접근 통제
물리적 및 논리적 자산에 대한 신원과 접근을 관리합니다.
접근 통제은 NIST CSF 2.0의 PR.AA-01 (Identities and credentials for authorized users, services, and hardware are managed by the organization); PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties) 결과들로 정의됩니다. 대응표 ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA 및 NIS2의 공개 크로스워크를 통해 매핑됨. 편집 콘텐츠 SOC 2, GDPR, DORA 및 Cyber Essentials에 편집 방식으로 매핑됨. 보유 데이터에 매핑 없음 보유 데이터에 Essential Eight 및 CPS 234에 대한 매핑이 없습니다.
| 프레임워크 | 요구사항 | 제목 | 링크 | 출처 / 사유 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-01PR.AA-05 | Identities and credentials for authorized users, services, and hardware are managed by the organization; Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | 주제 정의 | PR.AA-01 PR.AA-05 |
| ISO 27001 | A.5.15A.5.16A.5.18A.8.3 | Access control; Identity management; Access rights… | 대응표 | A.5.15: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-3 A.5.16: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-2 A.5.18: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-2 A.8.3: via PR.AA-05; NIST 800-53 map: AC-3 |
| CIS v8.1 | CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5 | Establish and Maintain an Inventory of Accounts; Establish an Access Granting Process; Establish an Access Revoking Process… | 대응표 | CIS 5.1: via PR.AA-01; PR.AA-05 CIS 6.1: Access granting process: the core CIS access-control safeguard; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.2: Access revoking process; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.7: via PR.AA-01 CIS 6.8: via PR.AA-05 CIS 3.3: via PR.AA-05 CIS 5.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): unique passwords for every account. CIS 5.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): disable dormant accounts. CIS 5.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of service accounts. CIS 5.6: via PR.AA-01 CIS 6.6: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of authentication and authorisation systems. CIS 12.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): centralised network authentication, authorisation and auditing (AAA). |
| SOC 2 | CC6.1CC6.2CC6.3 | Logical access security over information assets; User registration, authorization and removal; Role-based access, least privilege and segregation of duties | 편집 콘텐츠 | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.17.2.27.2.48.2.1 | Access control model defined; Access assigned by job function and least privilege; User accounts and privileges reviewed every six months… | 대응표 | 7.2.1: via PR.AA-05 7.2.2: via PR.AA-05 7.2.4: via PR.AA-05 8.2.1: via PR.AA-01 |
| CMMC | AC.L2-3.1.1AC.L2-3.1.2 | Authorized Access Control; Transaction & Function Control | 대응표 | AC.L2-3.1.1: via 800-171r3 03.01.01 ↔ PR.AA-01, PR.AA-05 → AC-2; 800-171r2 Appendix D → AC-2, AC-3 AC.L2-3.1.2: via 800-171r3 03.01.02 ↔ PR.AA-05 → AC-3; 800-171r2 Appendix D → AC-2, AC-3 |
| 800-53 | AC-2AC-3 | Account Management; Access Enforcement | 대응표 | AC-2: via PR.AA-01; PR.AA-05 AC-3: via PR.AA-05 |
| HIPAA | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d) | Information Access Management; Access Control; Unique User Identification… | 대응표 | §164.308(a)(4): via NIST HIPAA map: AC-2 §164.312(a): via NIST HIPAA map: AC-3 §164.312(a)(2)(i): via NIST HIPAA map: AC-2, AC-3 §164.312(d): Person or entity authentication: verify that whoever seeks access to ePHI is who they claim. It requires authentication, not specifically multi-factor. |
| GDPR | Art.25(2)Art.32(1)(b) | Data protection by design and by default; Security of processing | 편집 콘텐츠 | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 11.111.211.5 | Access control policy; Management of access rights; Identification | 대응표 | 11.1: via PR.AA-05; ENISA ISO map: A.5.15, A.8.3 11.2: via PR.AA-05; ENISA ISO map: A.5.18 11.5: via PR.AA-01; PR.AA-05; ENISA ISO map: A.5.16 |
| Essential Eight | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Essential Eight 요구사항이 없습니다. |
| DORA | Art.9(4)(c) | Protection and prevention | 편집 콘텐츠 | Art.9(4)(c): Limit physical and logical access to what legitimate, approved functions require, with sound administration of access rights. |
| CPS 234 | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 CPS 234 요구사항이 없습니다. |
| Cyber Essentials | CE 4 | User Access Control | 편집 콘텐츠 | CE 4: Approved accounts only, unique credentials, only the access each role needs, and accounts removed when no longer needed. |
주제 정의 이 주제를 정의하는 CSF 2.0 결과 · 대응표 공개된 크로스워크로 뒷받침되는 항목을 최소 하나 이상 선택 · 편집 콘텐츠 ControlMapping의 판단과 사유 · 매핑되지 않음, 이 주제의 CSF 성과만 공유함 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 방법론.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
매핑이 잘못되었거나 누락되었나요? 신고하기
접근 통제 소개
접근 통제는 최소 권한 원칙과 알 필요가 있는 정보에만 접근하게 하는 원칙을 적용하여, 승인된 사용자, 장치, 프로세스만 조직의 자원에 접근할 수 있도록 보장합니다. 핵심 구현 요소에는 신원 수명주기 관리, 역할 기반 접근 통제(RBAC), 정기적인 접근 검토 및 재인증 캠페인, 자동화된 계정 생성 및 삭제 워크플로가 포함됩니다. 강력한 접근 통제는 측면 이동(lateral movement) 기회를 제한하고 민감한 시스템과 데이터에 대한 무단 접근을 차단함으로써 공격 표면을 줄입니다.