프레임워크 전반의 물리적 보안 요구사항

대부분의 보안팀은 이제 모든 것을 클라우드에서 운영하며 자물쇠와 카메라는 거의 생각하지 않습니다. 대부분의 프레임워크는 여전히 이를 요구하고, 감사인도 여전히 묻습니다.

이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.

물리적 보안은 현대 보안 프로그램에서 잊혀진 주제가 되었습니다. 워크로드는 타사의 데이터센터에서 실행되고, 직원은 재택근무를 하며, 사무실은 대부분 책상과 커피뿐입니다. 그럼에도 대부분의 프레임워크는 여전히 물리적 통제를 요구하며, 당사의 자체 매핑을 감사했을 때 매핑이 부족한 것으로 드러나 별도의 주제로 분리했습니다.

누가 무엇을 요구하는가

프레임워크	물리적 보안	링크
NIST CSF 2.0	PR.AA-06 DE.CM-02 PR.IR-02	주제 정의
ISO 27001	A.7.1 A.7.2 A.7.3 A.7.4 A.7.5 A.7.8 A.7.11 A.7.6 A.7.12	대응표
CIS v8.1	—	보유 데이터에 매핑 없음
SOC 2	CC6.4	편집 콘텐츠
PCI DSS	9.2.1 9.2.3 9.3.1 9.2.1.1 9.3.1.1 9.3.2	대응표
CMMC	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3 PE.L2-3.10.4 PE.L2-3.10.5 PE.L2-3.10.6	대응표
800-53	PE-2 PE-3 PE-6 PE-8 PE-13 PE-14	대응표
HIPAA	§164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c)	대응표
GDPR	—	보유 데이터에 매핑 없음
NIS2	13.1 13.2 13.3	대응표
Essential Eight	—	보유 데이터에 매핑 없음

모든 연결의 상세 내용과 근거: 프레임워크별 물리적 보안 →

가장 많이 요구하는 프레임워크

PCI DSS가 가장 상세합니다: 카드 소유자 데이터 시스템이 있는 시설의 출입 통제, 카메라 또는 출입 통제 시스템을 통한 민감 구역 모니터링, 방문자 승인 및 로그, 네트워크 잭과 하드웨어 제한, 보안 매체 보관 및 파기, 카드 판독 장치의 변조 점검(요구사항 9). CMMC Level 2에는 전체 패밀리가 있습니다: 물리적 접근 제한 및 모니터링, 방문자 동행, 접근 로그 보관, 접근 장치 관리, 대체 작업 장소에서의 CUI 보호(PE.L2-3.10.1 to 3.10.6). ISO 27001은 A.7 주제에 14개의 물리적 통제를 두며, 경계 및 출입 통제부터 클리어 데스크 정책, 장비 유지보수, 보안 폐기까지 포함합니다. HIPAA는 §164.310에 완전한 물리적 보호조치 세트를 둡니다.

요구하지 않는 프레임워크

CIS Controls는 v8에서 물리적 보안을 제외했습니다. GDPR과 Essential Eight는 이를 다루지 않습니다. SOC 2는 단일 기준(CC6.4)으로 이를 다루며, 클라우드 전용 기업의 감사인은 이에 대해 클라우드 제공업체 자체 보고서를 수용하는 경우가 많습니다.

사무실 문 옆에 출입 카드 리더기가 있고, 손잡이에 빈 출입 카드가 목걸이 줄에 걸려 매달려 있는 사진 — 클라우드 우선 기업에도 사무실, 노트북, 방문자는 있습니다.

클라우드 우선 기업에 감사인이 묻는 것

서버를 한 대도 소유하지 않더라도 다음과 같은 간단한 질문 목록을 예상하십시오:

어떤 클라우드 및 코로케이션 제공업체가 시스템을 호스팅하며, 해당 업체의 보증 보고서는 어디에 있습니까?
사무실 출입은 어떻게 통제하며, 열쇠나 출입 카드는 누가 보유합니까?
민감 정보가 노출되는 곳에서 방문자는 등록 후 동행하고 있습니까?
노트북을 분실하거나 도난당했을 때 어떻게 보호합니까(암호화, 원격 삭제, 보고 절차)?
드라이브, 노트북, 종이 문서는 어떻게 폐기합니까?

출입 시스템 내보내기, 방문자 로그, MDM 보고서, 폐기 증명서 등 약간의 증거와 함께 명확한 답변을 제시하면 대개 이 주제는 빠르게 종결됩니다.

핵심 요점

대부분의 프레임워크는 여전히 물리적 통제를 요구합니다.
클라우드 우선 기업은 데이터센터 보증과 사무실, 노트북, 매체에 대한 보안을 상속받습니다.
대면 카드 결제는 PCI의 물리적 요구사항을 다시 적용 범위에 포함시킵니다.
PCI DSS가 가장 상세하며, 방문자 로그와 카드 판독기의 변조 점검까지 포함합니다.

데이터센터 없이 충족하는 방법

자체 서버가 없는 기업의 경우, 물리적 보안은 네 가지로 요약됩니다:

데이터센터를 상속받으십시오. 클라우드 제공업체의 SOC 2 보고서나 ISO 인증이 해당 시설을 포함합니다. 범위를 확인하고, 이에 의존하고 있음을 자체 문서에 기록하십시오.
사무실을 적정 수준으로 보호하십시오. 출입 카드 접근, 방문자 등록, 민감 자료의 잠금 보관, 클리어 데스크 정책(ISO A.7.7).
노트북을 경계로 취급하십시오. 전체 디스크 암호화, 화면 잠금, 원격 삭제, 분실 장치 처리 절차가 과거 물리적 통제가 담당하던 대부분을 다룹니다.
매체와 폐기를 관리하십시오. 재사용 또는 폐기 전에 드라이브와 장치를 삭제하거나 파기하십시오(ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).

대면으로 카드 결제를 받는 경우, PCI DSS 요구사항 9를 꼼꼼히 확인하십시오. 판매 시점의 카드 판독 장치는 클라우드 네이티브 환경이더라도 물리적 통제를 다시 적용 범위에 포함시킵니다.

물리적 보안 주제 페이지에서는 출처와 함께 모든 요구사항을 확인할 수 있으며, 격차 분석에서는 새 프레임워크가 현재 보유한 프레임워크에 무엇을 추가하는지 보여줍니다.

질문

CIS Controls는 물리적 보안을 다루나요?

아니요. CIS Controls v8에서는 물리적 보안이 제외되었으며, 그래서 이 주제에 대한 매핑이 없습니다.

클라우드 전용 기업은 물리적 보안 요구사항을 어떻게 충족하나요?

데이터센터에 대해서는 클라우드 제공업체의 보증(예: SOC 2 보고서 또는 ISO 인증)에 의존하고, 자체 사무실, 장치, 매체 및 방문자는 직접 관리하여 충족합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

프레임워크 전반의 물리적 보안: 클라우드 우선 기업이 놓치는 주제