구사항을 적은 매핑 표를 유지하십시오. 거버넌스 정책 주제는 최상위 수준에서 각 프레임워크가 기대하는 바를 보여 줍니다:

프레임워크	거버넌스 정책	링크
NIST CSF 2.0	GV.PO-01GV.PO-02	주제 정의
ISO 27001	A.5.1A.5.37Clause 5.2	대응표
CIS v8.1	—	보유 데이터에 매핑 없음
SOC 2	CC5.3CC1.1	편집 콘텐츠
PCI DSS	12.1.112.1.2	대응표
CMMC	—	보유 데이터에 매핑 없음
800-53	PM-1PL-1	대응표
HIPAA	§164.316(a)§164.316(b)(2)(iii)	대응표
GDPR	Art.24(2)	편집 콘텐츠
NIS2	1.1	대응표
Essential Eight	—	보유 데이터에 매핑 없음

모든 연결의 상세 내용과 근거: 프레임워크별 거버넌스 정책 →

새로운 프레임워크가 도입되면 격차 분석을 수행하고 거버넌스 및 정책 요구사항을 살펴보십시오. 대부분은 이미 보유한 정책에 매핑되며, 나머지는 새 섹션이나 절차가 됩니다.

프레임워크가 문서로 구체적으로 요구하는 사항

• ISO 27001: 정보보안 정책(5.2)과 필요에 따른 주제별 정책(A.5.1). 이들은 전달되고 검토되어야 합니다.
• SOC 2: 기대 사항을 확립하고 절차를 통해 실행하는 정책(CC5.3).
• PCI DSS: 12개 요구사항 각각에 대해 문서화되고 최신 상태인 정책과 절차(x.1.1) 및 할당된 역할(x.1.2). 최소 연 1회 검토해야 합니다.
• NIS2: 네트워크 및 정보 시스템 보안에 관한 정책과 주제별 정책(이행규정 1항).
• NIST CSF 2.0: 정책이 수립되고, 전달되며, 시행된다(GV.PO).

최소 정책 세트

대부분의 중소기업에서 다음 문서들은 ISO 27001, SOC 2, NIST CSF, PCI DSS, NIS2의 정책 요구사항을 충족합니다:

1. 정보보안 정책(최상위, 경영진 승인)
2. 허용 가능한 사용 정책
3. 접근 통제 정책
4. 자산 관리 및 데이터 분류 정책
5. 암호화 정책
6. 보안 개발 및 변경 관리 정책
7. 취약점 및 패치 관리 정책
8. 로깅 및 모니터링 정책
9. 사고 대응 정책(보고 의무 포함)
10. 업무 연속성 및 백업 정책
11. 공급업체 보안 정책
12. 인적자원 보안 정책
13. 물리적 보안 정책

13개 문서이며, 대부분 몇 쪽 분량이고, 각각 담당자와 검토 일자가 있습니다. 세부 내용은 절차가 담당하며, 절차는 더 자주 변경됩니다.

핵심 요약

• 정책은 프레임워크별이 아니라 조직에 맞게 작성하고 매핑해야 합니다.
• 주기와 설정은 절차에 담으십시오.
• 짧은 정책 13개로 대부분의 프레임워크를 충족할 수 있습니다.
• PCI DSS는 정책과 절차를 최소 연 1회 검토할 것을 요구합니다.

최신 상태 유지하기

• 실제로 하는 일을 기술하십시오. 템플릿이 말하는 내용이 아니라. 감사인은 정책을 실제 관행과 대조하여 검증합니다.
• 연 1회 검토하고, 중대한 변경 후에도 검토하며, 승인 기록을 남기십시오.
• 완전한 것보다 짧은 것이 낫습니다: 사람들이 실제로 읽는 2쪽짜리 접근 통제 정책이, 아무도 읽지 않는 20쪽짜리보다 낫습니다.

같은 아이디어에 기반한 전체 공통 통제 세트는 SOC 2와 ISO 27001을 위한 하나의 통제 세트를 참고하십시오.

질문

보안 정책은 몇 개나 필요할까요?

대부분의 템플릿이 제시하는 것보다 적습니다. 최상위 정보보안 정책과 12개 안팎의 주제별 정책(접근, 허용 가능한 사용, 사고 대응, 공급업체 보안 등)이면 보통 ISO 27001, SOC 2, NIST, PCI DSS를 충족합니다.

PCI DSS는 특정 정책을 요구하나요?

예. 각 PCI DSS 요구사항은 해당 영역에 대해 문서화되고 최신 상태인 정책과 절차(x.1.1)와 역할 및 책임(x.1.2)을 요구하는 것으로 시작합니다.