매핑에 “대응표” 또는 “편집 콘텐츠” 표시를 붙이는 이유

ControlMapping의 모든 매핑에는 두 가지 표시 중 하나가 붙습니다. 대응표는 공개된 대응표가 해당 링크를 뒷받침한다는 뜻입니다. NIST, ENISA, CIS 또는 PCI SSC가 이 요구사항들이 관련된다고 밝힌 것입니다. 편집 콘텐츠는 당사의 판단이며, 그 근거를 함께 적어 두었다는 뜻입니다. 이는 이 사이트에서 가장 중요한 설계 결정이며, 한 가지 단순한 관찰에서 출발했습니다. 시중에 떠도는 프레임워크 매핑 대부분은 어떤 것이 어떤 것인지 구별할 방법을 제공하지 않습니다.

이 표시가 해결하는 문제

매핑은 “이 요구사항은 저 요구사항과 관련이 있다”는 주장입니다. 일부 주장은 공개 의견 수렴을 거친 공식 대응표에 근거합니다. 다른 주장은 한 분석가의 판단입니다. 둘 다 옳을 수 있습니다. 하지만 두 가지가 똑같이 보이면, 모든 매핑이 가장 신뢰도 높은 매핑의 신뢰도를 물려받고, 오류는 나머지 사이에 숨어버립니다. 그렇게 해서 조직들은 도구가 그렇게 말했다는 이유만으로 감사인에게 통제가 요구사항을 “충족한다”고 설명하게 됩니다.

표시를 통해 가능해지는 것

• 근거를 저울질할 수 있습니다. NIST 자체 매핑에서 나온 대응표 링크는 강력한 근거이며, 편집 콘텐츠 링크는 검토가 필요한 논리적 의견입니다.
• 오류를 찾아낼 수 있습니다. 당사가 자체 데이터의 오류를 점검할 때, 표시와 근거 덕분에 오류를 빠르게 찾아 고칠 수 있습니다. 표시가 없는 대응표는 검토자에게 아무런 단서도 주지 못합니다.
• 한계에 대한 솔직함. 일부 프레임워크에는 공개 라이선스로 제공되는 대응표가 아예 없습니다(SOC 2, GDPR, Essential Eight). 이들의 모든 링크에 편집 콘텐츠 표시를 붙이는 것은 그 사실을 직접 알려주며, 존재하지 않는 권위를 암시하지 않습니다.

현재 구성은 다음과 같습니다:

프레임워크	매핑	대응표	편집 콘텐츠	대응 비중
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
전체	829	475	354	57%

공개 대응표 링크만 게시하지 않는 이유는 무엇인가요?

공개 대응표에는 공백이 있기 때문입니다. CIS의 공개 매핑은 153개 세이프가드 중 49개만 다루고, PCI SSC의 매핑은 일부 핵심 요구사항을 빠뜨리며, SOC 2에는 당사가 활용할 수 있는 대응표가 전혀 없습니다. 대응표 링크만 보여주는 사이트는 SOC 2를 매핑되지 않은 것으로, CIS 대부분을 누락된 것으로 보여주게 되며, 이는 덜 유용할 뿐 아니라 그 자체로 오해를 낳습니다. 편집 콘텐츠 링크는 이 공백을 메우며, 무엇을 근거로 삼는지 알 수 있도록 표시됩니다.

표시 뒤의 규칙

• 편집 콘텐츠 링크에는 항상 근거가 있습니다.
• 링크는 공개 대응표가 실제로 뒷받침하는 경우에만 대응표로 간주합니다. 계열 수준의 참조나 편집 콘텐츠 링크를 거친 연결은 인정하지 않습니다.
• 모든 요구사항 ID는 빌드할 때마다 공식 카탈로그와 대조하여 검증합니다.
• “느슨하게 관련됨”은 별도로 표시하며, 적용 범위에 포함하지 않습니다.

편집 콘텐츠 링크는 어떻게 보이나요?

편집 콘텐츠 링크는 두 ID 사이의 단순한 선이 아닙니다. 누구나 확인할 수 있는 짧은 근거가 각각 함께 제공됩니다. 예를 들어, SOC 2 CC4.1(내부 통제에 대한 지속적이고 별도의 평가)은 ISO 27001 9.2항(내부 감사)과 연결되며, 두 요구사항 모두 모니터링, 내부 감사, 독립적 검토를 통해 통제가 제대로 작동하는지에 대한 독립적 평가를 요구한다는 메모가 붙어 있습니다. 동의하지 않는 독자는 당사가 무엇을 가정했는지 정확히 확인하고 의견을 전할 수 있습니다. CC4.1 요구사항 페이지에서 직접 확인할 수 있습니다.

핵심 요약

• 표시를 통해 각 매핑의 근거를 저울질할 수 있습니다.
• 편집 콘텐츠 링크는 근거와 함께 공개 대응표의 실제 공백을 메웁니다.
• 모든 컴플라이언스 매핑은 출처를 밝혀야 합니다.

다른 모든 이들에게 요청하고 싶은 것

매핑에 표시를 붙이세요. 비용은 거의 들지 않으면서도 매핑을 얼마나 신뢰할 수 있는지가 달라집니다. 컴플라이언스 도구를 만든다면 각 링크의 출처를 보여주고, 도구를 구매한다면 그것을 요구하세요. 당사의 방법론은 모든 규칙을 설명하며, 다운로드에는 모든 매핑의 근거가 포함되어 있어 당사의 작업을 직접 검증하고, 틀린 부분이 있으면 알려주실 수 있습니다.

질문

ControlMapping에서 대응표 링크는 무엇을 의미하나요?

권위 있는 출처(NIST, ENISA, CIS 또는 PCI SSC)의 공개 대응표가 링크를 직접 또는 그 자체로 대응표 링크된 SP 800-53 통제를 통해 뒷받침합니다.

편집 콘텐츠 링크는 무엇을 의미하나요?

링크를 뒷받침하는 공개 대응표는 없지만, ControlMapping이 요구사항들이 관련된다고 판단한 것입니다. 근거는 항상 표시되므로 직접 확인할 수 있습니다.

매핑 수정 제안을 할 수 있나요?

네. 모든 요구사항 페이지에는 잘못되었거나 누락된 매핑을 신고하는 방법을 설명하는 링크가 있습니다. ID, 예상한 프레임워크, 출처를 포함해 주세요.