API 보안
인증, 속도 제한, 입력 검증 및 모니터링을 통해 API를 보호합니다.
API 보안은 NIST CSF 2.0의 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage) 결과들로 정의됩니다. 대응표 ISO 27001, PCI DSS 및 800-53의 공개 크로스워크를 통해 매핑됨. 편집 콘텐츠 CIS v8.1에 편집 방식으로 매핑됨. CMMC, HIPAA 및 NIS2에서 느슨하게만 관련됨. 보유 데이터에 매핑 없음 보유 데이터에 SOC 2, GDPR, Essential Eight, DORA, CPS 234 및 Cyber Essentials에 대한 매핑이 없습니다.
| 프레임워크 | 요구사항 | 제목 | 링크 | 출처 / 사유 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | 주제 정의 | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | 대응표 | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | 편집 콘텐츠 | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 SOC 2 요구사항이 없습니다. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | 대응표 | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(PR.PS-06, PR.AA-03, PR.IR-01)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | 대응표 | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(PR.PS-06, PR.AA-03, PR.IR-01)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| GDPR | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 GDPR 요구사항이 없습니다. |
| NIS2 | 6.211.611.76.76.8 | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(PR.PS-06, PR.AA-03, PR.IR-01)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| Essential Eight | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Essential Eight 요구사항이 없습니다. |
| DORA | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 DORA 요구사항이 없습니다. |
| CPS 234 | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 CPS 234 요구사항이 없습니다. |
| Cyber Essentials | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Cyber Essentials 요구사항이 없습니다. |
주제 정의 이 주제를 정의하는 CSF 2.0 결과 · 대응표 공개된 크로스워크로 뒷받침되는 항목을 최소 하나 이상 선택 · 편집 콘텐츠 ControlMapping의 판단과 사유 · 매핑되지 않음, 이 주제의 CSF 성과만 공유함 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 방법론.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
매핑이 잘못되었거나 누락되었나요? 신고하기
API 보안 소개
API 보안은 조직이 시스템 연동, 모바일 애플리케이션, 파트너 연결을 위해 API에 점점 더 의존함에 따라, 애플리케이션 프로그래밍 인터페이스를 악용, 무단 접근, 데이터 노출로부터 보호합니다. 핵심 통제 항목으로는 OAuth 2.0 또는 API 키 인증 구현, 악용을 방지하기 위한 속도 제한 및 스로틀링 적용, 인젝션 공격을 방지하기 위한 모든 입력 값 검증, 모니터링 및 포렌식 목적의 API 호출 로깅이 포함됩니다. 조직은 모든 API에 대한 완전한 목록을 유지하고, OWASP API Security Top 10에 맞춰 정기적인 API 보안 테스트를 수행하며, 인증, 권한 부여, 트래픽 관리를 중앙에서 처리하는 API 게이트웨이를 구현해야 합니다.