비교
ISO 27001 vs HIPAA 보안 규칙: ePHI를 위한 ISMS
ISO/IEC 27001:2022 · HIPAA Security Rule · 데이터 2026-10-27
ISO/IEC 27001은 국제적으로 인증받을 수 있는 경영시스템이며, HIPAA 보안 규칙은 전자 보호 대상 건강정보(electronic protected health information)를 보호하기 위한 미국의 법적 요구사항입니다. 의료기관과 그 협력업체는 특히 해외에서 사업을 운영할 때 HIPAA 보호조치를 운영하는 방식으로 ISO 27001 ISMS를 점점 더 많이 활용하고 있습니다.
ISO에서 HIPAA로 대응시키면, 거의 모든 보안 규칙 표준과 명세가 매핑되거나 느슨하게 관련됩니다. 위험 분석 및 관리, 인력 보안, 접근 통제, 감사 통제, 무결성, 전송 보안, 비상 계획, 시설 접근 통제 모두 부속서 A의 대응 통제가 있습니다. 남는 부분은 대부분 HIPAA 고유의 법적 내용으로, 비즈니스 협력업체 계약 조건과 매체 재사용 등이 여기에 해당합니다.
HIPAA에서 ISO로 대응시키면 추가해야 할 내용이 더 많습니다. HIPAA는 경영시스템을 요구하지 않으므로, ISO의 조항(적용 범위, 리더십, 목표, 문서화된 정보, 내부 감사, 경영 검토)은 새로 도입해야 합니다. 보안 개발 통제(보안 개발 수명주기, 보안 코딩, 보안 테스트)도 마찬가지로 새로 도입해야 하는데, HIPAA는 이를 직접 다루지 않기 때문입니다.
ISO 27001 인증을 받을 계획이라면, ePHI를 ISMS 적용 범위에 명시적으로 포함하고, HIPAA 위험 분석이 ISO 위험 평가까지 추적 가능하도록 유지하십시오.
핵심 요점
- ISO → HIPAA: 비즈니스 협력업체 계약(BAA)과 HIPAA 전용 문서를 추가하십시오.
- HIPAA → ISO: 기존 위험 분석을 중심으로 ISMS를 구축하고, 소프트웨어를 직접 개발한다면 보안 개발 통제를 추가하십시오.
- ISO 인증서만으로는 HIPAA 준수를 입증할 수 없습니다.
HIPAA Security Rule 요구사항 69개 중 38개는 ISO 27001의 항목에 매핑되고, 29개는 느슨하게만 관련되며, 2개는 보유 데이터에 매핑이 없습니다.
HIPAA 보안 규칙(Security Rule)만 포괄합니다(프라이버시 규칙 및 위반 통지 규칙은 제외).
신규 작업이 필요할 가능성: ISO 27001에 매핑되지 않은 HIPAA 요구사항 (2)
| HIPAA | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (29)
| HIPAA | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | CSF PR.AT-01, PR.AT-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | CSF ID.RA-04, ID.RA-05만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | CSF PR.DS-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | CSF ID.AM-07, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (38)
| HIPAA | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | 대응표 | Clause 6.1.2Clause 6.1.3A.8.8+1 | 같은 주제: 위험 평가, 취약점 관리 |
| §164.308(a)(1)(ii)(B) | Required Risk Management | 편집 콘텐츠 | A.8.8Clause 6.1.1Clause 6.1.3+1 | 같은 주제: 취약점 관리, 위험 관리 (편집부 추천) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | 편집 콘텐츠 | A.6.1A.6.4A.8.16 | 같은 주제: 내부자 위협 (편집부 추천) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | 대응표 | A.5.25A.8.16 | 같은 주제: SIEM / SOC, 지속적 모니터링 |
| §164.308(a)(2) | Assigned Security Responsibility | 대응표 | A.5.2A.5.4 | 같은 주제: 역할 및 책임 |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | 대응표 | A.6.1A.6.4A.8.16 | 같은 주제: 내부자 위협 |
| §164.308(a)(4) | Information Access Management | 대응표 | A.5.15A.5.16A.5.18+1 | 같은 주제: 접근 통제 |
| §164.308(a)(5) | Security Awareness and Training | 대응표 | A.6.3Clause 7.3 | 같은 주제: 인식 제고 및 교육 |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | 대응표 | A.6.3Clause 7.3 | 같은 주제: 인식 제고 및 교육 |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | 편집 콘텐츠 | A.8.1A.8.7A.8.19 | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| §164.308(a)(6) | Security Incident Procedures | 대응표 | A.5.24A.5.25A.5.26 | 같은 주제: 사고 대응 |
| §164.308(a)(6)(ii) | Required Response and Reporting | 대응표 | A.5.5A.5.24A.5.25+2 | 같은 주제: 보고, 사고 대응 |
| §164.308(a)(7) | Contingency Plan | 대응표 | A.5.29A.5.30 | 같은 주제: 복구 계획 수립 |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | 대응표 | A.8.13 | 같은 주제: 백업 및 복구 |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | 대응표 | A.5.29A.5.30A.8.14 | 같은 주제: 복구 계획 수립, 재해 복구 |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | 대응표 | A.5.29A.5.30A.8.14 | 같은 주제: 비즈니스 연속성 |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | 편집 콘텐츠 | A.5.30A.8.14 | 같은 주제: 재해 복구 (편집부 추천) |
| §164.308(a)(8) | Evaluation | 대응표 | A.8.8A.5.31A.5.36+1 | 같은 주제: 취약점 관리, 컴플라이언스 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 대응표 | A.5.19A.5.20A.5.22+1 | 같은 주제: 벤더 리스크 관리 |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | 편집 콘텐츠 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 (편집부 추천) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| §164.310(b) | Workstation Use | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| §164.310(c) | Workstation Security | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| §164.310(d) | Device and Media Controls | 대응표 | A.5.9A.5.11A.7.14+2 | 같은 주제: 자산 관리 |
| §164.310(d)(2)(i) | Required Disposal | 편집 콘텐츠 | A.5.14A.8.10A.8.11 | 같은 주제: 데이터 보호 (편집부 추천) |
| §164.310(d)(2)(iii) | Addressable Accountability | 대응표 | A.5.9A.5.11A.7.14 | 같은 주제: 자산 관리 |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | 대응표 | A.8.13 | 같은 주제: 백업 및 복구 |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | 대응표 | A.5.15A.5.16A.5.18+1 | 같은 주제: 접근 통제 |
| §164.312(a)(2)(i) | Required Unique User Identification | 대응표 | A.5.15A.5.16A.5.18+1 | 같은 주제: 접근 통제 |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | 대응표 | A.8.24 | 같은 주제: 암호화 |
| §164.312(b) | Audit Controls | 대응표 | A.8.15A.8.17 | 같은 주제: 로깅 및 감사 |
| §164.312(c) | Integrity | 대응표 | A.5.14A.8.10A.8.11 | 같은 주제: 데이터 보호 |
| §164.312(d) | Person or Entity Authentication | 편집 콘텐츠 | A.5.15A.5.16A.5.18+1 | 같은 주제: 접근 통제 (편집부 추천) |
| §164.312(e)(2)(ii) | Addressable Encryption | 대응표 | A.8.24 | 같은 주제: 암호화 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 대응표 | A.5.19A.5.20A.5.22 | 같은 주제: 벤더 리스크 관리 |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | 대응표 | A.5.1A.5.37Clause 5.2 | 같은 주제: 거버넌스 정책 |
| §164.316(b)(2)(iii) | Required Updates | 대응표 | A.5.1A.5.37Clause 5.2 | 같은 주제: 거버넌스 정책 |
ISO/IEC 27001:2022 요구사항 123개 중 58개는 HIPAA의 항목에 매핑되고, 46개는 느슨하게만 관련되며, 19개는 보유 데이터에 매핑이 없습니다.
신규 작업이 필요할 가능성: HIPAA에 매핑되지 않은 ISO 27001 요구사항 (19)
| ISO 27001 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| A.8.28 | Secure coding | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| A.8.29 | Security testing in development and acceptance | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| A.8.31 | Separation of development, test and production environments | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 4.3 | Determining the scope of the ISMS | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 4.4 | Information security management system | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 5.1 | Leadership and commitment | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 6.2 | Information security objectives and planning to achieve them | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 6.3 | Planning of changes | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 7.1 | Resources | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 7.5.1 | General | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 7.5.2 | Creating and updating | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 7.5.3 | Control of documented information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 9.2.1 | General | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 9.2.2 | Internal audit programme | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Clause 10.2 | Nonconformity and corrective action | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (46)
| ISO 27001 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | CSF GV.OV-01, RS.CO-03만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | CSF DE.AE-07, ID.RA-03, ID.RA-05만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | CSF GV.OC-05, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | CSF ID.AM-05, ID.AM-08, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | CSF PR.AA-03, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | CSF GV.SC-03, GV.SC-09, GV.SC-10만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…만 공유: 관련은 있으나 매핑은 아님 | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…만 공유: 관련은 있으나 매핑은 아님 | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | CSF GV.RR-04만 공유: 관련은 있으나 매핑은 아님 | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | CSF PR.DS-01, PR.IR-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | CSF ID.AM-08, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | CSF ID.AM-08, PR.IR-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | CSF PR.AA-01, PR.AA-03, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | CSF DE.CM-09만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | CSF PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | CSF ID.AM-03, PR.IR-01, PR.DS-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | CSF ID.AM-03, PR.IR-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | CSF PR.IR-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | CSF PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.30 | Outsourced development | §164.308(a)(8) | CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | CSF GV.OV-03, ID.RA-07만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님 | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 7.2 | Competence | §164.308(a)(2) | CSF GV.RR-01, GV.RR-02만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | CSF GV.SC-03, RC.RP-04만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | CSF ID.IM-02, PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | CSF ID.IM-02, PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | CSF ID.IM-02, PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (58)
| ISO 27001 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | 대응표 | §164.316(a)§164.316(b)(2)(iii) | 같은 주제: 거버넌스 정책 |
| A.5.2 | Information security roles and responsibilities | 대응표 | §164.308(a)(2) | 같은 주제: 역할 및 책임 |
| A.5.4 | Management responsibilities | 대응표 | §164.308(a)(2) | 같은 주제: 역할 및 책임 |
| A.5.5 | Contact with authorities | 대응표 | §164.308(a)(6)(ii) | 같은 주제: 보고 |
| A.5.9 | Inventory of information and other associated assets | 대응표 | §164.310(d)§164.310(d)(2)(iii) | 같은 주제: 자산 관리 |
| A.5.11 | Return of assets | 대응표 | §164.310(d)§164.310(d)(2)(iii) | 같은 주제: 자산 관리 |
| A.5.14 | Information transfer | 대응표 | §164.312(c)§164.310(d)(2)(i) | 같은 주제: 데이터 보호 |
| A.5.15 | Access control | 대응표 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 같은 주제: 접근 통제 |
| A.5.16 | Identity management | 대응표 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 같은 주제: 접근 통제 |
| A.5.18 | Access rights | 대응표 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 같은 주제: 접근 통제 |
| A.5.19 | Information security in supplier relationships | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| A.5.20 | Addressing information security within supplier agreements | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| A.5.22 | Monitoring, review and change management of supplier services | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| A.5.23 | Information security for use of cloud services | 대응표 | §164.308(b)(1) | 같은 주제: 클라우드 보안 |
| A.5.24 | Information security incident management planning and preparation | 대응표 | §164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: 사고 대응 |
| A.5.25 | Assessment and decision on information security events | 대응표 | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: SIEM / SOC, 사고 대응 |
| A.5.26 | Response to information security incidents | 대응표 | §164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: 사고 대응, 완화 |
| A.5.29 | Information security during disruption | 대응표 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | 같은 주제: 복구 계획 수립, 비즈니스 연속성 |
| A.5.30 | ICT readiness for business continuity | 대응표 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | 같은 주제: 복구 계획 수립, 재해 복구, 비즈니스 연속성 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 편집 콘텐츠 | §164.308(a)(8) | 같은 주제: 컴플라이언스 (편집부 추천) |
| A.5.36 | Compliance with policies, rules and standards for information security | 편집 콘텐츠 | §164.308(a)(8) | 같은 주제: 컴플라이언스 (편집부 추천) |
| A.5.37 | Documented operating procedures | 대응표 | §164.316(a)§164.316(b)(2)(iii) | 같은 주제: 거버넌스 정책 |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | 대응표 | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 같은 주제: 내부자 위협 |
| A.6.3 | Information security awareness, education and training | 대응표 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 같은 주제: 인식 제고 및 교육 |
| A.6.4 | Disciplinary process | 대응표 | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 같은 주제: 내부자 위협 |
| A.6.7 | Remote working | 편집 콘텐츠 | §164.310(d) | 같은 주제: 모바일 보안 (편집부 추천) |
| A.6.8 | Information security event reporting | 대응표 | §164.308(a)(6)(ii) | 같은 주제: 보고 |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.2 | Physical entry | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.3 | Securing offices, rooms and facilities | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.4 | Physical security monitoring | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.5 | Protecting against physical and environmental threats | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.6 | Working in secure areas | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.8 | Equipment siting and protection | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.11 | Supporting utilities | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.12 | Cabling security | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| A.7.14 | Secure disposal or re-use of equipment | 대응표 | §164.310(d)§164.310(d)(2)(iii) | 같은 주제: 자산 관리 |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | 편집 콘텐츠 | §164.308(a)(5)(ii)(B)§164.310(d) | 같은 주제: 엔드포인트 보호, 모바일 보안 (편집부 추천) |
| A.8.3 | Information access restriction | 대응표 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 같은 주제: 접근 통제 |
| A.8.7 | Protection against malware | 편집 콘텐츠 | §164.308(a)(5)(ii)(B) | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| A.8.8 | Management of technical vulnerabilities | 대응표 | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 같은 주제: 취약점 관리 |
| A.8.10 | Information deletion | 대응표 | §164.312(c)§164.310(d)(2)(i) | 같은 주제: 데이터 보호 |
| A.8.11 | Data masking | 대응표 | §164.312(c)§164.310(d)(2)(i) | 같은 주제: 데이터 보호 |
| A.8.13 | Information backup | 대응표 | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | 같은 주제: 백업 및 복구 |
| A.8.14 | Redundancy of information processing facilities | 대응표 | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | 같은 주제: 재해 복구, 비즈니스 연속성 |
| A.8.15 | Logging | 대응표 | §164.312(b) | 같은 주제: 로깅 및 감사 |
| A.8.16 | Monitoring activities | 대응표 | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 같은 주제: 지속적 모니터링, SIEM / SOC, 내부자 위협 |
| A.8.17 | Clock synchronization | 대응표 | §164.312(b) | 같은 주제: 로깅 및 감사 |
| A.8.19 | Installation of software on operational systems | 편집 콘텐츠 | §164.308(a)(5)(ii)(B) | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| A.8.24 | Use of cryptography | 대응표 | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | 같은 주제: 암호화 |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | 대응표 | §164.316(a)§164.316(b)(2)(iii) | 같은 주제: 거버넌스 정책 |
| Clause 6.1.1 | General | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | 같은 주제: 위험 관리 (편집부 추천) |
| Clause 6.1.2 | Information security risk assessment | 대응표 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 |
| Clause 6.1.3 | Information security risk treatment | 대응표 | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 같은 주제: 위험 평가, 위험 관리 |
| Clause 7.3 | Awareness | 대응표 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 같은 주제: 인식 제고 및 교육 |
| Clause 8.2 | Information security risk assessment | 편집 콘텐츠 | §164.308(a)(1)(ii)(A) | ControlMapping 편집부 판단: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | ControlMapping 편집부 판단: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 편집 콘텐츠 | §164.308(a)(8) | 같은 주제: 컴플라이언스 (편집부 추천) |
주제별
양쪽 모두 포함 (27):
거버넌스 정책인식 제고 및 교육위험 관리역할 및 책임컴플라이언스자산 관리위험 평가취약점 관리접근 통제암호화데이터 보호백업 및 복구엔드포인트 보호모바일 보안클라우드 보안지속적 모니터링로깅 및 감사SIEM / SOC사고 대응완화보고복구 계획 수립비즈니스 연속성재해 복구내부자 위협벤더 리스크 관리물리적 보안
ISO 27001만 해당 (23):
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.