개방형·무료 컴플라이언스 데이터가 필요한 이유

여기 컴플라이언스 업계에 관한 이상한 사실이 있습니다. 수만 개의 조직이 둘 이상의 보안 프레임워크에 대응해야 합니다. 각 조직은 그 프레임워크들이 서로 어떻게 연관되는지 알아야 합니다. 그런데 거의 모든 조직이 그 지식을 따로 만들거나 구매합니다. 컨설턴트의 스프레드시트, 플랫폼의 독점 대응표, 분석가가 주말에 쓴 시간 등입니다. 같은 매핑이 반복해서 다시 만들어지고, 거의 검증되지 않으며, 공유되지 않습니다.

매핑은 사실상 공통 지식입니다

ISO 27001의 A.8.24가 PCI DSS 3.5.1과 관련되는지 여부는 영업비밀이 아닙니다. 이는 공개된 두 문서에 관한 사실이며, 누구에게나 동일합니다. 이를 독점 데이터로 취급하면 세 가지 문제가 생깁니다:

• 중복. 업계는 같은 작업에 대해 여러 번 비용을 지불합니다.
• 오류의 지속. 비공개 매핑은 소유자가 검증하는데, 그것도 검증된다면 말입니다. 공개 매핑은 사용하는 모든 사람이 검증합니다.
• 책임성 부재. 볼 수 없는 매핑은 평가할 수 없으므로, 신중하게 만든 매핑과 부주의하게 만든 매핑을 구별할 수 없습니다. 저희는 검증할 수 없는 대응표의 문제에 대해 이미 글을 썼습니다.

공공 부문은 이미 이를 실천하고 있습니다

가장 권위 있는 대응표는 이미 무료로 제공됩니다. NIST는 CSF 2.0 정보 참조와 SP 800-53 매핑을 공개하고, 제출된 대응표 카탈로그를 운영합니다. ENISA는 NIS2와 ISO 27001 및 CSF 간 매핑을 발행했습니다. ASD는 Essential Eight 통제를 포함한 ISM을 개방형 라이선스로 공개합니다. 이들은 누구나 사용할 수 있기 때문에 세계에서 가장 많이 활용되는 컴플라이언스 문서에 속합니다.

개방이 바꿔 놓을 것들

• 도구는 데이터 독점이 아니라 사용성으로 경쟁합니다. 가치는 워크플로, 증거, 자동화로 옮겨가며, 그곳이 가치가 있어야 할 자리입니다.
• 매핑이 더 빠르게 개선됩니다. 사용자가 보고한 오류가 모두를 위해 수정됩니다.
• 소규모 조직도 대규모 조직과 같은 품질을 얻습니다. 두 프레임워크가 어떻게 연관되는지 알기 위해 플랫폼 비용을 지불할 필요가 없습니다.
• 감사인과 규제기관이 매핑을 신뢰하는 대신 그 근거를 직접 검토할 수 있습니다.

한계는 어디에 있나요?

개방에는 한계가 있습니다. ISO, PCI SSC, AICPA는 자사 표준의 본문을 소유하며, 이는 존중되어야 합니다. 공개 매핑 데이터는 저작권이 있는 요구사항을 재수록하지 않고도 식별자, 짧은 제목, 근거를 공유할 수 있습니다. 또한 무료라고 해서 출처가 없어도 된다는 뜻은 아닙니다. 출처를 숨기는 공개 데이터는 다른 종류의 블랙박스일 뿐입니다.

좋은 공개 컴플라이언스 데이터에 필요한 것

개방만으로는 충분하지 않습니다. 매핑 데이터가 공유 자원으로서 실제로 유용하려면 다음이 필요합니다:

• 안정적인 식별자. 공식 카탈로그와 일치해야 하며, 두 프레임워크 중 하나가 변경될 때마다 검증되어야 합니다.
• 링크별 출처. 어떤 대응표 또는 어떤 판단에 따른 것인지, 그리고 그 이유.
• 프레임워크별 버전. 폐지된 요구사항은 명시적으로 처리되어야 합니다.
• 기계 판독 가능한 형식(CSV, 스프레드시트, JSON)과 웹 페이지 모두 제공.
• 명확한 라이선스. 상업적 사용을 포함한 재사용을 허용하되, 제3자 권리를 존중해야 합니다.
• 오류 신고 방법과 수정 이력 기록.

저희가 지향하는 기준이 바로 이것입니다. 방법론에서 각 항목을 어떻게 다루는지 설명합니다.

핵심 요약

• 조직은 같은 프레임워크 매핑을 비공개로 반복해서 다시 만듭니다.
• 가장 권위 있는 대응표(NIST, ENISA, ASD)는 이미 무료이며, 가장 많이 사용됩니다.
• 공개 데이터는 검증되고 수정됩니다. 비공개 매핑은 남들이 모른 채 낡아갑니다.
• 개방은 표준의 저작권을 존중하고 항상 출처를 보여야 합니다.
• 무료 데이터에도 유지보수가 필요합니다. 변경될 때마다 최신 카탈로그와 대조해 검증해야 합니다.

저희가 하는 일

ControlMapping의 다운로드 페이지는 전체 대응표(모든 주제, 요구사항 링크, 근거, 이유)를 CC BY 4.0으로 공개하며, 제3자 라이선스는 존중합니다. 방법론은 모든 출처와 규칙을 문서화합니다. 작은 기여이지만, 컴플라이언스 데이터가 따라야 할 모델이라고 생각합니다. 즉 공개되고, 출처가 명확하고, 버전이 관리되며, 누구나 자유롭게 개선할 수 있는 데이터입니다. 실수를 발견하시면 알려 주세요. 그래야 모두를 위해 수정될 수 있습니다.

질문

ControlMapping의 데이터는 자유롭게 재사용할 수 있나요?

네. ControlMapping 자체 작업물(주제 정의, 매핑 선택, 편집 콘텐츠 메모, 자체 요약)은 CC BY 4.0입니다. 제3자 자료는 각자의 라이선스를 유지합니다. NIST 콘텐츠는 퍼블릭 도메인이고, CIS 제목은 CC BY-NC-ND이며, ISO, PCI, AICPA의 본문은 재수록하지 않습니다.

왜 모든 프레임워크 대응표가 공개되어 있지 않나요?

일부 프레임워크 소유자는 표준과 매핑을 상업적으로 라이선스하며, 많은 벤더는 대응표를 제품 차별화 요소로 취급합니다.

ControlMapping 데이터를 상업용 제품에 사용할 수 있나요?

ControlMapping 자체 작업물은 CC BY 4.0이므로 출처 표시를 조건으로 상업적 사용이 허용됩니다. 제3자 자료는 각자의 라이선스를 유지합니다. 예를 들어 CIS 안전장치 제목은 CC BY-NC-ND입니다.