공통 핵심: 모든 프레임워크가 공유하는 보안 요구사항

많은 조직이 단일 보안 프레임워크만 따르는 경우는 드뭅니다. 소프트웨어 회사는 SOC 2 보고서를 원하는 미국 고객과 ISO 27001을 원하는 유럽 고객에게 제품을 판매하고, 결제 서비스 제공업체는 PCI DSS를 추가로 적용하며, EU의 디지털 서비스 제공업체는 이제 NIS2의 적용을 받습니다. 각 프레임워크는 저마다의 구조, 번호 체계, 용어를 가지고 있어서, 프레임워크마다 별도의 프로그램이 필요하다고 결론 내리기 쉽습니다.

그렇지 않습니다. 서로 다른 번호 체계 아래에는 상당히 많은 공통 영역이 있으며, 그중 일부는 우리가 매핑한 모든 프레임워크가 공유합니다. 11개 모두에 매핑된 요구사항이 있는 주제를 찾아보았습니다. 대상은 NIST CSF 2.0, NIST SP 800-53, ISO 27001, CIS Controls, SOC 2, PCI DSS, CMMC Level 2, HIPAA 보안 규칙, GDPR, NIS2, ASD의 Essential Eight입니다.

모든 프레임워크에 있는 다섯 가지 주제

주제	ISO 27001	SOC 2	PCI DSS	NIS2
자산 관리	A.5.9	CC6.1	12.5.1	12.4
취약점 관리	A.8.8	CC7.1	6.3.1	6.5
백업 및 복구	A.8.13	A1.2	9.4.1.1	4.2
사고 대응	A.5.24	CC7.4	12.10.1	3.1
보고	A.5.5	CC2.3	12.10.1	3.3

50개 주제 중 5개는 모든 11개 프레임워크에 매핑된 요구사항을 보유합니다. 각 주제 페이지에서 프레임워크별 요구사항 ID와 각 링크의 근거를 확인할 수 있습니다.

이것이 공통 핵심입니다: 자산 관리, 취약점 관리, 백업 및 복구, 사고 대응, 사고 보고. 11개 프레임워크 모두에 이 각각에 해당하는 요구사항이 최소 하나씩 있으며, 프라이버시 법률인 GDPR과 기술적 완화 조치의 짧은 목록인 Essential Eight도 예외가 아닙니다.

목록이 짧은 것은 의도된 것입니다. 접근 통제, 로깅, 암호화 같은 다른 많은 주제는 11개 중 10개가 다루며, 대부분의 프레임워크는 다섯 개보다 훨씬 많은 주제를 공유합니다. 하지만 이 다섯 가지는 어떤 프레임워크도 빠뜨리지 않는 주제입니다.

왜 이 다섯 가지인가

이 주제들은 사고의 생애주기를 따라갑니다. 보유한 자산을 알지 못하면 그것을 보호할 수 없습니다(자산 관리). 대부분의 공격은 여전히 알려진 취약점을 악용합니다(취약점 관리). 문제가 발생하면 시스템과 데이터를 복원해야 하고(백업 및 복구), 사고를 처리하며(사고 대응), 알아야 할 사람들, 즉 경영진, 고객, 규제 기관에 알려야 합니다(사고 보고).

프레임워크들은 그 외의 거의 모든 것에 대해서는 의견이 다릅니다. 거버넌스를 관리 체계로 볼지 성과 집합으로 볼지, 기술 통제를 얼마나 규범적으로 규정해야 할지, 활동이 얼마나 자주 이루어져야 할지 등이 그렇습니다. 이 다섯 가지에 대해서만은 의견이 일치하는데, 이것이 없으면 나머지가 작동하지 않기 때문입니다.

같은 주제, 다른 깊이

공유된 주제가 동일한 요구사항을 의미하지는 않습니다. 취약점 관리를 예로 들어 보겠습니다:

프레임워크	취약점 관리	링크
NIST CSF 2.0	ID.RA-01ID.RA-08	주제 정의
ISO 27001	A.8.8	대응표
CIS v8.1	CIS 7.1CIS 7.2CIS 7.5CIS 7.6CIS 7.7CIS 16.6CIS 18.1CIS 18.2CIS 18.3CIS 18.4CIS 18.5	대응표
SOC 2	CC7.1	편집 콘텐츠
PCI DSS	6.3.111.3.111.3.2	대응표
CMMC	RA.L2-3.11.2RA.L2-3.11.3	대응표
800-53	RA-5CA-8	대응표
HIPAA	§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8)	대응표
GDPR	Art.32(1)(d)	편집 콘텐츠
NIS2	6.56.10	대응표
Essential Eight	ISM-1807ISM-1808ISM-1698ISM-1699ISM-1701ISM-1702	편집 콘텐츠

모든 연결의 상세 내용과 근거: 프레임워크별 취약점 관리 →

ISO 27001의 A.8.8은 기술적 취약점에 대한 정보를 확보하고, 노출 정도를 평가하며, 적절한 조치를 취할 것을 요구하고, 그 시점은 위험 평가에 맡깁니다. PCI DSS는 3개월마다 그리고 중대한 변경 후에 내부 스캔을 요구하고(11.3.1), 승인 스캐닝 벤더(Approved Scanning Vendor)에 의한 외부 스캔을 요구하며(11.3.2), 심각도가 높거나 치명적인 패치를 출시 후 한 달 이내에 적용할 것을 요구합니다(6.3.3). Essential Eight은 성숙도 수준이 올라갈수록 더 엄격해지는 패치 기한을 설정합니다. HIPAA는 취약점 전용 요구사항 대신 위험 분석과 위험 관리 요구사항을 통해 이 주제에 도달합니다.

따라서 공통 핵심은 모든 프레임워크가 무엇을 기대하는지를 알려 줄 뿐, 얼마나를 알려 주지는 않습니다. 통제를 설계할 때는 응답해야 하는 프레임워크 중 가장 엄격한 것을 기준으로 설계하면, 나머지는 대개 자연스럽게 따라옵니다.

실제로는 어떻게 보이는가

• 자산 관리: 하드웨어, 소프트웨어, 클라우드 서비스, 데이터 저장소에 대한 단일 목록을 소유자와 함께 유지하며, 스프레드시트만이 아니라 탐색 도구로 최신 상태를 관리합니다.
• 취약점 관리: 정기적인 스캔(내부 및 외부), 심각도 등급, 심각도별 조치 기한, 그리고 기한이 준수되었다는 증거.
• 백업 및 복구: 데이터, 소프트웨어, 구성에 대한 백업을 변경과 삭제로부터 보호하고, 복원을 일정에 따라 테스트합니다.
• 사고 대응: 역할, 심각도 수준, 에스컬레이션을 정의한 문서화된 계획을 마련하고, 최소 연 1회 훈련합니다.
• 사고 보고: 누가, 어떤 시간 안에, 누구에게 알려야 하는지를 정한 절차입니다. 내부 경영진, 계약상 고객, 규제 기관이 포함됩니다(예: NIS2의 24시간 조기 경보 또는 GDPR에서 감독 기관에 72시간 내 통지하는 것).

핵심이 중요한 이유

보안 프로그램을 시작하는 중이라면 이 다섯 가지를 먼저 구축하십시오. 나중에 채택할 수 있는 모든 프레임워크에서도 충족해야 할 요구사항이므로, 이 작업은 헛되지 않습니다.

이미 여러 프레임워크를 동시에 다루고 있다면, 이 핵심을 공통 통제 세트의 기반으로 삼으십시오. 이 주제들 각각에 대해 하나의 통제를 두고, 응답해야 하는 모든 프레임워크에 매핑하며, 증거는 한 번만 수집합니다. 같은 원리는 10개, 9개, 8개 프레임워크가 공유하는 주제로도 확장할 수 있습니다. 대응 범위 매트릭스에서는 50개 주제를 11개 프레임워크 전체와 비교해 보여 주며, 격차 분석에서는 요구사항 단위로 두 프레임워크 사이에서 무엇이 이어지는지 보여 줍니다.

측정 방법

ControlMapping의 각 주제는 NIST CSF 2.0 성과로 정의되며, 이를 다루는 각 프레임워크의 요구사항을 나열합니다. 공개된 대응표(NIST, ENISA, CIS 또는 PCI SSC 제공)가 뒷받침하는 연결에는 대응표로 표시하고, 저희의 판단에 따른 연결에는 그 이유와 함께 편집 콘텐츠로 표시합니다. SOC 2, GDPR, Essential Eight 연결은 공개 라이선스의 대응표가 존재하지 않으므로 항상 편집 콘텐츠입니다. 전체 방법은 방법론 페이지에 있으며, 위의 모든 수치는 실시간 데이터에서 가져온 것이므로 매핑이 변경되면 함께 업데이트됩니다.

질문

모든 프레임워크가 요구하는 보안 통제는 무엇인가?

ControlMapping 데이터에서 다섯 개 주제는 11개 프레임워크 모두에 매핑된 요구사항을 가지고 있습니다. 자산 관리, 취약점 관리, 백업 및 복구, 사고 대응, 사고 보고입니다. 정확한 문구와 깊이는 프레임워크마다 다릅니다.

한 프레임워크의 버전을 충족하면 다른 프레임워크도 충족되는가?

자동으로는 그렇지 않습니다. 매핑은 요구사항들이 같은 주제를 다룬다는 뜻일 뿐이며, 한쪽이 훨씬 구체적일 수 있습니다(PCI DSS와 Essential Eight은 ISO 27001이 조직에 맡기는 기한과 주기를 정합니다). 각 프레임워크의 원문을 확인하십시오.