비교
ISO 27001 대 NIST SP 800-53: 인증 가능한 표준 대 연방 통제 카탈로그
ISO/IEC 27001:2022 · NIST SP 800-53 Rev 5.2 · 데이터 2026-10-27
NIST SP 800-53 Rev 5는 20개 패밀리에 걸쳐 1,000개가 넘는 보안 및 프라이버시 통제와 강화 항목을 담은 카탈로그입니다. 이 카탈로그는 FISMA에 따른 미국 연방 보안은 물론, 클라우드 사업자를 대상으로 한 FedRAMP와 여러 산업 분야 프로그램의 토대가 되며, 보통 SP 800-53B에 정의된 기준선(Low, Moderate, High)을 통해 적용됩니다. ISO/IEC 27001은 93개의 부속서 A 통제를 갖춘 인증 가능한 경영시스템 표준입니다.
NIST는 SP 800-53과 ISO 27001:2022 간의 자체 매핑을 공개하고 있어, 두 프레임워크는 긴밀하게 대응합니다. 800-53에서 ISO로 옮겨갈 때는 거의 모든 항목이 포괄됩니다. 800-53 기준선을 운영하는 조직은 이미 ISO가 요구하는 통제와 대부분의 문서를 갖추고 있는 셈입니다.
ISO에서 800-53으로 옮겨갈 때는 상황이 다릅니다. 800-53이 훨씬 세분화되어 있기 때문입니다. ISO의 부속서 A는 포괄적인 통제 목표를 제시하는 반면, 800-53은 같은 영역을 수많은 구체적 통제로 나누고, 정보 유출 대응, 공개 접근 가능 콘텐츠, 특수 유지보수 통제처럼 ISO가 직접 다루지 않는 항목도 추가합니다. 이 중 무엇이 중요한지는 적용받는 기준선에 전적으로 달려 있습니다.
실제로는 800-53 전체를 구현하는 조직이 거의 없습니다. ISO에서 FedRAMP나 연방 계약으로 이동하려는 경우에는 전체 카탈로그가 아니라 필요한 특정 기준선과 비교하십시오.
핵심 요점
- 800-53 → ISO: 격차가 크지 않습니다. ISMS 운영 체계와 인증 심사만 추가하면 됩니다.
- ISO → 800-53: 전체 카탈로그가 아니라 요구되는 기준선(예: FedRAMP Moderate)과 비교하십시오.
- 800-53 평가는 ISO 심사가 비교적 가볍게 표본 점검하는 구현 세부사항까지 검증할 것으로 예상하십시오.
NIST SP 800-53 Rev 5.2 요구사항 300개 중 193개는 ISO 27001의 항목에 매핑되고, 46개는 느슨하게만 관련되며, 61개는 보유 데이터에 매핑이 없습니다.
신규 작업이 필요할 가능성: ISO 27001에 매핑되지 않은 800-53 요구사항 (61)
| 800-53 | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-21 | Information Sharing | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| AC-22 | Publicly Accessible Content | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| AC-23 | Data Mining Protection | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| AC-25 | Reference Monitor | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| AT Awareness and Training · 2 | ||||
| AT-4 | Training Records | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| AT-6 | Training Feedback | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| AU Audit and Accountability · 1 | ||||
| AU-5 | Response to Audit Logging Process Failures | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| CM Configuration Management · 1 | ||||
| CM-14 | Signed Components | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| CP Contingency Planning · 1 | ||||
| CP-12 | Safe Mode | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| IR Incident Response · 1 | ||||
| IR-9 | Information Spillage Response | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| MA Maintenance · 2 | ||||
| MA-5 | Maintenance Personnel | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| MA-7 | Field Maintenance | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PE Physical and Environmental Protection · 1 | ||||
| PE-21 | Electromagnetic Pulse Protection | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PL Planning · 3 | ||||
| PL-9 | Central Management | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PL-10 | Baseline Selection | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PL-11 | Baseline Tailoring | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PM Program Management · 7 | ||||
| PM-17 | Protecting Controlled Unclassified Information on External Systems | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PM-20 | Dissemination of Privacy Program Information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PM-21 | Accounting of Disclosures | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PM-26 | Complaint Management | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PM-27 | Privacy Reporting | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PM-32 | Purposing | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PS Personnel Security · 1 | ||||
| PS-2 | Position Risk Designation | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PT PII Processing and Transparency · 5 | ||||
| PT-2 | Authority to Process Personally Identifiable Information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PT-4 | Consent | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PT-5 | Privacy Notice | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PT-6 | System of Records Notice | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| PT-8 | Computer Matching Requirements | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| RA Risk Assessment · 1 | ||||
| RA-6 | Technical Surveillance Countermeasures Survey | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SA System and Services Acquisition · 4 | ||||
| SA-2 | Allocation of Resources | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SA-16 | Developer-provided Training | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SA-20 | Customized Development of Critical Components | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SA-23 | Specialization | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC System and Communications Protection · 19 | ||||
| SC-2 | Separation of System and User Functionality | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-18 | Mobile Code | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-23 | Session Authenticity | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-25 | Thin Nodes | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-26 | Decoys | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-27 | Platform-independent Applications | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-29 | Heterogeneity | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-30 | Concealment and Misdirection | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-31 | Covert Channel Analysis | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-37 | Out-of-band Channels | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-38 | Operations Security | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-41 | Port and I/O Device Access | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-42 | Sensor Capability and Data | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-44 | Detonation Chambers | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-45 | System Time Synchronization | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-46 | Cross Domain Policy Enforcement | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-47 | Alternate Communications Paths | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-48 | Sensor Relocation | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SC-50 | Software-enforced Separation and Policy Enforcement | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SI System and Information Integrity · 7 | ||||
| SI-6 | Security and Privacy Function Verification | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SI-11 | Error Handling | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SI-14 | Non-persistence | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SI-15 | Information Output Filtering | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SI-17 | Fail-safe Procedures | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SI-22 | Information Diversity | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SI-23 | Information Fragmentation | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| SR Supply Chain Risk Management · 1 | ||||
| SR-9 | Tamper Resistance and Detection | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (46)
| 800-53 | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-10 | Concurrent Session Control | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| AC-12 | Session Termination | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| AC-14 | Permitted Actions Without Identification or Authentication | A.5.15A.5.16A.5.18+2 | CSF PR.AA-01만 공유: 관련은 있으나 매핑은 아님 | |
| AC-16 | Security and Privacy Attributes | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| AU Audit and Accountability · 1 | ||||
| AU-16 | Cross-organizational Audit Logging | A.5.3A.5.10A.5.13+5 | CSF PR.DS-02만 공유: 관련은 있으나 매핑은 아님 | |
| CA Assessment, Authorization and Monitoring · 1 | ||||
| CA-9 | Internal System Connections | A.5.14A.8.20A.8.21+1 | CSF ID.AM-03만 공유: 관련은 있으나 매핑은 아님 | |
| CM Configuration Management · 2 | ||||
| CM-12 | Information Location | A.5.9 | CSF ID.AM-07만 공유: 관련은 있으나 매핑은 아님 | |
| CM-13 | Data Action Mapping | A.5.9A.5.8A.5.11+5 | CSF ID.AM-07, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| IA Identification and Authentication · 6 | ||||
| IA-3 | Device Identification and Authentication | A.5.15A.5.16A.5.18+3 | CSF PR.AA-01, PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| IA-7 | Cryptographic Module Authentication | A.5.15A.5.16A.5.18+3 | CSF PR.AA-01, PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| IA-10 | Adaptive Authentication | A.5.15A.5.16A.5.18+3 | CSF PR.AA-01, PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| IA-11 | Re-authentication | A.5.15A.5.16A.5.18+3 | CSF PR.AA-01, PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| IA-12 | Identity Proofing | A.8.2A.8.3A.8.5 | CSF PR.AA-02만 공유: 관련은 있으나 매핑은 아님 | |
| IA-13 | Identity Providers and Authorization Servers | A.5.16A.5.1A.5.3+5 | CSF PR.AA-04, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| MP Media Protection · 1 | ||||
| MP-8 | Media Downgrading | A.5.1A.5.3A.5.10+5 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| PM Program Management · 6 | ||||
| PM-7 | Enterprise Architecture | A.5.14A.8.20A.8.21+1 | CSF ID.AM-03만 공유: 관련은 있으나 매핑은 아님 | |
| PM-8 | Critical Infrastructure Plan | A.5.20A.5.31Clause 4.2+1 | CSF GV.OC-04만 공유: 관련은 있으나 매핑은 아님 | |
| PM-19 | Privacy Program Leadership Role | A.5.19Clause 7.2A.5.1+5 | CSF GV.OV-02, GV.SC-09, GV.RR-01, GV.RR-02만 공유: 관련은 있으나 매핑은 아님 | |
| PM-22 | Personally Identifiable Information Quality Management | A.5.8A.5.9A.5.11+5 | CSF ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| PM-23 | Data Governance Body | Clause 7.2A.5.2A.5.3+5 | CSF GV.RR-01, GV.RR-02만 공유: 관련은 있으나 매핑은 아님 | |
| PM-24 | Data Integrity Board | Clause 7.2A.5.2A.5.3+1 | CSF GV.RR-01, GV.RR-02만 공유: 관련은 있으나 매핑은 아님 | |
| RA Risk Assessment · 1 | ||||
| RA-8 | Privacy Impact Assessments | Clause 6.1.1Clause 6.1.2Clause 6.1.3 | CSF ID.RA-04만 공유: 관련은 있으나 매핑은 아님 | |
| SA System and Services Acquisition · 2 | ||||
| SA-22 | Unsupported System Components | A.5.8A.5.9A.5.11+5 | CSF ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| SA-24 | Design For Cyber Resiliency | A.5.1A.5.29A.8.14+5 | CSF GV.RM-03, PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| SC System and Communications Protection · 15 | ||||
| SC-3 | Security Function Isolation | A.5.9A.8.1 | CSF PR.PS-03만 공유: 관련은 있으나 매핑은 아님 | |
| SC-4 | Information in Shared System Resources | A.8.22A.5.3A.5.10+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-01만 공유: 관련은 있으나 매핑은 아님 | |
| SC-6 | Resource Availability | A.5.29A.8.14A.8.17+3 | CSF PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| SC-11 | Trusted Path | A.5.3A.5.10A.5.13+5 | CSF PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| SC-16 | Transmission of Security and Privacy Attributes | A.5.3A.5.10A.5.13+5 | CSF PR.DS-02만 공유: 관련은 있으나 매핑은 아님 | |
| SC-24 | Fail in Known State | A.8.17Clause 4.2A.5.3+5 | CSF PR.DS-10, PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| SC-32 | System Partitioning | A.5.3A.5.10A.5.13+5 | CSF PR.DS-01, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| SC-34 | Non-modifiable Executable Programs | A.8.6A.8.16A.8.19+2 | CSF DE.CM-09, PR.PS-05만 공유: 관련은 있으나 매핑은 아님 | |
| SC-35 | External Malicious Code Identification | A.8.6A.8.16A.8.1+1 | CSF DE.CM-09만 공유: 관련은 있으나 매핑은 아님 | |
| SC-36 | Distributed Processing and Storage | A.5.29A.8.14A.8.17+3 | CSF PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| SC-39 | Process Isolation | A.8.17Clause 4.2A.5.3+5 | CSF PR.DS-01, PR.DS-10, PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| SC-40 | Wireless Link Protection | A.5.3A.5.10A.5.13+5 | CSF PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| SC-43 | Usage Restrictions | A.5.3A.5.10A.5.13+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | A.5.9A.8.1 | CSF PR.PS-03만 공유: 관련은 있으나 매핑은 아님 | |
| SC-51 | Hardware-based Protection | A.5.9A.8.1 | CSF PR.PS-03만 공유: 관련은 있으나 매핑은 아님 | |
| SI System and Information Integrity · 4 | ||||
| SI-12 | Information Management and Retention | A.5.9A.5.8A.5.11+5 | CSF ID.AM-07, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| SI-13 | Predictable Failure Prevention | A.5.29A.8.14A.8.17+3 | CSF PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| SI-16 | Memory Protection | A.5.3A.5.10A.5.13+5 | CSF PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| SI-18 | Personally Identifiable Information Quality Operations | A.5.8A.5.9A.5.11+5 | CSF ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| SR Supply Chain Risk Management · 3 | ||||
| SR-8 | Notification Agreements | A.5.26Clause 7.4A.5.28+5 | CSF GV.SC-08, RS.CO-02, RS.CO-03, RS.MA-01…만 공유: 관련은 있으나 매핑은 아님 | |
| SR-10 | Inspection of Systems or Components | A.5.19A.5.20A.5.22+2 | CSF GV.SC-05, ID.RA-09만 공유: 관련은 있으나 매핑은 아님 | |
| SR-12 | Component Disposal | A.5.8A.5.9A.5.11+5 | CSF ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (193)
| 800-53 | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| AC Access Control · 15 | ||||
| AC-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+9 | NIST SP 800-53 → ISO 27001 mapping |
| AC-2 | Account Management | 대응표 | A.5.15A.5.16A.5.18+2 | 같은 주제: 접근 통제 |
| AC-3 | Access Enforcement | 대응표 | A.5.15A.5.16A.5.18+8 | 같은 주제: 접근 통제, 제로 트러스트 |
| AC-4 | Information Flow Enforcement | 대응표 | A.5.15A.8.5A.8.12+7 | 같은 주제: 제로 트러스트, DLP |
| AC-5 | Separation of Duties | 대응표 | A.5.3 | NIST SP 800-53 → ISO 27001 mapping |
| AC-6 | Least Privilege | 대응표 | A.5.15A.8.5A.8.22+2 | 같은 주제: 제로 트러스트 |
| AC-7 | Unsuccessful Logon Attempts | 대응표 | A.8.5A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| AC-8 | System Use Notification | 대응표 | A.8.5 | NIST SP 800-53 → ISO 27001 mapping |
| AC-9 | Previous Logon Notification | 대응표 | A.8.5 | NIST SP 800-53 → ISO 27001 mapping |
| AC-11 | Device Lock | 대응표 | A.7.7A.8.1 | NIST SP 800-53 → ISO 27001 mapping |
| AC-17 | Remote Access | 대응표 | A.5.14A.6.7A.8.16 | NIST SP 800-53 → ISO 27001 mapping |
| AC-18 | Wireless Access | 대응표 | A.5.14A.8.20 | NIST SP 800-53 → ISO 27001 mapping |
| AC-19 | Access Control for Mobile Devices | 대응표 | A.8.1A.6.7A.5.14+1 | 같은 주제: 모바일 보안 |
| AC-20 | Use of External Systems | 대응표 | A.5.23A.5.14A.7.9+1 | 같은 주제: 클라우드 보안 |
| AC-24 | Access Control Decisions | 대응표 | A.8.3 | NIST SP 800-53 → ISO 27001 mapping |
| AT Awareness and Training · 3 | ||||
| AT-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| AT-2 | Literacy Training and Awareness | 대응표 | A.6.3Clause 7.3A.8.7 | 같은 주제: 인식 제고 및 교육 |
| AT-3 | Role-based Training | 대응표 | A.6.3Clause 7.3 | 같은 주제: 인식 제고 및 교육 |
| AU Audit and Accountability · 13 | ||||
| AU-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| AU-2 | Event Logging | 대응표 | A.8.15A.8.17 | 같은 주제: 로깅 및 감사 |
| AU-3 | Content of Audit Records | 대응표 | A.8.15A.8.17A.5.28 | 같은 주제: 로깅 및 감사 |
| AU-4 | Audit Log Storage Capacity | 대응표 | A.8.6 | NIST SP 800-53 → ISO 27001 mapping |
| AU-6 | Audit Record Review, Analysis, and Reporting | 대응표 | A.5.25A.8.16A.6.8+2 | 같은 주제: SIEM / SOC, 이상 징후 탐지 |
| AU-7 | Audit Record Reduction and Report Generation | 대응표 | A.5.28 | 같은 주제: 포렌식 |
| AU-8 | Time Stamps | 대응표 | A.8.17 | NIST SP 800-53 → ISO 27001 mapping |
| AU-9 | Protection of Audit Information | 대응표 | A.5.33A.8.15 | NIST SP 800-53 → ISO 27001 mapping |
| AU-10 | Non-repudiation | 대응표 | A.5.28 | NIST SP 800-53 → ISO 27001 mapping |
| AU-11 | Audit Record Retention | 대응표 | A.8.15A.8.17A.5.28 | 같은 주제: 로깅 및 감사 |
| AU-12 | Audit Record Generation | 대응표 | A.8.15A.8.17 | 같은 주제: 로깅 및 감사 |
| AU-13 | Monitoring for Information Disclosure | 대응표 | A.6.1A.6.4A.8.16+1 | 같은 주제: 내부자 위협 |
| AU-14 | Session Audit | 대응표 | A.8.15 | NIST SP 800-53 → ISO 27001 mapping |
| CA Assessment, Authorization and Monitoring · 7 | ||||
| CA-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+10 | NIST SP 800-53 → ISO 27001 mapping |
| CA-2 | Control Assessments | 대응표 | A.5.31A.5.36Clause 9.1+6 | 같은 주제: 컴플라이언스 (편집부 추천) |
| CA-3 | Information Exchange | 대응표 | A.5.14A.8.21 | NIST SP 800-53 → ISO 27001 mapping |
| CA-5 | Plan of Action and Milestones | 대응표 | Clause 8.3Clause 9.3.3Clause 10.2 | NIST SP 800-53 → ISO 27001 mapping |
| CA-6 | Authorization | 대응표 | Clause 9.3.1Clause 9.3.3 | NIST SP 800-53 → ISO 27001 mapping |
| CA-7 | Continuous Monitoring | 대응표 | A.8.16A.5.36Clause 9.1+3 | 같은 주제: 지속적 모니터링 |
| CA-8 | Penetration Testing | 대응표 | A.8.8 | 같은 주제: 취약점 관리 |
| CM Configuration Management · 11 | ||||
| CM-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+9 | NIST SP 800-53 → ISO 27001 mapping |
| CM-2 | Baseline Configuration | 대응표 | A.8.9 | 같은 주제: 보안 구성 |
| CM-3 | Configuration Change Control | 대응표 | A.8.9A.8.32Clause 8.1+1 | NIST SP 800-53 → ISO 27001 mapping |
| CM-4 | Impact Analyses | 대응표 | A.8.9A.8.31 | NIST SP 800-53 → ISO 27001 mapping |
| CM-5 | Access Restrictions for Change | 대응표 | A.8.2A.8.4A.8.9+3 | NIST SP 800-53 → ISO 27001 mapping |
| CM-6 | Configuration Settings | 대응표 | A.8.9 | 같은 주제: 보안 구성 |
| CM-7 | Least Functionality | 대응표 | A.8.9A.8.19 | 같은 주제: 보안 구성 |
| CM-8 | System Component Inventory | 대응표 | A.5.9A.5.11A.7.14+1 | 같은 주제: 자산 관리 |
| CM-9 | Configuration Management Plan | 대응표 | A.5.2A.8.9 | NIST SP 800-53 → ISO 27001 mapping |
| CM-10 | Software Usage Restrictions | 대응표 | A.5.32 | NIST SP 800-53 → ISO 27001 mapping |
| CM-11 | User-installed Software | 대응표 | A.8.19 | NIST SP 800-53 → ISO 27001 mapping |
| CP Contingency Planning · 11 | ||||
| CP-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| CP-2 | Contingency Plan | 대응표 | A.5.29A.5.30A.5.2+5 | 같은 주제: 복구 계획 수립 |
| CP-3 | Contingency Training | 대응표 | A.6.3 | NIST SP 800-53 → ISO 27001 mapping |
| CP-4 | Contingency Plan Testing | 대응표 | A.5.29A.5.30 | NIST SP 800-53 → ISO 27001 mapping |
| CP-6 | Alternate Storage Site | 대응표 | A.8.13A.5.29A.7.5+1 | 같은 주제: 백업 및 복구 |
| CP-7 | Alternate Processing Site | 대응표 | A.5.29A.5.30A.8.14+1 | 같은 주제: 비즈니스 연속성, 재해 복구 (편집부 추천) |
| CP-8 | Telecommunications Services | 대응표 | A.5.29A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| CP-9 | System Backup | 대응표 | A.8.13A.5.29A.5.33 | 같은 주제: 백업 및 복구 |
| CP-10 | System Recovery and Reconstitution | 대응표 | A.5.26A.5.29A.5.30+2 | 같은 주제: 커뮤니케이션 및 복구, 복구 계획 수립, 재해 복구 |
| CP-11 | Alternate Communications Protocols | 대응표 | A.5.29 | NIST SP 800-53 → ISO 27001 mapping |
| CP-13 | Alternative Security Mechanisms | 대응표 | A.5.29 | NIST SP 800-53 → ISO 27001 mapping |
| IA Identification and Authentication · 7 | ||||
| IA-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| IA-2 | Identification and Authentication (Organizational Users) | 대응표 | A.5.15A.8.5A.8.22+1 | 같은 주제: 제로 트러스트 |
| IA-4 | Identifier Management | 대응표 | A.5.16 | NIST SP 800-53 → ISO 27001 mapping |
| IA-5 | Authenticator Management | 대응표 | A.5.16A.5.17 | NIST SP 800-53 → ISO 27001 mapping |
| IA-6 | Authentication Feedback | 대응표 | A.8.5 | NIST SP 800-53 → ISO 27001 mapping |
| IA-8 | Identification and Authentication (Non-organizational Users) | 대응표 | A.5.16 | NIST SP 800-53 → ISO 27001 mapping |
| IA-9 | Service Identification and Authentication | 대응표 | A.8.5A.8.26 | 같은 주제: API 보안 |
| IR Incident Response · 8 | ||||
| IR-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| IR-2 | Incident Response Training | 대응표 | A.5.24A.5.25A.5.26+1 | 같은 주제: 사고 대응 (편집부 추천) |
| IR-3 | Incident Response Testing | 편집 콘텐츠 | A.5.24A.5.25A.5.26 | 같은 주제: 사고 대응 (편집부 추천) |
| IR-4 | Incident Handling | 대응표 | A.5.24A.5.25A.5.26+3 | 같은 주제: 사고 대응, 완화 |
| IR-5 | Incident Monitoring | 대응표 | A.5.25A.8.16 | 같은 주제: SIEM / SOC |
| IR-6 | Incident Reporting | 대응표 | A.5.5A.5.26A.6.8+1 | 같은 주제: 보고, 커뮤니케이션 및 복구 |
| IR-7 | Incident Response Assistance | 대응표 | Clause 7.4A.5.6 | 같은 주제: 커뮤니케이션 |
| IR-8 | Incident Response Plan | 대응표 | A.5.24A.5.25A.5.26+3 | 같은 주제: 사고 대응 |
| MA Maintenance · 5 | ||||
| MA-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+6 | NIST SP 800-53 → ISO 27001 mapping |
| MA-2 | Controlled Maintenance | 대응표 | A.7.10A.7.13A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| MA-3 | Maintenance Tools | 대응표 | A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| MA-4 | Nonlocal Maintenance | 대응표 | A.8.10A.8.16 | NIST SP 800-53 → ISO 27001 mapping |
| MA-6 | Timely Maintenance | 대응표 | A.7.13 | NIST SP 800-53 → ISO 27001 mapping |
| MP Media Protection · 7 | ||||
| MP-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| MP-2 | Media Access | 대응표 | A.5.10A.7.7A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| MP-3 | Media Marking | 대응표 | A.5.13 | NIST SP 800-53 → ISO 27001 mapping |
| MP-4 | Media Storage | 대응표 | A.5.10A.7.7A.7.10+1 | NIST SP 800-53 → ISO 27001 mapping |
| MP-5 | Media Transport | 대응표 | A.5.10A.7.9A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| MP-6 | Media Sanitization | 대응표 | A.5.10A.7.10A.7.14+1 | NIST SP 800-53 → ISO 27001 mapping |
| MP-7 | Media Use | 대응표 | A.5.10A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| PE Physical and Environmental Protection · 21 | ||||
| PE-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| PE-2 | Physical Access Authorizations | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| PE-3 | Physical Access Control | 대응표 | A.7.1A.7.2A.7.3+7 | 같은 주제: 물리적 보안 |
| PE-4 | Access Control for Transmission | 대응표 | A.7.2A.7.12 | NIST SP 800-53 → ISO 27001 mapping |
| PE-5 | Access Control for Output Devices | 대응표 | A.7.2A.7.3A.7.7 | NIST SP 800-53 → ISO 27001 mapping |
| PE-6 | Monitoring Physical Access | 대응표 | A.7.1A.7.2A.7.3+7 | 같은 주제: 물리적 보안 |
| PE-8 | Visitor Access Records | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| PE-9 | Power Equipment and Cabling | 대응표 | A.7.5A.7.8A.7.11+1 | NIST SP 800-53 → ISO 27001 mapping |
| PE-10 | Emergency Shutoff | 대응표 | A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-11 | Emergency Power | 대응표 | A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-12 | Emergency Lighting | 대응표 | A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-13 | Fire Protection | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| PE-14 | Environmental Controls | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| PE-15 | Water Damage Protection | 대응표 | A.7.5A.7.8A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-16 | Delivery and Removal | 대응표 | A.5.10A.7.2A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| PE-17 | Alternate Work Site | 대응표 | A.5.14A.6.7A.7.9 | NIST SP 800-53 → ISO 27001 mapping |
| PE-18 | Location of System Components | 대응표 | A.5.10A.7.5A.7.8 | NIST SP 800-53 → ISO 27001 mapping |
| PE-19 | Information Leakage | 대응표 | A.7.5A.7.8A.8.12 | NIST SP 800-53 → ISO 27001 mapping |
| PE-20 | Asset Monitoring and Tracking | 대응표 | A.5.10 | NIST SP 800-53 → ISO 27001 mapping |
| PE-22 | Component Marking | 대응표 | A.5.13 | NIST SP 800-53 → ISO 27001 mapping |
| PE-23 | Facility Location | 대응표 | A.7.5A.7.8 | NIST SP 800-53 → ISO 27001 mapping |
| PL Planning · 5 | ||||
| PL-1 | Policy and Procedures | 대응표 | A.5.1A.5.37Clause 5.2+8 | 같은 주제: 거버넌스 정책 |
| PL-2 | System Security and Privacy Plans | 대응표 | A.5.8A.5.34Clause 7.5.1+3 | NIST SP 800-53 → ISO 27001 mapping |
| PL-4 | Rules of Behavior | 대응표 | A.5.4A.5.10A.6.2 | NIST SP 800-53 → ISO 27001 mapping |
| PL-7 | Concept of Operations | 대응표 | A.5.8Clause 8.1 | NIST SP 800-53 → ISO 27001 mapping |
| PL-8 | Security and Privacy Architectures | 대응표 | A.5.8 | NIST SP 800-53 → ISO 27001 mapping |
| PM Program Management · 19 | ||||
| PM-1 | Information Security Program Plan | 대응표 | A.5.1A.5.37Clause 5.2+18 | 같은 주제: 거버넌스 정책 |
| PM-2 | Information Security Program Leadership Role | 대응표 | A.5.2A.5.4Clause 5.1+1 | 같은 주제: 역할 및 책임 |
| PM-3 | Information Security and Privacy Resources | 대응표 | Clause 5.1Clause 6.2Clause 7.1 | NIST SP 800-53 → ISO 27001 mapping |
| PM-4 | Plan of Action and Milestones Process | 대응표 | A.5.31Clause 9.1A.5.36+8 | 같은 주제: 컴플라이언스 |
| PM-5 | System Inventory | 대응표 | A.5.9A.5.11A.7.14 | 같은 주제: 자산 관리 |
| PM-6 | Measures of Performance | 대응표 | A.5.31Clause 9.1A.5.36+3 | 같은 주제: 컴플라이언스 |
| PM-9 | Risk Management Strategy | 대응표 | Clause 6.1.1Clause 6.1.3Clause 4.3+7 | 같은 주제: 위험 관리 |
| PM-10 | Authorization Process | 대응표 | A.5.2 | NIST SP 800-53 → ISO 27001 mapping |
| PM-11 | Mission and Business Process Definition | 대응표 | Clause 4.1Clause 4.2 | 같은 주제: 사업 환경 |
| PM-12 | Insider Threat Program | 편집 콘텐츠 | A.6.1A.6.4A.8.16 | 같은 주제: 내부자 위협 (편집부 추천) |
| PM-13 | Security and Privacy Workforce | 대응표 | A.6.3Clause 7.2 | NIST SP 800-53 → ISO 27001 mapping |
| PM-14 | Testing, Training, and Monitoring | 대응표 | Clause 6.2 | NIST SP 800-53 → ISO 27001 mapping |
| PM-15 | Security and Privacy Groups and Associations | 대응표 | A.5.7A.5.6Clause 7.4 | 같은 주제: 위협 인텔리전스 |
| PM-16 | Threat Awareness Program | 대응표 | A.5.7 | 같은 주제: 위협 인텔리전스 |
| PM-18 | Privacy Program Plan | 대응표 | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| PM-28 | Risk Framing | 대응표 | Clause 6.1.1Clause 6.1.3Clause 4.3+6 | 같은 주제: 위험 관리 |
| PM-29 | Risk Management Program Leadership Roles | 대응표 | A.5.2A.5.4Clause 5.1+3 | 같은 주제: 역할 및 책임 |
| PM-30 | Supply Chain Risk Management Strategy | 대응표 | A.5.19A.5.21Clause 4.4+4 | 같은 주제: 공급망 위험 |
| PM-31 | Continuous Monitoring Strategy | 대응표 | Clause 4.4Clause 6.2Clause 7.4+7 | NIST SP 800-53 → ISO 27001 mapping |
| PS Personnel Security · 8 | ||||
| PS-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| PS-3 | Personnel Screening | 대응표 | A.6.1 | NIST SP 800-53 → ISO 27001 mapping |
| PS-4 | Personnel Termination | 대응표 | A.5.11A.6.5 | NIST SP 800-53 → ISO 27001 mapping |
| PS-5 | Personnel Transfer | 대응표 | A.5.11A.6.5 | NIST SP 800-53 → ISO 27001 mapping |
| PS-6 | Access Agreements | 대응표 | A.5.4A.5.14A.6.2+1 | NIST SP 800-53 → ISO 27001 mapping |
| PS-7 | External Personnel Security | 대응표 | A.5.2A.5.4 | NIST SP 800-53 → ISO 27001 mapping |
| PS-8 | Personnel Sanctions | 대응표 | A.6.4Clause 7.3 | NIST SP 800-53 → ISO 27001 mapping |
| PS-9 | Position Descriptions | 편집 콘텐츠 | A.5.2A.5.4 | 같은 주제: 역할 및 책임 (편집부 추천) |
| PT PII Processing and Transparency · 3 | ||||
| PT-1 | Policy and Procedures | 대응표 | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| PT-3 | Personally Identifiable Information Processing Purposes | 대응표 | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| PT-7 | Specific Categories of Personally Identifiable Information | 대응표 | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| RA Risk Assessment · 7 | ||||
| RA-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| RA-2 | Security Categorization | 대응표 | A.5.12A.5.13 | 같은 주제: 데이터 분류 |
| RA-3 | Risk Assessment | 대응표 | Clause 6.1.2Clause 6.1.3A.8.8+2 | 같은 주제: 위험 평가 |
| RA-5 | Vulnerability Monitoring and Scanning | 대응표 | A.8.8 | 같은 주제: 취약점 관리 |
| RA-7 | Risk Response | 대응표 | Clause 6.1.1Clause 6.1.2Clause 6.1.3+2 | 같은 주제: 위험 관리, 위험 평가 |
| RA-9 | Criticality Analysis | 대응표 | Clause 4.1Clause 4.2A.5.22 | 같은 주제: 사업 환경 |
| RA-10 | Threat Hunting | 대응표 | A.5.7 | NIST SP 800-53 → ISO 27001 mapping |
| SA System and Services Acquisition · 11 | ||||
| SA-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+10 | NIST SP 800-53 → ISO 27001 mapping |
| SA-3 | System Development Life Cycle | 대응표 | A.8.25A.8.26A.8.28+5 | 같은 주제: 보안 개발 |
| SA-4 | Acquisition Process | 대응표 | A.5.19A.5.20A.5.22+6 | 같은 주제: 벤더 리스크 관리 |
| SA-5 | System Documentation | 대응표 | A.5.37Clause 7.5.1Clause 7.5.2+1 | NIST SP 800-53 → ISO 27001 mapping |
| SA-8 | Security and Privacy Engineering Principles | 대응표 | A.8.25A.8.26A.8.28+2 | 같은 주제: 보안 개발 |
| SA-9 | External System Services | 대응표 | A.5.19A.5.20A.5.22+6 | 같은 주제: 벤더 리스크 관리 |
| SA-10 | Developer Configuration Management | 대응표 | A.8.9A.8.28A.8.30+1 | NIST SP 800-53 → ISO 27001 mapping |
| SA-11 | Developer Testing and Evaluation | 대응표 | A.8.25A.8.26A.8.28+2 | 같은 주제: 보안 개발 |
| SA-15 | Development Process, Standards, and Tools | 대응표 | A.8.25A.8.26A.8.28+3 | 같은 주제: 보안 개발 |
| SA-17 | Developer Security and Privacy Architecture and Design | 대응표 | A.8.25A.8.27 | NIST SP 800-53 → ISO 27001 mapping |
| SA-21 | Developer Screening | 대응표 | A.6.1 | NIST SP 800-53 → ISO 27001 mapping |
| SC System and Communications Protection · 13 | ||||
| SC-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| SC-5 | Denial-of-service Protection | 대응표 | A.8.5A.8.26A.8.6 | 같은 주제: API 보안 |
| SC-7 | Boundary Protection | 대응표 | A.8.20A.8.21A.8.22+4 | 같은 주제: 방화벽 / 네트워크 분리, WAF |
| SC-8 | Transmission Confidentiality and Integrity | 대응표 | A.5.14A.8.10A.8.11+5 | 같은 주제: 데이터 보호 |
| SC-10 | Network Disconnect | 대응표 | A.8.20 | NIST SP 800-53 → ISO 27001 mapping |
| SC-12 | Cryptographic Key Establishment and Management | 대응표 | A.8.24 | 같은 주제: 암호화 |
| SC-13 | Cryptographic Protection | 대응표 | A.8.24A.8.26 | 같은 주제: 암호화 |
| SC-15 | Collaborative Computing Devices and Applications | 대응표 | A.5.14 | NIST SP 800-53 → ISO 27001 mapping |
| SC-17 | Public Key Infrastructure Certificates | 대응표 | A.8.24 | NIST SP 800-53 → ISO 27001 mapping |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | 편집 콘텐츠 | A.8.20A.8.21 | 같은 주제: DNS 보안 (편집부 추천) |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | 편집 콘텐츠 | A.8.20A.8.21 | 같은 주제: DNS 보안 (편집부 추천) |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | 편집 콘텐츠 | A.8.20A.8.21 | 같은 주제: DNS 보안 (편집부 추천) |
| SC-28 | Protection of Information at Rest | 대응표 | A.5.14A.8.10A.8.11+3 | 같은 주제: 데이터 보호 |
| SI System and Information Integrity · 11 | ||||
| SI-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| SI-2 | Flaw Remediation | 대응표 | A.8.8A.6.8A.8.32 | 같은 주제: 패치 관리 |
| SI-3 | Malicious Code Protection | 대응표 | A.5.14A.8.1A.8.7+1 | 같은 주제: 이메일 보안, 엔드포인트 보호 |
| SI-4 | System Monitoring | 대응표 | A.8.16A.8.19A.8.1+1 | 같은 주제: 지속적 모니터링, 침입 탐지, 이상 징후 탐지, 엔드포인트 보호 |
| SI-5 | Security Alerts, Advisories, and Directives | 대응표 | A.5.7A.5.6A.8.8 | 같은 주제: 위협 인텔리전스 |
| SI-7 | Software, Firmware, and Information Integrity | 대응표 | A.5.14A.8.10A.8.11 | 같은 주제: 데이터 보호 |
| SI-8 | Spam Protection | 편집 콘텐츠 | A.5.14 | 같은 주제: 이메일 보안 (편집부 추천) |
| SI-10 | Information Input Validation | 편집 콘텐츠 | A.8.5A.8.26 | 같은 주제: API 보안, 웹 보안 (편집부 추천) |
| SI-19 | De-identification | 대응표 | A.8.11 | NIST SP 800-53 → ISO 27001 mapping |
| SI-20 | Tainting | 대응표 | A.8.12 | NIST SP 800-53 → ISO 27001 mapping |
| SI-21 | Information Refresh | 대응표 | A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| SR Supply Chain Risk Management · 8 | ||||
| SR-1 | Policy and Procedures | 대응표 | A.5.1A.5.2A.5.4+9 | NIST SP 800-53 → ISO 27001 mapping |
| SR-2 | Supply Chain Risk Management Plan | 대응표 | A.5.19A.5.21A.5.20+1 | 같은 주제: 공급망 위험 |
| SR-3 | Supply Chain Controls and Processes | 대응표 | A.5.19A.5.21A.5.20 | 같은 주제: 공급망 위험 |
| SR-4 | Provenance | 대응표 | A.5.21A.8.30 | NIST SP 800-53 → ISO 27001 mapping |
| SR-5 | Acquisition Strategies, Tools, and Methods | 대응표 | A.5.20A.5.21A.5.23+1 | NIST SP 800-53 → ISO 27001 mapping |
| SR-6 | Supplier Assessments and Reviews | 대응표 | A.5.19A.5.20A.5.22 | 같은 주제: 벤더 리스크 관리 |
| SR-7 | Supply Chain Operations Security | 대응표 | A.5.22 | NIST SP 800-53 → ISO 27001 mapping |
| SR-11 | Component Authenticity | 대응표 | A.5.19A.5.21 | 같은 주제: 공급망 위험 |
ISO/IEC 27001:2022 요구사항 123개 중 121개는 800-53의 항목에 매핑되고, 1개는 느슨하게만 관련되며, 1개는 보유 데이터에 매핑이 없습니다.
신규 작업이 필요할 가능성: 800-53에 매핑되지 않은 ISO 27001 요구사항 (1)
| ISO 27001 | 요구사항 | 일치 | 800-53 | 증거 |
|---|---|---|---|---|
| ISMS clauses 4–10 · 1 | ||||
| Clause 6.3 | Planning of changes | 보유 데이터에 매핑 없음 | — | 보유 데이터에 800-53에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (1)
| ISO 27001 | 요구사항 | 일치 | 800-53 | 증거 |
|---|---|---|---|---|
| A.8 Technological controls · 1 | ||||
| A.8.34 | Protection of information systems during audit testing | PM-4PM-6RA-7+2 | CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (121)
| ISO 27001 | 요구사항 | 일치 | 800-53 | 증거 |
|---|---|---|---|---|
| A.5 Organizational controls · 37 | ||||
| A.5.1 | Policies for information security | 대응표 | PL-1PM-1AC-1+16 | 같은 주제: 거버넌스 정책 |
| A.5.2 | Information security roles and responsibilities | 대응표 | PM-2PM-29PS-9+25 | 같은 주제: 역할 및 책임 |
| A.5.3 | Segregation of duties | 대응표 | AC-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.4 | Management responsibilities | 대응표 | PM-2PM-29PS-9+23 | 같은 주제: 역할 및 책임 |
| A.5.5 | Contact with authorities | 대응표 | IR-6 | 같은 주제: 보고 |
| A.5.6 | Contact with special interest groups | 대응표 | IR-7PM-15SI-5 | 같은 주제: 커뮤니케이션 (편집부 추천) |
| A.5.7 | Threat intelligence | 대응표 | PM-15PM-16SI-5+1 | 같은 주제: 위협 인텔리전스 |
| A.5.8 | Information security in project management | 대응표 | PL-2PL-7PL-8+4 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.9 | Inventory of information and other associated assets | 대응표 | CM-8PM-5 | 같은 주제: 자산 관리 |
| A.5.10 | Acceptable use of information and other associated assets | 대응표 | MP-2MP-4MP-5+8 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.11 | Return of assets | 대응표 | CM-8PM-5PS-4+1 | 같은 주제: 자산 관리 |
| A.5.12 | Classification of information | 대응표 | RA-2 | 같은 주제: 데이터 분류 |
| A.5.13 | Labelling of information | 대응표 | RA-2MP-3PE-22 | 같은 주제: 데이터 분류 |
| A.5.14 | Information transfer | 대응표 | SC-8SC-28SI-3+13 | 같은 주제: 데이터 보호, 이메일 보안 |
| A.5.15 | Access control | 대응표 | AC-2AC-3AC-4+3 | 같은 주제: 접근 통제, 제로 트러스트 |
| A.5.16 | Identity management | 대응표 | AC-2AC-3IA-2+3 | 같은 주제: 접근 통제 |
| A.5.17 | Authentication information | 대응표 | IA-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.18 | Access rights | 대응표 | AC-2AC-3 | 같은 주제: 접근 통제 |
| A.5.19 | Information security in supplier relationships | 대응표 | PM-30SA-4SA-9+5 | 같은 주제: 공급망 위험, 벤더 리스크 관리 |
| A.5.20 | Addressing information security within supplier agreements | 대응표 | SA-4SA-9SR-6+3 | 같은 주제: 벤더 리스크 관리 |
| A.5.21 | Managing information security in the ICT supply chain | 대응표 | PM-30SR-2SR-3+3 | 같은 주제: 공급망 위험 |
| A.5.22 | Monitoring, review and change management of supplier services | 대응표 | SA-4SA-9SR-6+2 | 같은 주제: 벤더 리스크 관리 |
| A.5.23 | Information security for use of cloud services | 대응표 | AC-20SA-9SA-1+2 | 같은 주제: 클라우드 보안 |
| A.5.24 | Information security incident management planning and preparation | 대응표 | IR-4IR-8IR-2+1 | 같은 주제: 사고 대응 |
| A.5.25 | Assessment and decision on information security events | 대응표 | AU-6AU-6(3)IR-4+4 | 같은 주제: SIEM / SOC, 사고 대응 |
| A.5.26 | Response to information security incidents | 대응표 | CP-10IR-4IR-6+3 | 같은 주제: 커뮤니케이션 및 복구, 사고 대응, 완화 |
| A.5.27 | Learning from information security incidents | 대응표 | IR-4 | 같은 주제: 교훈 도출 |
| A.5.28 | Collection of evidence | 대응표 | AU-7SI-2(7)AU-3+2 | 같은 주제: 포렌식 |
| A.5.29 | Information security during disruption | 대응표 | CP-2CP-2(8)CP-10+7 | 같은 주제: 복구 계획 수립, 비즈니스 연속성 |
| A.5.30 | ICT readiness for business continuity | 대응표 | CP-2CP-2(8)CP-10+3 | 같은 주제: 복구 계획 수립, 비즈니스 연속성, 재해 복구 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 대응표 | PM-4PM-6CA-2+18 | 같은 주제: 컴플라이언스 |
| A.5.32 | Intellectual property rights | 대응표 | CM-10 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.33 | Protection of records | 대응표 | AC-3AU-9CP-9+2 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.34 | Privacy and protection of PII | 대응표 | PL-2PM-18PT-1+2 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.35 | Independent review of information security | 대응표 | CA-2 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.36 | Compliance with policies, rules and standards for information security | 대응표 | CA-2PM-4PM-6+19 | 같은 주제: 컴플라이언스 (편집부 추천) |
| A.5.37 | Documented operating procedures | 대응표 | PL-1PM-1AC-1+17 | 같은 주제: 거버넌스 정책 |
| A.6 People controls · 8 | ||||
| A.6.1 | Screening | 대응표 | AC-2(12)AU-13PM-12+2 | 같은 주제: 내부자 위협 |
| A.6.2 | Terms and conditions of employment | 대응표 | PL-4PS-6 | NIST SP 800-53 → ISO 27001 mapping |
| A.6.3 | Information security awareness, education and training | 대응표 | AT-2AT-3CP-3+2 | 같은 주제: 인식 제고 및 교육 |
| A.6.4 | Disciplinary process | 대응표 | AC-2(12)AU-13PM-12+1 | 같은 주제: 내부자 위협 |
| A.6.5 | Responsibilities after termination or change of employment | 대응표 | PS-4PS-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.6.6 | Confidentiality or non-disclosure agreements | 대응표 | PS-6 | NIST SP 800-53 → ISO 27001 mapping |
| A.6.7 | Remote working | 대응표 | AC-19AC-19(5)AC-17+1 | 같은 주제: 모바일 보안 (편집부 추천) |
| A.6.8 | Information security event reporting | 대응표 | IR-6AU-6SI-2 | 같은 주제: 보고 |
| A.7 Physical controls · 14 | ||||
| A.7.1 | Physical security perimeters | 대응표 | PE-2PE-3PE-6+3 | 같은 주제: 물리적 보안 |
| A.7.2 | Physical entry | 대응표 | PE-2PE-3PE-6+6 | 같은 주제: 물리적 보안 |
| A.7.3 | Securing offices, rooms and facilities | 대응표 | PE-2PE-3PE-6+4 | 같은 주제: 물리적 보안 |
| A.7.4 | Physical security monitoring | 대응표 | PE-2PE-3PE-6+4 | 같은 주제: 물리적 보안 |
| A.7.5 | Protecting against physical and environmental threats | 대응표 | PE-2PE-3PE-6+10 | 같은 주제: 물리적 보안 |
| A.7.6 | Working in secure areas | 대응표 | PE-2PE-3PE-6+3 | 같은 주제: 물리적 보안 |
| A.7.7 | Clear desk and clear screen | 대응표 | AC-11MP-2MP-4+1 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.8 | Equipment siting and protection | 대응표 | PE-2PE-3PE-6+8 | 같은 주제: 물리적 보안 |
| A.7.9 | Security of assets off-premises | 대응표 | AC-19AC-20MP-5+1 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.10 | Storage media | 대응표 | MA-2MP-2MP-4+4 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.11 | Supporting utilities | 대응표 | PE-2PE-3PE-6+9 | 같은 주제: 물리적 보안 |
| A.7.12 | Cabling security | 대응표 | PE-2PE-3PE-6+5 | 같은 주제: 물리적 보안 |
| A.7.13 | Equipment maintenance | 대응표 | MA-2MA-6 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.14 | Secure disposal or re-use of equipment | 대응표 | CM-8PM-5MP-6 | 같은 주제: 자산 관리 |
| A.8 Technological controls · 33 | ||||
| A.8.1 | User endpoint devices | 대응표 | AC-19AC-19(5)CM-7(5)+3 | 같은 주제: 모바일 보안, 엔드포인트 보호 |
| A.8.2 | Privileged access rights | 대응표 | AC-2(7)AC-6(5)AC-2+2 | 같은 주제: 특권 접근 |
| A.8.3 | Information access restriction | 대응표 | AC-2AC-3AC-24 | 같은 주제: 접근 통제 |
| A.8.4 | Access to source code | 대응표 | AC-3CM-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.5 | Secure authentication | 대응표 | AC-3AC-4AC-6+10 | 같은 주제: 제로 트러스트 |
| A.8.6 | Capacity management | 대응표 | AU-4CP-2SC-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.7 | Protection against malware | 대응표 | CM-7(5)SI-3SI-4+1 | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| A.8.8 | Management of technical vulnerabilities | 대응표 | CA-8RA-5SI-2+2 | 같은 주제: 취약점 관리, 패치 관리 |
| A.8.9 | Configuration management | 대응표 | CM-2CM-6CM-7+7 | 같은 주제: 보안 구성 |
| A.8.10 | Information deletion | 대응표 | SC-8SC-28SI-7+8 | 같은 주제: 데이터 보호 |
| A.8.11 | Data masking | 대응표 | SC-8SC-28SI-7+2 | 같은 주제: 데이터 보호 |
| A.8.12 | Data leakage prevention | 대응표 | AC-4SC-7(10)AU-13+3 | 같은 주제: DLP |
| A.8.13 | Information backup | 대응표 | CP-6CP-9 | 같은 주제: 백업 및 복구 |
| A.8.14 | Redundancy of information processing facilities | 대응표 | CP-2(8)CP-10CP-7+2 | 같은 주제: 비즈니스 연속성, 재해 복구 |
| A.8.15 | Logging | 대응표 | AU-2AU-3AU-11+4 | 같은 주제: 로깅 및 감사 |
| A.8.16 | Monitoring activities | 대응표 | AC-2(12)AU-6AU-6(3)+10 | 같은 주제: 내부자 위협, 이상 징후 탐지, SIEM / SOC |
| A.8.17 | Clock synchronization | 대응표 | AU-2AU-3AU-11+2 | 같은 주제: 로깅 및 감사 |
| A.8.18 | Use of privileged utility programs | 대응표 | AC-2(7)AC-6(5)AC-3+1 | 같은 주제: 특권 접근 |
| A.8.19 | Installation of software on operational systems | 대응표 | CM-7(5)SI-4SI-3+3 | 같은 주제: 엔드포인트 보호 |
| A.8.20 | Networks security | 대응표 | AC-4SC-7SC-20+7 | 같은 주제: 방화벽 / 네트워크 분리, WAF, DNS 보안 |
| A.8.21 | Security of network services | 대응표 | AC-4SC-7SC-20+4 | 같은 주제: 방화벽 / 네트워크 분리, DNS 보안 |
| A.8.22 | Segregation of networks | 대응표 | AC-3AC-4AC-6+2 | 같은 주제: 제로 트러스트, 방화벽 / 네트워크 분리 |
| A.8.23 | Web filtering | 대응표 | AC-4SC-7 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.24 | Use of cryptography | 대응표 | SC-8SC-12SC-13+2 | 같은 주제: 암호화 |
| A.8.25 | Secure development life cycle | 대응표 | SA-3SA-8SA-11+2 | 같은 주제: 보안 개발 |
| A.8.26 | Application security requirements | 대응표 | IA-9SA-3SA-8+8 | 같은 주제: API 보안, 보안 개발 |
| A.8.27 | Secure system architecture and engineering principles | 대응표 | SA-8SA-17 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.28 | Secure coding | 대응표 | SA-3SA-8SA-11+3 | 같은 주제: 보안 개발 |
| A.8.29 | Security testing in development and acceptance | 대응표 | SA-3SA-8SA-11+4 | 같은 주제: 보안 개발 |
| A.8.30 | Outsourced development | 대응표 | SA-4SA-10SA-11+3 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.31 | Separation of development, test and production environments | 대응표 | CM-4CM-5SA-3 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.32 | Change management | 대응표 | CM-3CM-5SA-10+1 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.33 | Test information | 대응표 | SA-3 | NIST SP 800-53 → ISO 27001 mapping |
| ISMS clauses 4–10 · 29 | ||||
| Clause 4.1 | Understanding the organization and its context | 대응표 | PM-11RA-9PM-1 | 같은 주제: 사업 환경 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 대응표 | PM-11RA-9PM-1 | 같은 주제: 사업 환경 |
| Clause 4.3 | Determining the scope of the ISMS | 대응표 | PM-1PM-9PM-28 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 4.4 | Information security management system | 대응표 | PM-1PM-9PM-30+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 5.1 | Leadership and commitment | 대응표 | PM-2PM-3PM-29 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 5.2 | Policy | 대응표 | PL-1PM-1AC-1+17 | 같은 주제: 거버넌스 정책 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 대응표 | AC-1AT-1AU-1+19 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 6.1.1 | General | 대응표 | PM-9PM-28RA-7+3 | 같은 주제: 위험 관리 |
| Clause 6.1.2 | Information security risk assessment | 대응표 | RA-3RA-7PM-9+1 | 같은 주제: 위험 평가 |
| Clause 6.1.3 | Information security risk treatment | 대응표 | PM-9PM-28RA-3+1 | 같은 주제: 위험 관리, 위험 평가 |
| Clause 6.2 | Information security objectives and planning to achieve them | 대응표 | PM-1PM-3PM-4+6 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.1 | Resources | 대응표 | PM-3 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.2 | Competence | 대응표 | PM-13 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.3 | Awareness | 대응표 | AT-2AT-3PS-8 | 같은 주제: 인식 제고 및 교육 |
| Clause 7.4 | Communication | 대응표 | CP-10IR-6IR-7+4 | 같은 주제: 커뮤니케이션 및 복구, 커뮤니케이션 |
| Clause 7.5.1 | General | 대응표 | AC-1AT-1AU-1+25 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.5.2 | Creating and updating | 대응표 | AC-1AT-1AU-1+25 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.5.3 | Control of documented information | 대응표 | AC-1AT-1AU-1+25 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 8.1 | Operational planning and control | 대응표 | CM-3PL-7PM-1+2 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 8.2 | Information security risk assessment | 대응표 | RA-3 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 8.3 | Information security risk treatment | 대응표 | CA-5PM-4RA-7 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 대응표 | PM-4PM-6CA-2+2 | 같은 주제: 컴플라이언스 |
| Clause 9.2.1 | General | 대응표 | CA-2 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.2.2 | Internal audit programme | 대응표 | CA-1CA-2CA-7+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.3.1 | General | 대응표 | CA-1CA-6PM-1+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.3.2 | Management review inputs | 대응표 | CA-7PM-4RA-3 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.3.3 | Management review results | 대응표 | CA-5CA-6CA-7+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 10.1 | Continual improvement | 대응표 | IR-4PM-1PM-9+1 | 같은 주제: 교훈 도출 (편집부 추천) |
| Clause 10.2 | Nonconformity and corrective action | 대응표 | CA-5PL-2PM-4+2 | NIST SP 800-53 → ISO 27001 mapping |
주제별
양쪽 모두 포함 (50):
거버넌스 정책인식 제고 및 교육위험 관리공급망 위험역할 및 책임컴플라이언스자산 관리위험 평가사업 환경데이터 분류취약점 관리위협 인텔리전스접근 통제다단계 인증암호화데이터 보호백업 및 복구특권 접근방화벽 / 네트워크 분리엔드포인트 보호패치 관리보안 구성보안 개발이메일 보안웹 보안제로 트러스트모바일 보안클라우드 보안DNS 보안WAFDLP지속적 모니터링로깅 및 감사침입 탐지이상 징후 탐지SIEM / SOC사고 대응포렌식커뮤니케이션완화보고복구 계획 수립비즈니스 연속성교훈 도출커뮤니케이션 및 복구재해 복구API 보안내부자 위협벤더 리스크 관리물리적 보안
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.