패치 관리
보안 패치를 통해 시스템과 소프트웨어를 최신 상태로 유지합니다.
패치 관리은 NIST CSF 2.0의 PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk) 결과로 정의됩니다. 대응표 ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 및 NIS2의 공개 크로스워크를 통해 매핑됨. 편집 콘텐츠 SOC 2, Essential Eight, DORA 및 Cyber Essentials에 편집 방식으로 매핑됨. HIPAA에서 느슨하게만 관련됨. 보유 데이터에 매핑 없음 보유 데이터에 GDPR 및 CPS 234에 대한 매핑이 없습니다.
| 프레임워크 | 요구사항 | 제목 | 링크 | 출처 / 사유 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | 주제 정의 | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | 대응표 | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | 대응표 | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | 편집 콘텐츠 | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | 대응표 | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | 대응표 | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | 대응표 | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(PR.PS-02)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| GDPR | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 GDPR 요구사항이 없습니다. |
| NIS2 | 6.6 | Security patch management | 대응표 | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | 편집 콘텐츠 | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | 편집 콘텐츠 | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 CPS 234 요구사항이 없습니다. |
| Cyber Essentials | CE 3 | Security Update Management | 편집 콘텐츠 | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
주제 정의 이 주제를 정의하는 CSF 2.0 결과 · 대응표 공개된 크로스워크로 뒷받침되는 항목을 최소 하나 이상 선택 · 편집 콘텐츠 ControlMapping의 판단과 사유 · 매핑되지 않음, 이 주제의 CSF 성과만 공유함 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 방법론.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
매핑이 잘못되었거나 누락되었나요? 신고하기
패치 관리 소개
패치 관리는 알려진 취약점을 해결하기 위해 운영체제, 애플리케이션, 펌웨어 및 서드파티 소프트웨어에 대한 보안 업데이트를 식별, 테스트, 배포하는 체계적인 절차입니다. 기한은 프레임워크마다 다릅니다. PCI DSS는 중요 및 고위험 보안 패치를 출시 후 1개월 이내에 적용하도록 요구하고(6.3.3), Essential Eight는 성숙도 수준별로 고정된 기한을 정하며, 그 밖의 대부분의 프레임워크는 위험 기반 기한을 정의하고 운영 환경 적용 전에 패치를 테스트하도록 요구합니다. 정확한 자산 목록과 결합된 자동화된 패치 관리 도구는 포괄적인 적용 범위를 확보하고 알려진 익스플로잇에 노출되는 기간을 줄이는 데 도움이 됩니다.