ISO 27001, SOC 2, HIPAA에 공통으로 쓰는 하나의 위험 평가
ISO 27001, SOC 2, HIPAA는 모두 위험 평가에서 출발합니다. 세 감사인을 모두 만족시키도록 설계되었다면 하나만 있으면 됩니다.
이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.
위험 평가는 가장 흔한 프레임워크 세 가지가 출발하는 지점입니다. ISO 27001은 모든 것을 이 위에 구축합니다(6.1.2항). SOC 2는 공통 기준의 한 섹션을 위험 평가에 할애합니다(CC3.1~CC3.4). HIPAA 보안 규칙은 위험 분석을 첫 번째 필수 구현 명세로 규정하고(§164.308(a)(1)(ii)(A)), HHS 조사관이 가장 먼저 요청하는 문서이기도 합니다. 많은 조직이 세 번 수행합니다. 한 번이면 충분합니다.
프레임워크별 점검 항목
- ISO 27001은 정의되고 반복 가능한 방법, 수용 기준, 기밀성·무결성·가용성에 대해 식별된 위험, 책임자, 발생 가능성과 결과에 대한 분석, 그리고 위험 처리 및 적용성 선언서(Statement of Applicability)와의 연계를 요구합니다.
- SOC 2는 위험을 식별할 수 있을 만큼 명확하게 명시된 목표(CC3.1), 조직 전체에 걸쳐 식별·분석된 위험(CC3.2), 사기 위험의 고려(CC3.3), 변경에 대한 평가(CC3.4)를 요구합니다.
- HIPAA는 ePHI가 생성, 수신, 보관, 전송되는 모든 위치를 포함하여 ePHI에 대한 위험과 취약점을 정확하고 철저하게 평가하고, 이를 최신 상태로 유지하며 위험 관리로 이어질 것을 요구합니다(§164.308(a)(1)(ii)(B)).
이 요구사항들은 우리 데이터에서 직접 연결됩니다:
| 프레임워크 | 위험 평가 | 링크 |
|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | 주제 정의 |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | 대응표 |
| CIS v8.1 | — | 보유 데이터에 매핑 없음 |
| SOC 2 | CC3.2CC3.4CC3.3 | 편집 콘텐츠 |
| PCI DSS | 12.3.1 | 대응표 |
| CMMC | RA.L2-3.11.1 | 대응표 |
| 800-53 | RA-3RA-7 | 대응표 |
| HIPAA | §164.308(a)(1)(ii)(A) | 대응표 |
| GDPR | Art.35(1)Art.35(7) | 편집 콘텐츠 |
| NIS2 | 2.1 | 대응표 |
| Essential Eight | — | 보유 데이터에 매핑 없음 |
모든 연결의 상세 내용과 근거: 프레임워크별 위험 평가 →
세 프레임워크를 모두 충족하는 하나의 평가 설계
- 모든 것을 포괄하도록 범위 설정: ISMS 범위, SOC 2 시스템, ePHI가 있는 모든 위치를 포함합니다. 어떤 자산이 어떤 프레임워크에 해당하는지 기록합니다.
- 하나의 방법 사용: 자산 기반 또는 시나리오 기반으로, 발생 가능성과 영향 척도, 수용 기준, 책임자를 갖춥니다. 문서화되고 반복 가능한 방법에 대한 ISO 요구사항이 가장 엄격하므로 이를 충족시킵니다.
- 프레임워크별 점검 항목 추가: 사기 위험(SOC 2 CC3.3), ePHI 특화 위협과 취약점(HIPAA), 법적 및 계약상 위험.
- 모든 위험을 처리와 연결: 선택한 통제, 잔여 위험, 책임자의 수용 여부. 이 하나의 표가 ISO 적용성 선언서, SOC 2의 통제 활동, HIPAA의 위험 관리에 모두 제공됩니다.
세 감사인을 모두 만족시키는 산출물
- 승인된 방법론.
- 책임자, 점수, 처리 결정이 포함된 위험 등록부.
- 일정이 포함된 위험 처리 계획.
- 잔여 위험에 대한 책임자의 수용 기록.
- 최소 연 1회 및 중대한 변경 이후 검토했다는 증거.
간단한 위험 등록부 형식
행 하나에 위험 하나를 기록하면 세 프레임워크 모두에 대응할 수 있습니다:
| 항목 | 예시 |
|---|---|
| 위험 | 랜섬웨어가 운영 데이터베이스를 암호화 |
| 자산 | 운영 데이터베이스, 백업, ePHI 저장소 |
| 프레임워크 | ISO 27001, SOC 2, HIPAA |
| 발생 가능성과 영향 | 가능, 심각 |
| 기존 통제 | MFA, EDR, 일일 백업 |
| 처리 | 백업 격리; 복원 테스트 분기별 실시 |
| 책임자 | 인프라 본부장 |
| 잔여 위험 및 수용 | 중간, CTO 수용 |
| 검토 일자 | 다음 분기 |
프레임워크 열이 핵심입니다. 이 열 덕분에 스프레드시트 세 개 없이도 하나의 등록부로 세 감사인의 질문에 답할 수 있습니다.
핵심 요약
- 하나의 방법론과 하나의 등록부로 ISO 27001, SOC 2, HIPAA를 모두 충족할 수 있습니다.
- 프레임워크별 점검 항목을 추가하세요: 사기 위험과 ePHI 위치.
- 최소 연 1회 및 중대한 변경 이후 검토하세요.
흔한 지적 사항
- 일반적인 위험(“해커”, “데이터 유출”)이 특정 자산이나 통제와 연결되지 않은 경우.
- 책임자 부재, 또는 보안팀이 모든 위험을 소유한 경우.
- ePHI 위치 누락: 내보내기, 백업, 이메일, 테스트 시스템.
- 최신 상태 아님: 첫 감사를 위해 한 번 평가하고 이후 다시 하지 않은 경우.
이 프레임워크들의 관계에 대해 더 알고 싶다면 ISO 27001 vs HIPAA 비교와 위험 평가 주제를 참고하세요. 격차 분석에서는 두 프레임워크 간의 모든 매핑을 확인할 수 있습니다.
질문
HIPAA 위험 분석은 ISO 27001 위험 평가와 같은가요?
두 가지는 상당 부분 겹칩니다. HIPAA는 ePHI의 기밀성, 무결성, 가용성에 대한 위험을 정확하고 철저하게 평가할 것을 요구하며, ePHI를 범위에 포함하고 HIPAA 고유 요소를 기록한 ISO 27001 위험 평가는 두 요구를 모두 충족할 수 있습니다.
위험 평가는 얼마나 자주 수행해야 하나요?
ISO 27001은 계획된 주기와 중대한 변경 이후에 위험 평가를 요구합니다. SOC 2 감사인은 일반적으로 최소 연 1회 위험 평가를 기대합니다. HIPAA는 위험 분석을 최신 상태로 유지할 것을 요구합니다.
위험 평가는 정성적이어야 하나요, 정량적이어야 하나요?
방법이 정의되고 일관되게 적용되어 비교 가능한 결과를 낸다면 세 프레임워크 모두에 어느 쪽이든 가능합니다. 대부분의 조직은 정성적 방식으로 시작하고, 결정에 필요한 곳에 수치를 추가합니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-1311개 보안 프레임워크의 MFA 요구사항 비교어떤 프레임워크가 MFA를 요구하는지, 대상과 강도는 어떠한지 확인하세요. PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, HIPAA를 한눈에 비교합니다.
분석 · 2026-09-29NIST CSF 2.0 관점에서 본 HIPAA 보안 규칙NIST CSF 2.0 프로그램은 HIPAA 보안 규칙의 요구사항 거의 전부와 대응됩니다. 그대로 이어지는 부분, 대응되지 않는 두 가지, 그리고 CSF가 HIPAA를 넘어 추가로 다루는 내용을 정리했습니다.