비교

NIS2 vs NIST CSF 2.0: NIST 관점에서 본 EU 법적 요구사항

NIST Cybersecurity Framework 2.0 · NIS2 Implementing Regulation (EU) 2024/2690 · 데이터 2026-10-27

NIST CSF 2.0으로 보안 프로그램을 운영하는 조직, 특히 미국에 본사를 두고 EU에 사업장을 둔 기업의 경우, 핵심 질문은 CSF가 NIS2 준수에 얼마나 도움이 되는가입니다. ENISA의 기술 이행 지침은 이행규정 (EU) 2024/2690의 각 요구사항을 CSF 2.0 하위 범주는 물론 ISO 27001에도 매핑합니다.

결론적으로 기술적 조치에 관해서는 상당 부분이 겹칩니다. NIS2 요구사항 거의 전부가 CSF 성과로 다뤄지며, 일부만 느슨하게 관련됩니다. CSF와 매핑되지 않는 한 가지 항목은 고용 종료 시 자산 반환 또는 삭제에 관한 것으로, ENISA는 이를 ISO에는 매핑하지만 CSF에는 매핑하지 않습니다.

NIS2에서 CSF 방향으로 보면, 매핑되지 않는 CSF 성과는 대부분 NIS2가 구체적으로 명시하지 않는 전략적 거버넌스 항목입니다. 조직의 미션 및 전략 검토, 위험 감수 성향 방향, 위험 관련 커뮤니케이션 경로, 신원 확인이 여기에 해당합니다.

ISO와 마찬가지로, 매핑은 곧 준수를 의미하지 않습니다. NIS2의 법적 의무(경영진의 책임 및 교육, 제23조 사고 보고 기한, 등록, 국내 법제화)는 어떤 통제 프레임워크의 범위에도 포함되지 않습니다.

핵심 요점

NIS2에 매핑된 하위 범주를 포함하는 CSF 목표 프로파일은 훌륭한 NIS2 이행 계획이 됩니다.
EU 고유의 의무를 명시적으로 추가하십시오: CSIRT 보고 기한, 경영진 교육, 국가 등록.
인증도 필요하다면 ISO 27001이 그 경로입니다. CSF는 인증 대상이 아닙니다.

이 비교 결과 다운로드(CSV) 갭 분석에서 열기 →

NIST CSF 2.0 보유 → NIS2 필요

요구사항 49건

매핑 45건 · · 매핑 없음 1건 갭 뷰에서 열기 →

NIS2 Implementing Regulation (EU) 2024/2690 요구사항 49개 중 45개는 NIST CSF 2.0의 항목에 매핑되고, 3개는 느슨하게만 관련되며, 1개는 보유 데이터에 매핑이 없습니다.

여기서 NIS2는 디지털 인프라 및 ICT 서비스 제공자에게 직접 적용되는 시행규정 (EU) 2024/2690의 기술적 조치를 뜻합니다. 그 밖의 NIS2 대상 기관은 제21조의 자국 국내법 전환을 따릅니다. 사고 보고 기한(제23조)은 범위에 포함되지 않습니다. ENISA의 매핑은 구속력이 없습니다.

신규 작업이 필요할 가능성: NIST CSF 2.0에 매핑되지 않은 NIS2 요구사항 (1)

NIS2	요구사항	일치	NIST CSF 2.0	증거
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	보유 데이터에 매핑 없음	—	보유 데이터에 NIST CSF 2.0에 대한 매핑이 없습니다.

확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (3)

NIS2	요구사항	일치	NIST CSF 2.0	증거
6. Security in acquisition, development and maintenance · 1
6.4	Change management, repairs and maintenance	느슨하게 관련됨	ID.RA-07	CSF ID.RA-07만 공유: 관련은 있으나 매핑은 아님
10. Human resources security · 2
10.1	Human resources security	느슨하게 관련됨	GV.RR-04 PR.AT-02	CSF GV.RR-04, PR.AT-02만 공유: 관련은 있으나 매핑은 아님
10.3	Termination or change of employment procedures	느슨하게 관련됨	GV.RR-04	CSF GV.RR-04만 공유: 관련은 있으나 매핑은 아님

매핑됨 (45)

NIS2	요구사항	일치	NIST CSF 2.0	증거
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	대응표	GV.PO-01 GV.PO-02	같은 주제: 거버넌스 정책
1.2	Roles, responsibilities and authorities	대응표	GV.RR-01 GV.RR-02 GV.RR-03	같은 주제: 역할 및 책임
2. Risk management policy · 3
2.1	Risk management framework	대응표	GV.RM-01 GV.RM-02 GV.RM-03+5	같은 주제: 위험 관리
2.2	Compliance monitoring	대응표	GV.OC-03 GV.OV-03	같은 주제: 컴플라이언스
2.3	Independent review of information and network security	편집 콘텐츠	GV.OC-03 GV.OV-03	같은 주제: 컴플라이언스 (편집부 추천)
3. Incident handling · 6
3.1	Incident handling policy	대응표	ID.IM-04 RS.MA-01 RS.MA-02+2	같은 주제: 사고 대응
3.2	Monitoring and logging	대응표	DE.AE-02 DE.AE-03 DE.AE-06+5	같은 주제: 침입 탐지, 로깅 및 감사, SIEM / SOC
3.3	Event reporting	대응표	RS.CO-02	같은 주제: 보고
3.4	Event assessment and classification	대응표	DE.AE-02 DE.AE-03 DE.AE-04+3	같은 주제: 이상 징후 탐지, SIEM / SOC
3.5	Incident response	대응표	ID.IM-04 RS.AN-03 RS.AN-06+7	같은 주제: 사고 대응, 포렌식
3.6	Post-incident reviews	대응표	ID.IM-03 RC.RP-06	같은 주제: 교훈 도출
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	대응표	GV.OC-04 ID.IM-04 PR.IR-03+4	같은 주제: 비즈니스 연속성, 복구 계획 수립, 재해 복구
4.2	Backup management	대응표	PR.DS-11 PR.IR-03 RC.RP-02+2	같은 주제: 백업 및 복구, 재해 복구
4.3	Crisis management	대응표	GV.OC-04 PR.IR-03 RC.CO-03+4	같은 주제: 비즈니스 연속성, 커뮤니케이션 및 복구
5. Supply chain security · 2
5.1	Supply chain security policy	대응표	DE.CM-06 GV.SC-01 GV.SC-03+7	같은 주제: 벤더 리스크 관리, 공급망 위험
5.2	Directory of suppliers and service providers	대응표	DE.CM-06 GV.SC-04 GV.SC-06+2	같은 주제: 벤더 리스크 관리
6. Security in acquisition, development and maintenance · 9
6.1	Security in acquisition of ICT services, ICT systems or ICT products	대응표	DE.CM-06 GV.SC-01 GV.SC-03+10	같은 주제: 벤더 리스크 관리, 공급망 위험
6.2	Secure development life cycle	대응표	PR.PS-06	같은 주제: 보안 개발
6.3	Configuration management	대응표	PR.PS-01	같은 주제: 보안 구성
6.5	Security testing	대응표	ID.RA-01 ID.RA-08	같은 주제: 취약점 관리
6.6	Security patch management	대응표	PR.PS-02	같은 주제: 패치 관리
6.7	Network security	대응표	ID.AM-03 PR.IR-01	같은 주제: 방화벽 / 네트워크 분리
6.8	Network segmentation	대응표	ID.AM-03 PR.AA-03 PR.AA-04+2	같은 주제: 방화벽 / 네트워크 분리, 제로 트러스트
6.9	Protection against malicious and unauthorised software	대응표	DE.CM-09 PR.DS-02 PR.PS-05	같은 주제: 엔드포인트 보호, 이메일 보안
6.10	Vulnerability handling and disclosure	대응표	ID.RA-01 ID.RA-08	같은 주제: 취약점 관리
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	대응표	GV.RM-01 GV.RM-02 GV.RM-03+1	같은 주제: 위험 관리
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	대응표	PR.AT-01 PR.AT-02	같은 주제: 인식 제고 및 교육
8.2	Security training	대응표	PR.AT-01 PR.AT-02	같은 주제: 인식 제고 및 교육
9. Cryptography · 1
9.1	Cryptography	대응표	PR.DS-01 PR.DS-02	같은 주제: 암호화
10. Human resources security · 2
10.2	Verification of Background	대응표	DE.CM-03 GV.RR-04	같은 주제: 내부자 위협
10.4	Disciplinary process	대응표	DE.CM-03 GV.RR-04	같은 주제: 내부자 위협
11. Access control · 7
11.1	Access control policy	대응표	PR.AA-01 PR.AA-03 PR.AA-04+2	같은 주제: 접근 통제, 제로 트러스트
11.2	Management of access rights	대응표	PR.AA-01 PR.AA-05	같은 주제: 접근 통제
11.3	Privileged accounts and system administration accounts	대응표	PR.AA-05	같은 주제: 특권 접근
11.4	Administration systems	대응표	PR.AA-05	같은 주제: 특권 접근
11.5	Identification	대응표	PR.AA-01 PR.AA-05	같은 주제: 접근 통제
11.6	Authentication	대응표	PR.AA-03 PR.AA-04 PR.AA-05+1	같은 주제: 다단계 인증, 제로 트러스트
11.7	Multi-factor authentication	대응표	PR.AA-03	같은 주제: 다단계 인증
12. Asset management · 4
12.1	Asset classification	대응표	ID.AM-05 ID.AM-07	같은 주제: 데이터 분류
12.2	Handling of assets	대응표	PR.DS-01 PR.DS-02 PR.DS-10	같은 주제: 데이터 보호
12.3	Removable media policy	대응표	PR.DS-01 PR.DS-02 PR.DS-10	같은 주제: 데이터 보호, DLP
12.4	Asset inventory	대응표	ID.AM-01 ID.AM-02 ID.AM-04+1	같은 주제: 자산 관리
13. Environmental and physical security · 3
13.1	Supporting utilities	대응표	DE.CM-02 PR.AA-06 PR.IR-02	같은 주제: 물리적 보안
13.2	Protection against physical and environmental threats	대응표	DE.CM-02 PR.AA-06 PR.IR-02	같은 주제: 물리적 보안
13.3	Perimeter and physical access control	대응표	DE.CM-02 PR.AA-06 PR.IR-02	같은 주제: 물리적 보안

NIS2 보유 → NIST CSF 2.0 필요

요구사항 106건

매핑 85건 · · 매핑 없음 9건 갭 뷰에서 열기 →

NIST Cybersecurity Framework 2.0 요구사항 106개 중 85개는 NIS2의 항목에 매핑되고, 12개는 느슨하게만 관련되며, 9개는 보유 데이터에 매핑이 없습니다.

신규 작업이 필요할 가능성: NIS2에 매핑되지 않은 NIST CSF 2.0 요구사항 (9)

NIST CSF 2.0	요구사항	일치	NIS2	증거
Govern (GV) · 5
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
Identify (ID) · 2
ID.IM-01	Improvements are identified from evaluations	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
Protect (PR) · 2
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
PR.IR-04	Adequate resource capacity to ensure availability is maintained	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.

확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (12)

NIST CSF 2.0	요구사항	일치	NIS2	증거
Detect (DE) · 1
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis	느슨하게 관련됨	4.3	CSF DE.AE-07만 공유: 관련은 있으나 매핑은 아님
Govern (GV) · 6
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered	느슨하게 관련됨	1.1	CSF GV.OC-02만 공유: 관련은 있으나 매핑은 아님
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated	느슨하게 관련됨	5.1 5.2 13.1	CSF GV.OC-05만 공유: 관련은 있으나 매핑은 아님
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks	느슨하게 관련됨	2.2 2.3	CSF GV.OV-02만 공유: 관련은 있으나 매핑은 아님
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally	느슨하게 관련됨	1.2	CSF GV.SC-02만 공유: 관련은 있으나 매핑은 아님
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities	느슨하게 관련됨	3.1 4.1	CSF GV.SC-08만 공유: 관련은 있으나 매핑은 아님
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement	느슨하게 관련됨	5.1	CSF GV.SC-10만 공유: 관련은 있으나 매핑은 아님
Identify (ID) · 2
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources	느슨하게 관련됨	2.1 6.10	CSF ID.RA-02만 공유: 관련은 있으나 매핑은 아님
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked	느슨하게 관련됨	6.4	CSF ID.RA-07만 공유: 관련은 있으나 매핑은 아님
Protect (PR) · 1
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk	느슨하게 관련됨	6.10	CSF PR.PS-03만 공유: 관련은 있으나 매핑은 아님
Respond (RS) · 2
RS.AN-08	An incident's magnitude is estimated and validated	느슨하게 관련됨	3.6	CSF RS.AN-08만 공유: 관련은 있으나 매핑은 아님
RS.MA-05	The criteria for initiating incident recovery are applied	느슨하게 관련됨	3.1	CSF RS.MA-05만 공유: 관련은 있으나 매핑은 아님

매핑됨 (85)

NIST CSF 2.0	요구사항	일치	NIS2	증거
Detect (DE) · 10
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities	대응표	3.2 3.4	같은 주제: 침입 탐지, 이상 징후 탐지
DE.AE-03	Information is correlated from multiple sources	대응표	3.2 3.4	같은 주제: 로깅 및 감사, SIEM / SOC
DE.AE-04	The estimated impact and scope of adverse events are understood	대응표	3.4	같은 주제: 이상 징후 탐지
DE.AE-06	Information on adverse events is provided to authorized staff and tools	대응표	3.2 3.4	같은 주제: SIEM / SOC
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria	대응표	3.2 3.4	같은 주제: SIEM / SOC
DE.CM-01	Networks and network services are monitored to find potentially adverse events	대응표	3.2	같은 주제: 지속적 모니터링, 침입 탐지
DE.CM-02	The physical environment is monitored to find potentially adverse events	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events	대응표	3.2 10.2 10.4	같은 주제: 지속적 모니터링, 내부자 위협
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events	대응표	5.1 5.2 6.1	같은 주제: 벤더 리스크 관리
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events	대응표	3.2 3.4 6.9	같은 주제: 지속적 모니터링, 이상 징후 탐지, 엔드포인트 보호, 이메일 보안
Govern (GV) · 20
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed	대응표	2.2 2.3	같은 주제: 컴플라이언스
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated	대응표	4.1 4.3	같은 주제: 비즈니스 연속성
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed	대응표	2.2 2.3	같은 주제: 컴플라이언스
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced	대응표	1.1	같은 주제: 거버넌스 정책
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission	대응표	1.1	같은 주제: 거버넌스 정책
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders	대응표	2.1 7.1	같은 주제: 위험 관리
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained	대응표	2.1 7.1	같은 주제: 위험 관리
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes	대응표	2.1 7.1	같은 주제: 위험 관리
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated	대응표	2.1 7.1	같은 주제: 위험 관리
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving	대응표	1.2	같은 주제: 역할 및 책임
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced	대응표	1.2	같은 주제: 역할 및 책임
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies	대응표	1.2	같은 주제: 역할 및 책임
GV.RR-04	Cybersecurity is included in human resources practices	대응표	10.2 10.4	같은 주제: 내부자 위협
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders	대응표	5.1 6.1	같은 주제: 공급망 위험
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes	대응표	5.1 6.1	같은 주제: 공급망 위험
GV.SC-04	Suppliers are known and prioritized by criticality	대응표	5.1 5.2 6.1	같은 주제: 벤더 리스크 관리
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties	대응표	5.1 6.1	같은 주제: 공급망 위험
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships	대응표	5.1 5.2 6.1	같은 주제: 벤더 리스크 관리
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship	대응표	5.1 5.2 6.1	같은 주제: 벤더 리스크 관리
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle	대응표	5.1 6.1	같은 주제: 공급망 위험
Identify (ID) · 17
ID.AM-01	Inventories of hardware managed by the organization are maintained	대응표	12.4	같은 주제: 자산 관리
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained	대응표	12.4	같은 주제: 자산 관리
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained	대응표	6.7 6.8	같은 주제: 방화벽 / 네트워크 분리
ID.AM-04	Inventories of services provided by suppliers are maintained	대응표	6.1 12.4	같은 주제: 클라우드 보안, 자산 관리
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission	대응표	12.1	같은 주제: 데이터 분류
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained	대응표	12.1	같은 주제: 데이터 분류
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles	대응표	12.4	같은 주제: 자산 관리
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities	대응표	3.6	같은 주제: 교훈 도출
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved	대응표	3.1 3.5 4.1	같은 주제: 사고 대응, 복구 계획 수립
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded	대응표	6.5 6.10	같은 주제: 취약점 관리
ID.RA-03	Internal and external threats to the organization are identified and recorded	대응표	2.1	같은 주제: 위험 평가
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded	대응표	2.1	같은 주제: 위험 평가
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization	대응표	2.1	같은 주제: 위험 평가
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated	대응표	2.1	같은 주제: 위험 평가
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established	대응표	6.5 6.10	같은 주제: 취약점 관리
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use	대응표	5.1 6.1	같은 주제: 공급망 위험
ID.RA-10	Critical suppliers are assessed prior to acquisition	대응표	5.1 5.2 6.1	같은 주제: 벤더 리스크 관리
Protect (PR) · 19
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization	대응표	11.1 11.2 11.5	같은 주제: 접근 통제
PR.AA-03	Users, services, and hardware are authenticated	대응표	6.8 11.1 11.6+1	같은 주제: 제로 트러스트, 다단계 인증
PR.AA-04	Identity assertions are protected, conveyed, and verified	대응표	6.8 11.1 11.6	같은 주제: 제로 트러스트
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties	대응표	6.8 11.1 11.2+4	같은 주제: 제로 트러스트, 접근 통제
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind	대응표	8.1 8.2	같은 주제: 인식 제고 및 교육
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind	대응표	8.1 8.2	같은 주제: 인식 제고 및 교육
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected	대응표	9.1 12.2 12.3	같은 주제: 암호화, 데이터 보호, DLP
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected	대응표	6.9 9.1 12.2+1	같은 주제: 이메일 보안, 암호화, 데이터 보호
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected	대응표	12.2 12.3	같은 주제: 데이터 보호, DLP
PR.DS-11	Backups of data are created, protected, maintained, and tested	대응표	4.2	같은 주제: 백업 및 복구
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage	대응표	6.1 6.7 6.8+2	같은 주제: 클라우드 보안, 방화벽 / 네트워크 분리, 제로 트러스트
PR.IR-02	The organization's technology assets are protected from environmental threats	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations	대응표	4.1 4.2 4.3	같은 주제: 비즈니스 연속성, 재해 복구
PR.PS-01	Configuration management practices are established and applied	대응표	6.1 6.3	같은 주제: 클라우드 보안, 보안 구성
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk	대응표	6.6	같은 주제: 패치 관리
PR.PS-04	Log records are generated and made available for continuous monitoring	대응표	3.2	같은 주제: 로깅 및 감사
PR.PS-05	Installation and execution of unauthorized software are prevented	대응표	6.9	같은 주제: 엔드포인트 보호
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle	대응표	6.2	같은 주제: 보안 개발
Recover (RC) · 8
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders	대응표	4.3	같은 주제: 커뮤니케이션 및 복구
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging	대응표	4.3	같은 주제: 커뮤니케이션 및 복구
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process	대응표	4.1	같은 주제: 복구 계획 수립
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed	대응표	4.1 4.2	같은 주제: 복구 계획 수립, 재해 복구
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration	대응표	4.2	같은 주제: 백업 및 복구
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms	대응표	4.1 4.3	같은 주제: 비즈니스 연속성
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed	대응표	4.1 4.2 4.3	같은 주제: 재해 복구, 커뮤니케이션 및 복구
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed	대응표	3.6	같은 주제: 교훈 도출
Respond (RS) · 11
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident	대응표	3.5	같은 주제: 포렌식
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved	대응표	3.5	같은 주제: 포렌식
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved	대응표	3.5	같은 주제: 포렌식
RS.CO-02	Internal and external stakeholders are notified of incidents	대응표	3.3	같은 주제: 보고
RS.CO-03	Information is shared with designated internal and external stakeholders	대응표	4.3	같은 주제: 커뮤니케이션
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared	대응표	3.1 3.5	같은 주제: 사고 대응
RS.MA-02	Incident reports are triaged and validated	대응표	3.1 3.5	같은 주제: 사고 대응
RS.MA-03	Incidents are categorized and prioritized	대응표	3.1 3.5	같은 주제: 사고 대응
RS.MA-04	Incidents are escalated or elevated as needed	대응표	3.1 3.5	같은 주제: 사고 대응
RS.MI-01	Incidents are contained	대응표	3.5	같은 주제: 완화
RS.MI-02	Incidents are eradicated	대응표	3.5	같은 주제: 완화

주제별

양쪽 모두 포함 (43):

NIST CSF 2.0만 해당 (7):

사업 환경 위협 인텔리전스 웹 보안 모바일 보안 DNS 보안 WAF API 보안

요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.

대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.