확인할 수 없는 벤더 대응표의 문제
대부분의 컴플라이언스 플랫폼에는 하나의 통제를 십여 개 프레임워크에 매핑하는 독자적 대응표가 기본으로 탑재되어 있습니다. 개별 항목이 어디서 나왔는지 물으면 답을 듣지 못하는 경우가 많습니다.
이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.
컴플라이언스 자동화 플랫폼 덕분에 여러 프레임워크를 동시에 운영하는 프로그램이 훨씬 쉬워졌습니다. 대부분의 플랫폼은 핵심 약속을 내세웁니다. 통제를 한 번만 구현하면 플랫폼의 대응표가 그렇다고 말하는 만큼 SOC 2, ISO 27001, NIST, HIPAA 등을 모두 충족한다는 것입니다. 그러나 특정 매핑이 어디서 왔는지, 어떤 버전을 기준으로 했는지, 그리고 두 요구사항이 왜 동등한지 플랫폼에 물어보면 대개 답이 없습니다.
이는 문제이며, 사소한 문제가 아닙니다.
검증할 수 없는 매핑은 위험을 여러분에게 떠넘깁니다
플랫폼이 새로 적용받게 된 프레임워크의 요구사항을 여러분의 접근 통제가 충족한다고 알려 줬는데 그것이 틀렸다면, 감사 지적 사항은 벤더가 아니라 여러분의 몫입니다. 여러분은 검사할 수 없는 매핑에 의존한 것입니다. 감사인은 “도구가 매핑했다”는 말을 정당한 근거로 받아들이지 않습니다. 감사인은 요구사항을 읽고 여러분의 통제가 이를 충족하는지 테스트합니다.
매핑은 소리 없이 낡아집니다
프레임워크는 변경됩니다. CSF 2.0은 CSF 1.1의 하위 범주 79개를 폐기했습니다(이동 위치). ISO 27001:2022는 부속서 A의 번호를 다시 매겼고, PCI DSS v4.0은 수십 개의 요구사항을 추가했습니다. 버전이 관리되지 않고 현행 카탈로그에 대해 검증되지 않은 대응표는 낡아 갑니다. 표시가 없는 대응표는 눈에 띄지 않게 낡아 갑니다.
“매핑됨”은 어떤 종류의 매핑인지 가립니다
두 요구사항 사이의 연결은 동등하다는 뜻일 수도 있고, 한쪽이 다른 쪽의 부분집합이라는 뜻일 수도 있으며, 단지 주제를 공유한다는 뜻일 수도 있습니다. 공개된 근거에 기반한 매핑의 비중에 대한 자체 분석에 따르면, 어디서든 매핑의 상당 부분은 공개된 대응표가 아니라 판단에 따른 것이었습니다:
| 프레임워크 | 매핑 | 대응표 | 편집 콘텐츠 | 대응 비중 |
|---|---|---|---|---|
| NIS2 | 65 | 64 | 1 | 98% |
| ISO 27001 | 105 | 99 | 6 | 94% |
| 800-53 | 120 | 106 | 14 | 88% |
| CMMC | 72 | 60 | 12 | 83% |
| HIPAA | 47 | 36 | 11 | 77% |
| PCI DSS | 95 | 70 | 25 | 74% |
| CIS v8.1 | 163 | 40 | 123 | 25% |
| SOC 2 | 66 | 0 | 66 | 0% |
| GDPR | 34 | 0 | 34 | 0% |
| Essential Eight | 62 | 0 | 62 | 0% |
| 전체 | 829 | 475 | 354 | 57% |
판단에 따른 매핑이 나쁜 것은 아닙니다. 표시되지 않은 판단 매핑이 문제입니다.
모든 대응표에 요구해야 할 것
- 연결마다의 출처: 공식 대응표(NIST, ENISA, 프레임워크 소유 기관) 또는 벤더의 판단.
- 판단에 따른 모든 매핑의 근거, 여러분이 볼 수 있어야 합니다.
- 두 프레임워크의 버전과 마지막으로 검증된 날짜.
- “매핑됨”의 의미: 동등, 부분 또는 관련.
- 내보내기: 매핑을 꺼내서 직접 확인할 수 있는 기능.
벤더가 이것들을 제공할 수 없다면, 그 매핑은 답이 아니라 힌트로만 사용하십시오.
받은 대응표를 테스트하는 방법
대응표를 판단하기 위해 전체를 감사할 필요는 없습니다. 표본을 추출하십시오:
- 가장 잘 아는 프레임워크에서 무작위로 연결 열 개 선택.
- 각 연결의 두 요구사항 본문 읽기.
- 각 연결 분류: 동등, 부분 중첩, 단순 관련, 또는 오류.
- 버전에 민감한 사례 두 가지 확인. 예를 들어 CSF 1.1 식별자나 ISO 27001:2013 통제 번호.
대부분의 연결이 검증을 통과하고 버전이 최신이라면, 그 대응표는 참고 자료로 쓸 만할 가능성이 높습니다. 여러 개가 틀렸거나 낡았다면 전체를 검증되지 않은 것으로 취급하십시오. 당사의 데이터도 같은 테스트를 받을 수 있습니다. ISO 27001 A.8.8 같은 요구사항 페이지마다 각 연결의 근거와 이유가 표시됩니다.
핵심 요약
- 검증할 수 없는 매핑은 감사 위험을 여러분에게 넘깁니다.
- 각 연결마다 출처, 버전, 의미, 근거를 요구하십시오.
- 대응표는 의존하기 전에 표본 테스트를 하십시오.
우리가 데이터를 공개하는 이유
ControlMapping은 부분적으로 이 문제 때문에 존재합니다. 모든 연결에는 대응표 또는 편집 콘텐츠라는 표시가 있고, 모든 편집 콘텐츠 연결에는 근거가 있으며, 모든 ID는 빌드할 때마다 공식 카탈로그에 대해 검증되고, 전체 데이터셋은 개방형 라이선스로 다운로드할 수 있습니다. 이것이 유일한 방법은 아니지만, 업계가 스스로에게 요구해야 할 기준이라고 생각합니다. 방법론과 다운로드를 참고하십시오.
질문
컴플라이언스 플랫폼의 대응표는 정확한가요?
일부는 신중하게 관리되지만, 그렇지 않은 것도 있습니다. 각 매핑의 출처, 버전, 근거가 보이지 않으면 어느 쪽인지 알 수 없으며, 감사인은 ‘도구가 그렇다고 했다’는 말을 정당한 근거로 인정하지 않습니다.
신뢰할 수 있는 대응표에는 무엇이 보여야 할까요?
각 연결에 대해 출처(공식 대응표 또는 벤더의 판단), 두 프레임워크의 버전, 연결의 의미(동등 또는 단순 관련), 그리고 판단에 따른 연결인 경우 그 근거를 보여야 합니다.
NIST OLIR란 무엇인가요?
NIST의 온라인 참고 정보(Online Informative References) 프로그램으로, NIST 프레임워크와 다른 표준 간 대응표를 모아 둔 카탈로그입니다. 제3자 제출물은 형식만 검사하며 정확성은 검사하지 않습니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-1311개 보안 프레임워크의 MFA 요구사항 비교어떤 프레임워크가 MFA를 요구하는지, 대상과 강도는 어떠한지 확인하세요. PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, HIPAA를 한눈에 비교합니다.
분석 · 2026-09-29NIST CSF 2.0 관점에서 본 HIPAA 보안 규칙NIST CSF 2.0 프로그램은 HIPAA 보안 규칙의 요구사항 거의 전부와 대응됩니다. 그대로 이어지는 부분, 대응되지 않는 두 가지, 그리고 CSF가 HIPAA를 넘어 추가로 다루는 내용을 정리했습니다.