비교
NIST CSF 2.0 vs HIPAA 보안 규칙: CSF로 HIPAA 충족하기
NIST Cybersecurity Framework 2.0 · HIPAA Security Rule · 데이터 2026-10-27
HIPAA 보안 규칙(45 CFR Part 164, Subpart C)은 적용 대상 기관(covered entity)과 비즈니스 어소시에이트(business associate)에 전자적 보호 대상 건강정보(ePHI)를 행정적, 물리적, 기술적 안전장치로 보호하도록 요구합니다. 일부 구현 명세는 필수이고 나머지는 적용 가능(addressable)입니다. 이 규칙은 민권국(OCR)이 집행하며, 그 중심에는 철저한 위험 분석이 있습니다.
NIST의 자체 지침인 SP 800-66 Rev 2는 보안 규칙을 NIST 통제 항목과 연결하며, ControlMapping은 NIST의 HIPAA → SP 800-53 대응표를 활용해 각 HIPAA 요구사항을 CSF 성과와 연결합니다. CSF에서 HIPAA로 방향을 바꾸면 거의 모든 보안 규칙 기준과 명세가 매핑되거나 느슨하게 관련됩니다. 즉, CSF에 맞춰 운영하는 프로그램은 HIPAA가 요구하는 대부분을 이미 수행하는 셈입니다.
나머지 HIPAA 항목은 명확한 CSF 성과가 없는 구체적 의무로, 비즈니스 어소시에이트 계약 조건이나 매체 재사용 등이 여기에 해당합니다. 이들은 기술적 통제가 아니라 법적, 계약적 요구사항입니다.
HIPAA에서 CSF로 방향을 바꾸면 CSF가 HIPAA보다 더 많은 것을 요구합니다. 위험 전략, 이해관계자 기대, 공급망 위험 관리 같은 거버넌스 성과와 신원 확인, 위협 인텔리전스, 安全한 소프트웨어 개발이 이에 해당합니다. HHS는 2025년 1월 보안 규칙의 상당한 개정안을 제안했으므로, 필수와 적용 가능의 구분에 의존하기 전에 현행 규칙을 확인하십시오.
핵심 요점
- 문서화된 위험 분석부터 시작하십시오. 이는 감사인과 OCR 조사가 HIPAA 요구사항 중 가장 중점적으로 살피는 항목입니다.
- CSF → HIPAA: 법적 요소(비즈니스 어소시에이트 계약, 정책, 문서 보존)를 추가하십시오.
- 여기서 HIPAA는 보안 규칙만을 의미하며, 프라이버시 규칙이나 침해 통지 규칙은 포함하지 않습니다.
HIPAA Security Rule 요구사항 69개 중 38개는 NIST CSF 2.0의 항목에 매핑되고, 29개는 느슨하게만 관련되며, 2개는 보유 데이터에 매핑이 없습니다.
HIPAA 보안 규칙(Security Rule)만 포괄합니다(프라이버시 규칙 및 위반 통지 규칙은 제외).
신규 작업이 필요할 가능성: NIST CSF 2.0에 매핑되지 않은 HIPAA 요구사항 (2)
| HIPAA | 요구사항 | 일치 | NIST CSF 2.0 | 증거 |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (29)
| HIPAA | 요구사항 | 일치 | NIST CSF 2.0 | 증거 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | GV.OC-03GV.OV-01GV.PO-01+2 | CSF GV.OC-03, GV.OV-01, GV.PO-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3) | Workforce Security | DE.CM-01DE.CM-03GV.OC-03+5 | CSF DE.CM-01, DE.CM-03, GV.OC-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | DE.CM-01DE.CM-03DE.CM-06+5 | CSF DE.CM-01, DE.CM-03, DE.CM-06만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | GV.OC-03GV.OV-01GV.PO-01+3 | CSF GV.OC-03, GV.OV-01, GV.PO-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | ID.AM-03PR.AA-05PR.DS-01+2 | CSF ID.AM-03, PR.AA-05, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | DE.CM-01DE.CM-03DE.CM-06+5 | CSF DE.CM-01, DE.CM-03, DE.CM-06만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | DE.CM-01DE.CM-03GV.OC-03+5 | CSF DE.CM-01, DE.CM-03, GV.OC-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | DE.AE-02DE.AE-03PR.AT-01+2 | CSF DE.AE-02, DE.AE-03, PR.AT-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | PR.AT-01PR.AT-02 | CSF PR.AT-01, PR.AT-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | GV.OC-04ID.AM-05ID.RA-04+4 | CSF GV.OC-04, ID.AM-05, ID.RA-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | DE.CM-06GV.OC-05GV.SC-04+5 | CSF DE.CM-06, GV.OC-05, GV.SC-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | DE.CM-02GV.OC-04PR.AA-06+5 | CSF DE.CM-02, GV.OC-04, PR.AA-06만 공유: 관련은 있으나 매핑은 아님 | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | GV.OC-03GV.OV-01GV.PO-01+3 | CSF GV.OC-03, GV.OV-01, GV.PO-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | DE.CM-01DE.CM-03GV.OC-04+5 | CSF DE.CM-01, DE.CM-03, GV.OC-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | PR.AA-03 | CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | DE.CM-09ID.RA-09PR.DS-01+3 | CSF DE.CM-09, ID.RA-09, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(e)(1) | Transmission Security | PR.DS-02 | CSF PR.DS-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | DE.CM-09ID.RA-09PR.DS-01+3 | CSF DE.CM-09, ID.RA-09, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | DE.CM-06GV.OC-05GV.RR-04+5 | CSF DE.CM-06, GV.OC-05, GV.RR-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(a)(2)(ii) | Required Other Arrangements | DE.CM-06GV.OC-05GV.RR-04+5 | CSF DE.CM-06, GV.OC-05, GV.RR-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | DE.CM-06GV.OC-05GV.RR-04+5 | CSF DE.CM-06, GV.OC-05, GV.RR-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b) | Requirements for Group Health Plans | ID.AM-03ID.AM-08 | CSF ID.AM-03, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | CSF ID.AM-03, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | CSF ID.AM-03, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | DE.CM-06GV.OC-05GV.SC-04+5 | CSF DE.CM-06, GV.OC-05, GV.SC-04만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | RC.CO-03RS.AN-06RS.AN-07+5 | CSF RC.CO-03, RS.AN-06, RS.AN-07만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | ID.AM-03ID.AM-08ID.RA-01 | CSF ID.AM-03, ID.AM-08, ID.RA-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316(b)(2)(i) | Required Time Limit | ID.AM-07ID.AM-08 | CSF ID.AM-07, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316(b)(2)(ii) | Required Availability | GV.OC-03GV.OV-01GV.PO-01+5 | CSF GV.OC-03, GV.OV-01, GV.PO-01만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (38)
| HIPAA | 요구사항 | 일치 | NIST CSF 2.0 | 증거 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | 대응표 | ID.RA-03ID.RA-04ID.RA-05+3 | 같은 주제: 위험 평가 |
| §164.308(a)(1)(ii)(B) | Required Risk Management | 편집 콘텐츠 | GV.RM-01GV.RM-02GV.RM-03+3 | 같은 주제: 위험 관리 (편집부 추천) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | 편집 콘텐츠 | DE.CM-03GV.RR-04 | 같은 주제: 내부자 위협 (편집부 추천) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | 대응표 | DE.AE-03DE.AE-06DE.AE-08+3 | 같은 주제: SIEM / SOC |
| §164.308(a)(2) | Assigned Security Responsibility | 대응표 | GV.RR-01GV.RR-02GV.RR-03 | 같은 주제: 역할 및 책임 |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | 대응표 | DE.CM-03GV.RR-04 | 같은 주제: 내부자 위협 |
| §164.308(a)(4) | Information Access Management | 대응표 | PR.AA-01PR.AA-05 | 같은 주제: 접근 통제 |
| §164.308(a)(5) | Security Awareness and Training | 대응표 | PR.AT-01PR.AT-02 | 같은 주제: 인식 제고 및 교육 |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | 대응표 | PR.AT-01PR.AT-02 | 같은 주제: 인식 제고 및 교육 |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | 편집 콘텐츠 | DE.CM-09PR.PS-05 | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| §164.308(a)(6) | Security Incident Procedures | 대응표 | ID.IM-04RS.MA-01RS.MA-02+2 | 같은 주제: 사고 대응 |
| §164.308(a)(6)(ii) | Required Response and Reporting | 대응표 | ID.IM-04RS.CO-02RS.MA-01+5 | 같은 주제: 사고 대응, 보고 |
| §164.308(a)(7) | Contingency Plan | 대응표 | ID.IM-04RC.RP-01RC.RP-02 | 같은 주제: 복구 계획 수립 |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | 대응표 | PR.DS-11RC.RP-03 | 같은 주제: 백업 및 복구 |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | 대응표 | ID.IM-04PR.IR-03RC.RP-01+2 | 같은 주제: 복구 계획 수립, 재해 복구 |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | 대응표 | GV.OC-04PR.IR-03RC.RP-04 | 같은 주제: 비즈니스 연속성 |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | 편집 콘텐츠 | PR.IR-03RC.RP-02RC.RP-05 | 같은 주제: 재해 복구 (편집부 추천) |
| §164.308(a)(8) | Evaluation | 대응표 | ID.RA-01ID.RA-08GV.OC-03+1 | 같은 주제: 취약점 관리, 컴플라이언스 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 대응표 | DE.CM-06GV.SC-04GV.SC-06+5 | 같은 주제: 벤더 리스크 관리 |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | 편집 콘텐츠 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 (편집부 추천) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| §164.310(b) | Workstation Use | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| §164.310(c) | Workstation Security | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| §164.310(d) | Device and Media Controls | 대응표 | ID.AM-01ID.AM-02ID.AM-04+3 | 같은 주제: 자산 관리 |
| §164.310(d)(2)(i) | Required Disposal | 편집 콘텐츠 | PR.DS-01PR.DS-02PR.DS-10 | 같은 주제: 데이터 보호 (편집부 추천) |
| §164.310(d)(2)(iii) | Addressable Accountability | 대응표 | ID.AM-01ID.AM-02ID.AM-04+1 | 같은 주제: 자산 관리 |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | 대응표 | PR.DS-11RC.RP-03 | 같은 주제: 백업 및 복구 |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | 대응표 | PR.AA-01PR.AA-05 | 같은 주제: 접근 통제 |
| §164.312(a)(2)(i) | Required Unique User Identification | 대응표 | PR.AA-01PR.AA-05 | 같은 주제: 접근 통제 |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | 대응표 | PR.DS-01PR.DS-02 | 같은 주제: 암호화 |
| §164.312(b) | Audit Controls | 대응표 | DE.AE-03PR.PS-04 | 같은 주제: 로깅 및 감사 |
| §164.312(c) | Integrity | 대응표 | PR.DS-01PR.DS-02PR.DS-10 | 같은 주제: 데이터 보호 |
| §164.312(d) | Person or Entity Authentication | 편집 콘텐츠 | PR.AA-01PR.AA-05 | 같은 주제: 접근 통제 (편집부 추천) |
| §164.312(e)(2)(ii) | Addressable Encryption | 대응표 | PR.DS-01PR.DS-02 | 같은 주제: 암호화 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 대응표 | DE.CM-06GV.SC-04GV.SC-06+2 | 같은 주제: 벤더 리스크 관리 |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | 대응표 | GV.PO-01GV.PO-02 | 같은 주제: 거버넌스 정책 |
| §164.316(b)(2)(iii) | Required Updates | 대응표 | GV.PO-01GV.PO-02 | 같은 주제: 거버넌스 정책 |
NIST Cybersecurity Framework 2.0 요구사항 106개 중 63개는 HIPAA의 항목에 매핑되고, 27개는 느슨하게만 관련되며, 16개는 보유 데이터에 매핑이 없습니다.
신규 작업이 필요할 가능성: HIPAA에 매핑되지 않은 NIST CSF 2.0 요구사항 (16)
| NIST CSF 2.0 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-04 | The estimated impact and scope of adverse events are understood | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Govern (GV) · 7 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Identify (ID) · 4 | ||||
| ID.IM-01 | Improvements are identified from evaluations | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| Protect (PR) · 4 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (27)
| NIST CSF 2.0 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| Detect (DE) · 2 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(C)§164.308(a)(6)+3 | CSF DE.AE-02만 공유: 관련은 있으나 매핑은 아님 | |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | CSF DE.AE-07만 공유: 관련은 있으나 매핑은 아님 | |
| Govern (GV) · 8 | ||||
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | CSF GV.OC-05만 공유: 관련은 있으나 매핑은 아님 | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | CSF GV.OV-01만 공유: 관련은 있으나 매핑은 아님 | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | CSF GV.RM-07만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)+5 | CSF GV.SC-03만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | CSF GV.SC-05만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | §164.308(a)(6)§164.308(a)(7)§164.308(b)(1)+5 | CSF GV.SC-08만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | CSF GV.SC-09만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | CSF GV.SC-10만 공유: 관련은 있으나 매핑은 아님 | |
| Identify (ID) · 5 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | §164.308(a)(1)(ii)(B)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)+5 | CSF ID.AM-03만 공유: 관련은 있으나 매핑은 아님 | |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+1 | CSF ID.AM-05만 공유: 관련은 있으나 매핑은 아님 | |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | §164.316(b)(2)(i) | CSF ID.AM-07만 공유: 관련은 있으나 매핑은 아님 | |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | §164.308(a)(1)(ii)(D)§164.308(a)(8) | CSF ID.RA-07만 공유: 관련은 있으나 매핑은 아님 | |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | §164.308(b)(4)§164.312(c)§164.312(c)(2)+4 | CSF ID.RA-09만 공유: 관련은 있으나 매핑은 아님 | |
| Protect (PR) · 3 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)+1 | CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.310(a)(2)(i) | CSF PR.IR-04만 공유: 관련은 있으나 매핑은 아님 | |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | CSF PR.PS-02만 공유: 관련은 있으나 매핑은 아님 | |
| Recover (RC) · 3 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | CSF RC.CO-03만 공유: 관련은 있으나 매핑은 아님 | |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+5 | CSF RC.CO-04만 공유: 관련은 있으나 매핑은 아님 | |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | §164.308(a)(6)§164.308(a)(6)(ii) | CSF RC.RP-06만 공유: 관련은 있으나 매핑은 아님 | |
| Respond (RS) · 6 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+1 | CSF RS.AN-03만 공유: 관련은 있으나 매핑은 아님 | |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | CSF RS.AN-06만 공유: 관련은 있으나 매핑은 아님 | |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | CSF RS.AN-07만 공유: 관련은 있으나 매핑은 아님 | |
| RS.AN-08 | An incident's magnitude is estimated and validated | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(6)+2 | CSF RS.AN-08만 공유: 관련은 있으나 매핑은 아님 | |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | CSF RS.CO-03만 공유: 관련은 있으나 매핑은 아님 | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | §164.308(a)(6)§164.308(a)(6)(ii) | CSF RS.MA-05만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (63)
| NIST CSF 2.0 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-03 | Information is correlated from multiple sources | 대응표 | §164.308(a)(1)(ii)(D)§164.312(b) | 같은 주제: SIEM / SOC, 로깅 및 감사 |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | 대응표 | §164.308(a)(1)(ii)(D) | 같은 주제: SIEM / SOC |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | 대응표 | §164.308(a)(1)(ii)(D) | 같은 주제: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | 대응표 | §164.308(a)(1)(ii)(D) | 같은 주제: 지속적 모니터링 |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | 대응표 | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 같은 주제: 지속적 모니터링, 내부자 위협 |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | 대응표 | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(B) | 같은 주제: 지속적 모니터링, 엔드포인트 보호 |
| Govern (GV) · 16 | ||||
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | 편집 콘텐츠 | §164.308(a)(8) | 같은 주제: 컴플라이언스 (편집부 추천) |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | 대응표 | §164.308(a)(7)(ii)(C) | 같은 주제: 비즈니스 연속성 |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | 편집 콘텐츠 | §164.308(a)(8) | 같은 주제: 컴플라이언스 (편집부 추천) |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | 대응표 | §164.316(a)§164.316(b)(2)(iii) | 같은 주제: 거버넌스 정책 |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | 대응표 | §164.316(a)§164.316(b)(2)(iii) | 같은 주제: 거버넌스 정책 |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | 같은 주제: 위험 관리 (편집부 추천) |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | 같은 주제: 위험 관리 (편집부 추천) |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | 같은 주제: 위험 관리 (편집부 추천) |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | 같은 주제: 위험 관리 (편집부 추천) |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | 대응표 | §164.308(a)(2) | 같은 주제: 역할 및 책임 |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | 대응표 | §164.308(a)(2) | 같은 주제: 역할 및 책임 |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | 대응표 | §164.308(a)(2) | 같은 주제: 역할 및 책임 |
| GV.RR-04 | Cybersecurity is included in human resources practices | 대응표 | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 같은 주제: 내부자 위협 |
| GV.SC-04 | Suppliers are known and prioritized by criticality | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| Identify (ID) · 12 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | 대응표 | §164.310(d)§164.310(d)(2)(iii) | 같은 주제: 자산 관리 |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | 대응표 | §164.310(d)§164.310(d)(2)(iii) | 같은 주제: 자산 관리 |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | 대응표 | §164.308(b)(1)§164.310(d)§164.310(d)(2)(iii) | 같은 주제: 클라우드 보안, 자산 관리 |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | 대응표 | §164.310(d)§164.310(d)(2)(iii) | 같은 주제: 자산 관리 |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | 대응표 | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+1 | 같은 주제: 사고 대응, 복구 계획 수립 |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | 대응표 | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 같은 주제: 취약점 관리 |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | 대응표 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | 대응표 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | 대응표 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | 대응표 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | 대응표 | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 같은 주제: 취약점 관리 |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | 대응표 | §164.308(b)(1)§164.314(a) | 같은 주제: 벤더 리스크 관리 |
| Protect (PR) · 15 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | 대응표 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 같은 주제: 접근 통제 |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | 대응표 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+2 | 같은 주제: 접근 통제 |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | 대응표 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 같은 주제: 인식 제고 및 교육 |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | 대응표 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 같은 주제: 인식 제고 및 교육 |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | 대응표 | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | 같은 주제: 암호화, 데이터 보호 |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | 대응표 | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | 같은 주제: 암호화, 데이터 보호 |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | 대응표 | §164.312(c)§164.310(d)(2)(i) | 같은 주제: 데이터 보호 |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | 대응표 | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | 같은 주제: 백업 및 복구 |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | 대응표 | §164.308(b)(1) | 같은 주제: 클라우드 보안 |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | 대응표 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 같은 주제: 물리적 보안 |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | 대응표 | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | 같은 주제: 재해 복구, 비즈니스 연속성 |
| PR.PS-01 | Configuration management practices are established and applied | 대응표 | §164.308(b)(1)§164.310(d) | 같은 주제: 클라우드 보안, 모바일 보안 |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | 대응표 | §164.312(b) | 같은 주제: 로깅 및 감사 |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | 편집 콘텐츠 | §164.308(a)(5)(ii)(B) | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| Recover (RC) · 5 | ||||
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | 대응표 | §164.308(a)(7)§164.308(a)(7)(ii)(B) | 같은 주제: 복구 계획 수립 |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | 대응표 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | 같은 주제: 복구 계획 수립, 재해 복구 |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | 대응표 | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | 같은 주제: 백업 및 복구 |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | 대응표 | §164.308(a)(7)(ii)(C) | 같은 주제: 비즈니스 연속성 |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | 대응표 | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | 같은 주제: 재해 복구 |
| Respond (RS) · 7 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | 대응표 | §164.308(a)(6)(ii) | 같은 주제: 보고 |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | 대응표 | §164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: 사고 대응 |
| RS.MA-02 | Incident reports are triaged and validated | 대응표 | §164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: 사고 대응 |
| RS.MA-03 | Incidents are categorized and prioritized | 대응표 | §164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: 사고 대응 |
| RS.MA-04 | Incidents are escalated or elevated as needed | 대응표 | §164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: 사고 대응 |
| RS.MI-01 | Incidents are contained | 대응표 | §164.308(a)(6)(ii) | 같은 주제: 완화 |
| RS.MI-02 | Incidents are eradicated | 대응표 | §164.308(a)(6)(ii) | 같은 주제: 완화 |
주제별
양쪽 모두 포함 (27):
거버넌스 정책인식 제고 및 교육위험 관리역할 및 책임컴플라이언스자산 관리위험 평가취약점 관리접근 통제암호화데이터 보호백업 및 복구엔드포인트 보호모바일 보안클라우드 보안지속적 모니터링로깅 및 감사SIEM / SOC사고 대응완화보고복구 계획 수립비즈니스 연속성재해 복구내부자 위협벤더 리스크 관리물리적 보안
NIST CSF 2.0만 해당 (23):
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.