역할 및 책임
사이버보안 역할, 책임 및 권한을 정의합니다.
역할 및 책임은 NIST CSF 2.0의 GV.RR-01 (Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving); GV.RR-02 (Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced); GV.RR-03 (Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies) 결과들로 정의됩니다. 대응표 ISO 27001, PCI DSS, 800-53, HIPAA 및 NIS2의 공개 크로스워크를 통해 매핑됨. 편집 콘텐츠 SOC 2, GDPR, DORA 및 CPS 234에 편집 방식으로 매핑됨. CIS v8.1에서 느슨하게만 관련됨. 보유 데이터에 매핑 없음 보유 데이터에 CMMC, Essential Eight 및 Cyber Essentials에 대한 매핑이 없습니다.
| 프레임워크 | 요구사항 | 제목 | 링크 | 출처 / 사유 |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.RR-01GV.RR-02GV.RR-03 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving; Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced; Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | 주제 정의 | GV.RR-01 GV.RR-02 GV.RR-03 |
| ISO 27001 | A.5.2A.5.4 | Information security roles and responsibilities; Management responsibilities | 대응표 | A.5.2: via GV.RR-02; NIST 800-53 map: PM-2, PM-29 A.5.4: via GV.RR-01 |
| CIS v8.1 | CIS 14.1CIS 14.9 | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(GV.RR-01, GV.RR-02, GV.RR-03)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| SOC 2 | CC1.3CC1.2CC1.5 | Structures, reporting lines, authorities and responsibilities; Board independence and oversight of internal control; Accountability for internal control responsibilities | 편집 콘텐츠 | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.312.1.4 | Security roles and responsibilities defined; Executive responsibility for information security assigned | 대응표 | 12.1.3: via GV.RR-01; GV.RR-02 12.1.4: via GV.RR-01; GV.RR-03 |
| CMMC | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 CMMC 요구사항이 없습니다. |
| 800-53 | PM-2PS-9PM-29 | Information Security Program Leadership Role; Position Descriptions; Risk Management Program Leadership Roles | 대응표 | PM-2: via GV.RR-01; GV.RR-02 PS-9: Position descriptions must state security and privacy roles and responsibilities; NIST links PS-9 only to GV.RR-04 (HR practices), but it is the 800-53 control that writes roles down. PM-29: via GV.RR-01; GV.RR-02 |
| HIPAA | §164.308(a)(2) | Assigned Security Responsibility | 대응표 | §164.308(a)(2): via NIST HIPAA map: PM-2 |
| GDPR | Art.37(1)Art.39(1) | Designation of the data protection officer; Tasks of the data protection officer | 편집 콘텐츠 | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.2 | Roles, responsibilities and authorities | 대응표 | 1.2: via GV.RR-02; ENISA ISO map: A.5.2, A.5.4 |
| Essential Eight | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Essential Eight 요구사항이 없습니다. |
| DORA | Art.5(2)(c)Art.6(4)Art.5(3) | Governance and organisation; ICT risk management framework; Governance and organisation | 편집 콘텐츠 | Art.5(2)(c): The management body sets clear roles and responsibilities for all ICT-related functions. Art.6(4): An independent control function manages and oversees ICT risk, with segregated risk, control and audit functions. Art.5(3): A role, or a senior manager, monitors arrangements with ICT third-party service providers. |
| CPS 234 | Para 13Para 14 | Board ultimately responsible for information security; Define information security roles and responsibilities | 편집 콘텐츠 | Para 13: The Board is ultimately responsible for information security. Para 14: Clearly define information security roles and responsibilities, from the Board to operations. |
| Cyber Essentials | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Cyber Essentials 요구사항이 없습니다. |
주제 정의 이 주제를 정의하는 CSF 2.0 결과 · 대응표 공개된 크로스워크로 뒷받침되는 항목을 최소 하나 이상 선택 · 편집 콘텐츠 ControlMapping의 판단과 사유 · 매핑되지 않음, 이 주제의 CSF 성과만 공유함 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 방법론.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
매핑이 잘못되었거나 누락되었나요? 신고하기
역할 및 책임 소개
사이버보안 역할과 책임이 명확하게 정의되어 있으면 조직 전반에서 책임 소재가 분명해지고 보안 커버리지의 공백을 방지할 수 있습니다. 여기에는 CISO 또는 이에 상응하는 리더 지정, 시스템 소유자의 보안 책임 정의, 보안 위원회 구성, 보안 결정에 대한 에스컬레이션 경로 문서화가 포함됩니다. 역할 명확성은 인시던트 발생 시 특히 중요합니다. 권한에 대한 모호함은 대응 시간을 지연시키고 피해 범위를 키울 수 있기 때문입니다.