비교
NIST CSF 2.0 대 ISO 27001: 성과 중심 대 인증 가능한 시스템
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · 데이터 2026-10-27
Paul Gillet 기준 · 2026-10-17 업데이트
NIST의 Cybersecurity Framework 2.0은 성과를 기술합니다: 여섯 개 기능(관리, 식별, 보호, 탐지, 대응, 복구) 아래에 106개 하위 범주가 있습니다. 자발적 프레임워크이며 인증 대상이 아니고, 각 성과를 어떻게 달성할지는 의도적으로 명시하지 않습니다. ISO/IEC 27001은 인증 가능한 표준으로, 정보보안 관리 시스템을 요구하며 부속서 A에서 통제를 근거 있게 선택하도록 요구합니다.
NIST가 CSF 2.0에서 ISO 27001로 연결되는 정보 참조 대응표를 공개하고 있으므로, 두 프레임워크는 긴밀하게 대응되며 거의 모든 CSF 성과에 ISO 통제가 연결되어 있습니다. 조직은 흔히 CSF를 이사회를 위한 언어로, ISO 27001을 그 아래에서 운영하고 인증받는 프레임워크로 사용합니다.
CSF에서 ISO로 옮겨갈 때 차이는 보안 성과가 아니라 관리 시스템에 있습니다. CSF의 관리 기능은 전략, 정책, 역할, 감독을 다루지만, ISO는 CSF가 열어 두는 구체적인 메커니즘을 규정합니다. 즉 정의된 ISMS 범위, 정보보안 목표, 문서화된 정보의 통제, 내부 감사 프로그램, 경영 검토입니다. 이 조항들은 아래에서 매칭되지 않음으로 표시됩니다.
ISO에서 CSF로 옮겨갈 때 대응 범위는 사실상 완전합니다. 작업은 번역에 가깝습니다. ISMS를 바탕으로 CSF 현재 프로필과 목표 프로필을 구성하고, 위험 처리 결정을 CSF 성과로 표현하는 일입니다.
한눈에 보기
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| 개요 | 성과 중심의 자발적 프레임워크 | 인증 가능한 관리 시스템 표준 |
| 구조 | 6개 기능, 22개 범주, 106개 하위 범주 | 4~10항 및 93개 부속서 A 통제 |
| 인증 | 없음 | 있음, 공인 인증기관을 통해 |
| 사용 비용 | 무료 | 표준은 ISO에서 판매되며, 인증에는 감사 비용이 추가됩니다 |
| 적합한 용도 | 프로그램 구성, 이사회 보고, 자가 평가 | 고객과 규제기관에 국제적으로 보안 수준을 입증 |
| 공식 매핑 | NIST는 여기서 사용하는 CSF 2.0 ↔ ISO 27001 참조를 공개합니다 | — |
함께 사용하기
두 프레임워크는 잘 맞습니다. CSF 2.0은 이사회와 규제기관이 이해하는 성과 어휘를 제공하고, ISO 27001은 프로그램을 실제로 운영하고 있음을 입증하는 인증 가능한 관리 시스템을 제공합니다. 흔한 방식은 CSF 기능에 맞춰 보안 상태를 보고하는 한편, ISO 27001로 ISMS를 인증하는 것입니다.
NIST가 각 CSF 하위 범주를 ISO 조항 및 부속서 A 통제와 연결하므로, 하나의 통제 세트를 유지하면서 두 방식으로 보고할 수 있습니다. 아래 요구사항 표는 공개된 참조가 두 체계를 어떻게 연결하는지, 그리고 우리 데이터에서 CSF 성과에 대응하는 ISO 항목이 없는 경우를 보여 줍니다.
CSF 2.0에서 달라진 점
CSF 2.0(2024년 2월)은 여섯 번째 기능인 관리를 추가했습니다. 이 기능은 조직 맥락, 위험 전략, 역할, 정책, 감독, 공급망 위험을 다룹니다. 이 성과들은 ISO 27001의 4~6항 및 9항과 밀접하게 맞물리며, 그래서 두 프레임워크는 CSF 1.1과 ISO가 그랬던 것보다 더 많이 겹칩니다.
누가 어떤 것을 쓰는가
- NIST CSF 2.0은 모든 규모와 업종의 조직이 프로그램을 구성하고, 목표를 설정하며, 경영진에 보고하는 데 사용합니다. 미국 핵심 기반시설, 다수의 규제기관, 사이버보험사가 쓰는 공통 언어이며 무료입니다.
- ISO 27001은 조직이 인증서로 보안을 타인에게 입증해야 할 때 사용합니다. 기업에 판매하는 소프트웨어 및 서비스 제공업체, 규제 대상 공급망의 공급업체, 특히 미국 밖에서 공공 부문 계약에 입찰하는 기업이 해당합니다.
- 많은 조직은 둘 다 사용합니다: 운영과 보고에는 CSF, 인증에는 ISO 27001.
비용과 노력
CSF는 도입 비용이 없고 감사도 없으므로, 비용은 현재 프로필을 평가하고 목표 프로필을 설정하며 격차를 해소하는 내부 노력입니다. ISO 27001에는 표준 자체의 비용, 인증기관의 감사 수수료, 그리고 무엇보다 위험 평가, 적용성 선언서, 내부 감사, 경영 검토 등 관리 시스템을 구축하고 운영하는 내부 노력이 추가됩니다. CSF를 잘 활용하고 있는 조직이라면 ISO에 필요한 기술적 작업의 대부분은 이미 끝나 있으며, 남은 노력은 주로 관리 시스템과 그 문서화입니다.
CSF에서 ISO 27001 인증으로 가는 과정
- CSF 프로필을 ISO에 매핑합니다. NIST의 공식 참조는 CSF 2.0 하위 범주를 ISO 조항 및 부속서 A 통제와 연결합니다. 격차 분석에서 CSF 매칭과 함께 모든 ISO 요구사항을 확인할 수 있습니다.
- ISMS 범위를 정의하고 CSF 목표 프로필을 정보보안 목표로 바꿉니다.
- 위험 평가를 ISO 요구사항에 맞게 정식화합니다(문서화된 방법, 책임자, 수용 기준)하고 적용성 선언서를 작성합니다.
- 관리 시스템 프로세스를 추가합니다: 문서 통제, 내부 감사, 경영 검토, 시정 조치.
- ISMS를 몇 달간 운영한 뒤 1단계 및 2단계 심사를 예약합니다.
성숙한 CSF 프로그램을 갖춘 많은 조직은 6~9개월 안에 인증을 받습니다.
사례: 지역 의료 서비스 제공업체
한 지역 의료 그룹은 3년간 NIST CSF를 사용해 프로그램을 구성하고 이사회에 보고해 왔습니다. 새 파트너 계약에서 공유 환자 포털 서비스에 대해 ISO 27001 인증을 요구합니다.
현재 CSF 프로필에서 보호와 탐지 성과가 강하므로, 부속서 A의 기술 통제 대부분은 이미 존재합니다. 격차 분석은 관리 시스템 조항, 적용성 선언서, 공식 공급업체 계약, 데이터룸의 물리적 보안을 짚어 냅니다. 이 그룹은 ISMS 범위를 환자 포털 서비스와 이를 지원하는 인프라로 정하고, 기존 CSF 위험 등록부를 ISO 호환 방법으로 재사용해 약 8개월 만에 인증을 받습니다. 이후에도 이사회에는 CSF 용어로, 인증기관에는 ISO 용어로 같은 통제를 근거로 보고합니다.
흔한 실수
- CSF 1.1에 매핑하기. 오래된 스프레드시트 상당수는 ISO 27001:2013을 CSF 1.1에 매핑하는데, 두 프레임워크 모두 이후 변경되었고 폐지된 하위 범주로 연결하면 아무 데도 닿지 않습니다.
- CSF 프로필을 ISMS로 취급하기. CSF는 내부 감사, 경영 검토, 문서 통제를 요구하지 않지만, ISO 심사관은 요구합니다.
- 비용을 아끼려고 범위를 지나치게 좁게 인증받기. 나중에 인증서가 고객이 구매하는 것을 포함하지 않는다는 사실을 알게 됩니다.
- 서로 다른 두 그림을 보고하기. 이사회 보고는 CSF 용어로, 감사 증거는 ISO 용어로 작성하더라도 같은 통제에서 나와야 하며, 그렇지 않으면 서로 어긋나게 됩니다.
핵심 요점
- 인증서가 필요하다면 ISO 27001이 이를 제공합니다. CSF는 그렇지 않습니다.
- CSF → ISO: ISMS 구성 요소(범위, 목표, 문서화된 정보, 내부 감사, 경영 검토)를 계획하십시오.
- ISO → CSF: 기존 SoA에서 CSF 프로필을 만들 수 있으며, 새로운 통제 작업은 거의 필요하지 않습니다.
ISO/IEC 27001:2022 요구사항 123개 중 79개는 NIST CSF 2.0의 항목에 매핑되고, 34개는 느슨하게만 관련되며, 10개는 보유 데이터에 매핑이 없습니다.
신규 작업이 필요할 가능성: NIST CSF 2.0에 매핑되지 않은 ISO 27001 요구사항 (10)
| ISO 27001 | 요구사항 | 일치 | NIST CSF 2.0 | 증거 |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 5.1 | Leadership and commitment | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 6.2 | Information security objectives and planning to achieve them | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 6.3 | Planning of changes | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 7.5.1 | General | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 7.5.2 | Creating and updating | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 7.5.3 | Control of documented information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 9.2.1 | General | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 9.2.2 | Internal audit programme | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
| Clause 10.2 | Nonconformity and corrective action | 보유 데이터에 매핑 없음 | — | 보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (34)
| ISO 27001 | 요구사항 | 일치 | NIST CSF 2.0 | 증거 |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | CSF GV.OC-05, GV.RR-02, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | CSF GV.OC-05, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | CSF PR.AA-03, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.32 | Intellectual property rights | GV.PO-02 | CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.33 | Protection of records | PR.DS-01 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.5.35 | Independent review of information security | GV.OV-02 | CSF GV.OV-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | CSF GV.PO-01, GV.RR-04, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | CSF GV.PO-01, GV.RR-04, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | CSF GV.RR-03, GV.RR-04만 공유: 관련은 있으나 매핑은 아님 | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | CSF PR.DS-01, PR.IR-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | CSF ID.AM-08, PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | CSF ID.AM-08, PR.IR-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | CSF PR.AA-05, PR.DS-01, PR.DS-02만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | CSF DE.CM-09, PR.IR-04만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.23 | Web filtering | PR.IR-01 | CSF PR.IR-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | CSF PR.IR-03만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.30 | Outsourced development | GV.OV-03 | CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | CSF PR.PS-06만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | CSF GV.OV-03, ID.RA-07만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.33 | Test information | PR.DS-01 | CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님 | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님 | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | CSF GV.OC-02만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | CSF GV.SC-02만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 7.1 | Resources | GV.RR-03 | CSF GV.RR-03만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | CSF GV.RR-01, GV.RR-02, GV.RR-03만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | CSF GV.OC-01, GV.OC-02, GV.SC-01만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | CSF GV.OC-01, GV.OC-02만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | CSF GV.OC-01, GV.OC-02만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 9.3.1 | General | PR.PS-01 | CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
| Clause 9.3.3 | Management review results | PR.PS-01 | CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (79)
| ISO 27001 | 요구사항 | 일치 | NIST CSF 2.0 | 증거 |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | 대응표 | GV.PO-01GV.PO-02 | 같은 주제: 거버넌스 정책 |
| A.5.2 | Information security roles and responsibilities | 대응표 | GV.RR-01GV.RR-02GV.RR-03 | 같은 주제: 역할 및 책임 |
| A.5.4 | Management responsibilities | 대응표 | GV.RR-01GV.RR-02GV.RR-03 | 같은 주제: 역할 및 책임 |
| A.5.5 | Contact with authorities | 대응표 | RS.CO-02 | 같은 주제: 보고 |
| A.5.6 | Contact with special interest groups | 편집 콘텐츠 | RS.CO-03 | 같은 주제: 커뮤니케이션 (편집부 추천) |
| A.5.7 | Threat intelligence | 대응표 | DE.AE-07ID.RA-02ID.RA-03 | 같은 주제: 위협 인텔리전스 |
| A.5.9 | Inventory of information and other associated assets | 대응표 | ID.AM-01ID.AM-02ID.AM-04+1 | 같은 주제: 자산 관리 |
| A.5.11 | Return of assets | 대응표 | ID.AM-01ID.AM-02ID.AM-04+1 | 같은 주제: 자산 관리 |
| A.5.12 | Classification of information | 대응표 | ID.AM-05ID.AM-07 | 같은 주제: 데이터 분류 |
| A.5.13 | Labelling of information | 대응표 | ID.AM-05ID.AM-07 | 같은 주제: 데이터 분류 |
| A.5.14 | Information transfer | 대응표 | DE.CM-09PR.DS-01PR.DS-02+1 | 같은 주제: 이메일 보안, 데이터 보호 |
| A.5.15 | Access control | 대응표 | PR.AA-01PR.AA-03PR.AA-04+2 | 같은 주제: 접근 통제, 제로 트러스트 |
| A.5.16 | Identity management | 대응표 | PR.AA-01PR.AA-05 | 같은 주제: 접근 통제 |
| A.5.18 | Access rights | 대응표 | PR.AA-01PR.AA-05 | 같은 주제: 접근 통제 |
| A.5.19 | Information security in supplier relationships | 대응표 | DE.CM-06GV.SC-01GV.SC-03+7 | 같은 주제: 벤더 리스크 관리, 공급망 위험 |
| A.5.20 | Addressing information security within supplier agreements | 대응표 | DE.CM-06GV.SC-04GV.SC-06+2 | 같은 주제: 벤더 리스크 관리 |
| A.5.21 | Managing information security in the ICT supply chain | 대응표 | GV.SC-01GV.SC-03GV.SC-05+2 | 같은 주제: 공급망 위험 |
| A.5.22 | Monitoring, review and change management of supplier services | 대응표 | DE.CM-06GV.SC-04GV.SC-06+2 | 같은 주제: 벤더 리스크 관리 |
| A.5.23 | Information security for use of cloud services | 대응표 | ID.AM-04PR.IR-01PR.PS-01 | 같은 주제: 클라우드 보안 |
| A.5.24 | Information security incident management planning and preparation | 대응표 | ID.IM-04RS.MA-01RS.MA-02+2 | 같은 주제: 사고 대응 |
| A.5.25 | Assessment and decision on information security events | 대응표 | DE.AE-03DE.AE-06DE.AE-08+5 | 같은 주제: SIEM / SOC |
| A.5.26 | Response to information security incidents | 대응표 | ID.IM-04RC.CO-03RC.CO-04+7 | 같은 주제: 사고 대응, 커뮤니케이션 및 복구 |
| A.5.27 | Learning from information security incidents | 대응표 | ID.IM-03RC.RP-06 | 같은 주제: 교훈 도출 |
| A.5.28 | Collection of evidence | 대응표 | RS.AN-03RS.AN-06RS.AN-07 | 같은 주제: 포렌식 |
| A.5.29 | Information security during disruption | 대응표 | GV.OC-04ID.IM-04PR.IR-03+3 | 같은 주제: 비즈니스 연속성, 복구 계획 수립 |
| A.5.30 | ICT readiness for business continuity | 대응표 | GV.OC-04ID.IM-04PR.IR-03+4 | 같은 주제: 비즈니스 연속성, 복구 계획 수립, 재해 복구 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 대응표 | GV.OC-03GV.OV-03 | 같은 주제: 컴플라이언스 |
| A.5.36 | Compliance with policies, rules and standards for information security | 편집 콘텐츠 | GV.OC-03GV.OV-03 | 같은 주제: 컴플라이언스 (편집부 추천) |
| A.5.37 | Documented operating procedures | 대응표 | GV.PO-01GV.PO-02 | 같은 주제: 거버넌스 정책 |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | 대응표 | DE.CM-03GV.RR-04 | 같은 주제: 내부자 위협 |
| A.6.3 | Information security awareness, education and training | 대응표 | PR.AT-01PR.AT-02 | 같은 주제: 인식 제고 및 교육 |
| A.6.4 | Disciplinary process | 대응표 | DE.CM-03GV.RR-04 | 같은 주제: 내부자 위협 |
| A.6.7 | Remote working | 편집 콘텐츠 | PR.AA-05PR.PS-01 | 같은 주제: 모바일 보안 (편집부 추천) |
| A.6.8 | Information security event reporting | 대응표 | RS.CO-02 | 같은 주제: 보고 |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.2 | Physical entry | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.3 | Securing offices, rooms and facilities | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.4 | Physical security monitoring | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.5 | Protecting against physical and environmental threats | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.6 | Working in secure areas | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.8 | Equipment siting and protection | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.11 | Supporting utilities | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.12 | Cabling security | 대응표 | DE.CM-02PR.AA-06PR.IR-02 | 같은 주제: 물리적 보안 |
| A.7.14 | Secure disposal or re-use of equipment | 대응표 | ID.AM-01ID.AM-02ID.AM-04+1 | 같은 주제: 자산 관리 |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | 대응표 | PR.AA-05PR.PS-01DE.CM-09+1 | 같은 주제: 모바일 보안, 엔드포인트 보호 |
| A.8.2 | Privileged access rights | 대응표 | PR.AA-05 | 같은 주제: 특권 접근 |
| A.8.3 | Information access restriction | 대응표 | PR.AA-01PR.AA-05 | 같은 주제: 접근 통제 |
| A.8.5 | Secure authentication | 대응표 | PR.AA-03PR.AA-04PR.AA-05+2 | 같은 주제: 다단계 인증, 제로 트러스트, API 보안 |
| A.8.7 | Protection against malware | 편집 콘텐츠 | DE.CM-09PR.PS-05 | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| A.8.8 | Management of technical vulnerabilities | 대응표 | ID.RA-01ID.RA-08PR.PS-02 | 같은 주제: 취약점 관리, 패치 관리 |
| A.8.9 | Configuration management | 대응표 | PR.PS-01 | 같은 주제: 보안 구성 |
| A.8.10 | Information deletion | 대응표 | PR.DS-01PR.DS-02PR.DS-10 | 같은 주제: 데이터 보호 |
| A.8.11 | Data masking | 대응표 | PR.DS-01PR.DS-02PR.DS-10 | 같은 주제: 데이터 보호 |
| A.8.12 | Data leakage prevention | 대응표 | PR.DS-01PR.DS-02PR.DS-10 | 같은 주제: DLP |
| A.8.13 | Information backup | 대응표 | PR.DS-11RC.RP-03 | 같은 주제: 백업 및 복구 |
| A.8.14 | Redundancy of information processing facilities | 대응표 | GV.OC-04PR.IR-03RC.RP-02+2 | 같은 주제: 비즈니스 연속성, 재해 복구 |
| A.8.15 | Logging | 대응표 | DE.AE-03PR.PS-04 | 같은 주제: 로깅 및 감사 |
| A.8.16 | Monitoring activities | 대응표 | DE.AE-02DE.AE-03DE.AE-04+6 | 같은 주제: 침입 탐지, 이상 징후 탐지, SIEM / SOC |
| A.8.17 | Clock synchronization | 대응표 | DE.AE-03PR.PS-04 | 같은 주제: 로깅 및 감사 |
| A.8.18 | Use of privileged utility programs | 대응표 | PR.AA-05 | 같은 주제: 특권 접근 |
| A.8.19 | Installation of software on operational systems | 대응표 | DE.CM-09PR.PS-05 | 같은 주제: 엔드포인트 보호 |
| A.8.20 | Networks security | 대응표 | DE.CM-01ID.AM-03PR.IR-01 | 같은 주제: DNS 보안, WAF, 방화벽 / 네트워크 분리 |
| A.8.21 | Security of network services | 대응표 | DE.CM-01ID.AM-03PR.IR-01 | 같은 주제: DNS 보안, 방화벽 / 네트워크 분리 |
| A.8.22 | Segregation of networks | 대응표 | ID.AM-03PR.AA-03PR.AA-04+2 | 같은 주제: 방화벽 / 네트워크 분리, 제로 트러스트 |
| A.8.24 | Use of cryptography | 대응표 | PR.DS-01PR.DS-02 | 같은 주제: 암호화 |
| A.8.25 | Secure development life cycle | 대응표 | PR.PS-06 | 같은 주제: 보안 개발 |
| A.8.26 | Application security requirements | 대응표 | PR.AA-03PR.IR-01PR.PS-06 | 같은 주제: API 보안, 웹 보안, 보안 개발 |
| A.8.28 | Secure coding | 대응표 | PR.PS-06 | 같은 주제: 보안 개발 |
| A.8.29 | Security testing in development and acceptance | 대응표 | PR.PS-06 | 같은 주제: 보안 개발 |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | 대응표 | GV.OC-01GV.OC-04GV.OC-05 | 같은 주제: 사업 환경 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 대응표 | GV.OC-01GV.OC-04GV.OC-05 | 같은 주제: 사업 환경 |
| Clause 5.2 | Policy | 대응표 | GV.PO-01GV.PO-02 | 같은 주제: 거버넌스 정책 |
| Clause 6.1.1 | General | 대응표 | GV.RM-01GV.RM-02GV.RM-03+1 | 같은 주제: 위험 관리 |
| Clause 6.1.2 | Information security risk assessment | 대응표 | ID.RA-03ID.RA-04ID.RA-05+1 | 같은 주제: 위험 평가 |
| Clause 6.1.3 | Information security risk treatment | 대응표 | GV.RM-01GV.RM-02GV.RM-03+5 | 같은 주제: 위험 관리 |
| Clause 7.3 | Awareness | 대응표 | PR.AT-01PR.AT-02 | 같은 주제: 인식 제고 및 교육 |
| Clause 7.4 | Communication | 대응표 | RC.CO-03RC.CO-04RC.RP-05+1 | 같은 주제: 커뮤니케이션 및 복구 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 대응표 | GV.OC-03GV.OV-03 | 같은 주제: 컴플라이언스 |
| Clause 10.1 | Continual improvement | 편집 콘텐츠 | ID.IM-03RC.RP-06 | 같은 주제: 교훈 도출 (편집부 추천) |
NIST Cybersecurity Framework 2.0 요구사항 106개 중 89개는 ISO 27001의 항목에 매핑되고, 15개는 느슨하게만 관련되며, 2개는 보유 데이터에 매핑이 없습니다.
신규 작업이 필요할 가능성: ISO 27001에 매핑되지 않은 NIST CSF 2.0 요구사항 (2)
| NIST CSF 2.0 | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | 보유 데이터에 매핑 없음 | — | 보유 데이터에 ISO 27001에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (15)
| NIST CSF 2.0 | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | CSF GV.OC-02만 공유: 관련은 있으나 매핑은 아님 | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | CSF GV.OV-01만 공유: 관련은 있으나 매핑은 아님 | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | CSF GV.OV-02만 공유: 관련은 있으나 매핑은 아님 | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | CSF GV.RM-04만 공유: 관련은 있으나 매핑은 아님 | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | CSF GV.RM-05만 공유: 관련은 있으나 매핑은 아님 | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | CSF GV.RM-07만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | CSF GV.SC-02만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | CSF GV.SC-08만 공유: 관련은 있으나 매핑은 아님 | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | CSF GV.SC-10만 공유: 관련은 있으나 매핑은 아님 | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | CSF ID.RA-07만 공유: 관련은 있으나 매핑은 아님 | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | CSF PR.AA-02만 공유: 관련은 있으나 매핑은 아님 | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | CSF PR.IR-04만 공유: 관련은 있으나 매핑은 아님 | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | CSF PR.PS-03만 공유: 관련은 있으나 매핑은 아님 | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | CSF RS.AN-08만 공유: 관련은 있으나 매핑은 아님 | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | CSF RS.MA-05만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (89)
| NIST CSF 2.0 | 요구사항 | 일치 | ISO 27001 | 증거 |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | 대응표 | A.8.16 | 같은 주제: 침입 탐지, 이상 징후 탐지 |
| DE.AE-03 | Information is correlated from multiple sources | 대응표 | A.5.25A.8.15A.8.16+1 | 같은 주제: SIEM / SOC, 로깅 및 감사 |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | 대응표 | A.8.16 | 같은 주제: 이상 징후 탐지 |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | 대응표 | A.5.25A.8.16 | 같은 주제: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | 대응표 | A.5.7 | 같은 주제: 위협 인텔리전스 |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | 대응표 | A.5.25A.8.16 | 같은 주제: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | 대응표 | A.8.16A.8.20A.8.21 | 같은 주제: 지속적 모니터링, 침입 탐지, DNS 보안, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | 대응표 | A.6.1A.6.4A.8.16 | 같은 주제: 내부자 위협, 지속적 모니터링 |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | 대응표 | A.5.19A.5.20A.5.22 | 같은 주제: 벤더 리스크 관리 |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | 대응표 | A.5.14A.8.16A.8.19+2 | 같은 주제: 이메일 보안, 지속적 모니터링, 이상 징후 탐지, 엔드포인트 보호 |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | 대응표 | Clause 4.1Clause 4.2 | 같은 주제: 사업 환경 |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | 대응표 | A.5.31Clause 9.1A.5.36 | 같은 주제: 컴플라이언스 |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | 대응표 | A.5.29A.5.30A.8.14+2 | 같은 주제: 비즈니스 연속성 |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | 대응표 | Clause 4.1Clause 4.2 | 같은 주제: 사업 환경 |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | 대응표 | A.5.31Clause 9.1A.5.36 | 같은 주제: 컴플라이언스 |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | 대응표 | A.5.1A.5.37Clause 5.2 | 같은 주제: 거버넌스 정책 |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | 대응표 | A.5.1A.5.37Clause 5.2 | 같은 주제: 거버넌스 정책 |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | 대응표 | Clause 6.1.1Clause 6.1.3 | 같은 주제: 위험 관리 |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | 대응표 | Clause 6.1.1Clause 6.1.3 | 같은 주제: 위험 관리 |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | 대응표 | Clause 6.1.1Clause 6.1.3 | 같은 주제: 위험 관리 |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | 대응표 | Clause 6.1.1Clause 6.1.3 | 같은 주제: 위험 관리 |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | 대응표 | A.5.2A.5.4 | 같은 주제: 역할 및 책임 |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | 대응표 | A.5.2A.5.4 | 같은 주제: 역할 및 책임 |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | 대응표 | A.5.2A.5.4 | 같은 주제: 역할 및 책임 |
| GV.RR-04 | Cybersecurity is included in human resources practices | 대응표 | A.6.1A.6.4A.8.16 | 같은 주제: 내부자 위협 |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | 대응표 | A.5.19A.5.21 | 같은 주제: 공급망 위험 |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | 대응표 | A.5.19A.5.21 | 같은 주제: 공급망 위험 |
| GV.SC-04 | Suppliers are known and prioritized by criticality | 대응표 | A.5.19A.5.20A.5.22 | 같은 주제: 벤더 리스크 관리 |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | 대응표 | A.5.19A.5.21 | 같은 주제: 공급망 위험 |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | 대응표 | A.5.19A.5.20A.5.22 | 같은 주제: 벤더 리스크 관리 |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | 대응표 | A.5.19A.5.20A.5.22 | 같은 주제: 벤더 리스크 관리 |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | 대응표 | A.5.19A.5.21 | 같은 주제: 공급망 위험 |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | 대응표 | A.5.9A.5.11A.7.14 | 같은 주제: 자산 관리 |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | 대응표 | A.5.9A.5.11A.7.14 | 같은 주제: 자산 관리 |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | 대응표 | A.8.20A.8.21A.8.22 | 같은 주제: 방화벽 / 네트워크 분리 |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | 대응표 | A.5.9A.5.11A.5.23+1 | 같은 주제: 자산 관리, 클라우드 보안 |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | 대응표 | A.5.12A.5.13 | 같은 주제: 데이터 분류 |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | 대응표 | A.5.12A.5.13 | 같은 주제: 데이터 분류 |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | 대응표 | A.5.9A.5.11A.7.14 | 같은 주제: 자산 관리 |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | 대응표 | A.5.27Clause 10.1 | 같은 주제: 교훈 도출 |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | 대응표 | A.5.24A.5.25A.5.26+2 | 같은 주제: 사고 대응 |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | 대응표 | A.8.8 | 같은 주제: 취약점 관리 |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 대응표 | A.5.7 | 같은 주제: 위협 인텔리전스 |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | 대응표 | A.5.7Clause 6.1.2Clause 6.1.3 | 같은 주제: 위협 인텔리전스, 위험 평가 |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | 대응표 | Clause 6.1.2Clause 6.1.3 | 같은 주제: 위험 평가 |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | 대응표 | Clause 6.1.2Clause 6.1.3 | 같은 주제: 위험 평가 |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | 대응표 | Clause 6.1.2Clause 6.1.3 | 같은 주제: 위험 평가 |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | 대응표 | A.8.8 | 같은 주제: 취약점 관리 |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | 대응표 | A.5.19A.5.21 | 같은 주제: 공급망 위험 |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | 대응표 | A.5.19A.5.20A.5.22 | 같은 주제: 벤더 리스크 관리 |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | 대응표 | A.5.15A.5.16A.5.18+1 | 같은 주제: 접근 통제 |
| PR.AA-03 | Users, services, and hardware are authenticated | 대응표 | A.5.15A.8.5A.8.22+1 | 같은 주제: 제로 트러스트, 다단계 인증, API 보안 |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | 대응표 | A.5.15A.8.5A.8.22 | 같은 주제: 제로 트러스트 |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | 대응표 | A.5.15A.5.16A.5.18+7 | 같은 주제: 접근 통제, 제로 트러스트 |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | 대응표 | A.6.3Clause 7.3 | 같은 주제: 인식 제고 및 교육 |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | 대응표 | A.6.3Clause 7.3 | 같은 주제: 인식 제고 및 교육 |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | 대응표 | A.5.14A.8.10A.8.11+2 | 같은 주제: 데이터 보호 |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | 대응표 | A.5.14A.8.10A.8.11+2 | 같은 주제: 데이터 보호, 이메일 보안 |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | 대응표 | A.5.14A.8.10A.8.11+1 | 같은 주제: 데이터 보호 |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | 대응표 | A.8.13 | 같은 주제: 백업 및 복구 |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | 대응표 | A.5.15A.5.23A.8.5+4 | 같은 주제: 제로 트러스트, 클라우드 보안, API 보안 |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | 대응표 | A.7.1A.7.2A.7.3+6 | 같은 주제: 물리적 보안 |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | 대응표 | A.5.29A.5.30A.8.14 | 같은 주제: 비즈니스 연속성, 재해 복구 |
| PR.PS-01 | Configuration management practices are established and applied | 대응표 | A.5.23A.8.1A.8.9+1 | 같은 주제: 클라우드 보안, 모바일 보안, 보안 구성 |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | 대응표 | A.8.8 | 같은 주제: 패치 관리 |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | 대응표 | A.8.15A.8.17 | 같은 주제: 로깅 및 감사 |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | 대응표 | A.8.19A.8.1A.8.7 | 같은 주제: 엔드포인트 보호 |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | 대응표 | A.8.5A.8.25A.8.26+2 | 같은 주제: API 보안, 보안 개발, 웹 보안 |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | 대응표 | A.5.26Clause 7.4 | 같은 주제: 커뮤니케이션 및 복구 |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | 대응표 | A.5.26Clause 7.4 | 같은 주제: 커뮤니케이션 및 복구 |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | 대응표 | A.5.29A.5.30 | 같은 주제: 복구 계획 수립 |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | 대응표 | A.5.29A.5.30A.8.14 | 같은 주제: 복구 계획 수립, 재해 복구 |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | 대응표 | A.8.13 | 같은 주제: 백업 및 복구 |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | 대응표 | A.5.29A.5.30A.8.14 | 같은 주제: 비즈니스 연속성 |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | 대응표 | A.5.26A.5.30A.8.14+1 | 같은 주제: 커뮤니케이션 및 복구, 재해 복구 |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | 대응표 | A.5.27Clause 10.1 | 같은 주제: 교훈 도출 |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | 대응표 | A.5.28 | 같은 주제: 포렌식 |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | 대응표 | A.5.28 | 같은 주제: 포렌식 |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | 대응표 | A.5.28 | 같은 주제: 포렌식 |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | 대응표 | A.5.5A.6.8 | 같은 주제: 보고 |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | 대응표 | Clause 7.4A.5.6 | 같은 주제: 커뮤니케이션 |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | 대응표 | A.5.24A.5.25A.5.26 | 같은 주제: 사고 대응 |
| RS.MA-02 | Incident reports are triaged and validated | 대응표 | A.5.24A.5.25A.5.26 | 같은 주제: 사고 대응 |
| RS.MA-03 | Incidents are categorized and prioritized | 대응표 | A.5.24A.5.25A.5.26 | 같은 주제: 사고 대응 |
| RS.MA-04 | Incidents are escalated or elevated as needed | 대응표 | A.5.24A.5.25A.5.26 | 같은 주제: 사고 대응 |
| RS.MI-01 | Incidents are contained | 대응표 | A.5.26 | 같은 주제: 완화 |
| RS.MI-02 | Incidents are eradicated | 대응표 | A.5.26 | 같은 주제: 완화 |
주제별
양쪽 모두 포함 (50):
거버넌스 정책인식 제고 및 교육위험 관리공급망 위험역할 및 책임컴플라이언스자산 관리위험 평가사업 환경데이터 분류취약점 관리위협 인텔리전스접근 통제다단계 인증암호화데이터 보호백업 및 복구특권 접근방화벽 / 네트워크 분리엔드포인트 보호패치 관리보안 구성보안 개발이메일 보안웹 보안제로 트러스트모바일 보안클라우드 보안DNS 보안WAFDLP지속적 모니터링로깅 및 감사침입 탐지이상 징후 탐지SIEM / SOC사고 대응포렌식커뮤니케이션완화보고복구 계획 수립비즈니스 연속성교훈 도출커뮤니케이션 및 복구재해 복구API 보안내부자 위협벤더 리스크 관리물리적 보안
질문
NIST CSF로 인증받을 수 있습니까?
아니요. NIST는 인증을 제공하지 않으며, 조직은 자가 평가하거나 독립 평가를 의뢰합니다. 인증 가능한 선택지는 ISO 27001입니다.
NIST CSF가 ISO 27001보다 쉽습니까?
규정이 덜 세세하고 감사가 없어 시작하기는 더 쉽습니다. 하지만 실질 내용이 가벼운 것은 아닙니다. CSF 2.0 성과를 모두 다루려면 성숙한 프로그램이 필요합니다.
매핑은 어디에서 오나요?
NIST의 CSF 2.0 정보 참조와 NIST SP 800-53 → ISO 27001 매핑에서 가져옵니다. 방법론을 참고하십시오.
ISO 27001이 NIST CSF보다 더 엄격합니까?
엄격함의 방식이 다릅니다. ISO 27001은 감사를 받고 인증 가능하며 관리 시스템을 요구합니다. NIST CSF는 범위가 더 넓고(특히 2.0 이후 거버넌스와 공급망 위험 측면에서) 감사는 없습니다. 엄격함은 각각을 어떻게 구현하느냐에 달려 있습니다.
NIST CSF와 ISO 27001이 하나의 위험 평가를 공유할 수 있습니까?
예. 문서화된 방법, 책임자, 수용 기준에 관한 ISO 27001 요구사항을 충족하는 위험 평가는 CSF의 위험 관리 성과도 뒷받침합니다.
미국 정부는 ISO 27001을 요구합니까?
일반적으로 아닙니다. 미국 연방 시스템은 NIST SP 800-53과 위험 관리 프레임워크(Risk Management Framework)를 사용하며, CSF는 민간 부문 전반에 널리 쓰입니다. ISO 27001은 해외 고객이 요구하는 경우가 더 많습니다.
사용하려면 ISO 27001을 구매해야 합니까?
예. 표준은 ISO와 국가 표준 기구에서 판매합니다. NIST CSF와 그 참조는 무료로 내려받을 수 있습니다.
소규모 기업에는 무엇이 더 좋습니까?
NIST CSF는 무료이고 시작하기 쉽습니다. ISO 27001은 고객이나 입찰이 인증을 요구할 때 가치가 있습니다. 많은 소규모 기업은 CSF로 시작해 나중에 인증을 받습니다.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.