보안 구성
자산에 대한 보안 구성을 수립하고 지속적으로 유지한다.
보안 구성은 NIST CSF 2.0의 PR.PS-01 (Configuration management practices are established and applied) 결과로 정의됩니다. 대응표 ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 및 NIS2의 공개 크로스워크를 통해 매핑됨. 편집 콘텐츠 SOC 2, Essential Eight 및 Cyber Essentials에 편집 방식으로 매핑됨. HIPAA에서 느슨하게만 관련됨. 보유 데이터에 매핑 없음 보유 데이터에 GDPR, DORA 및 CPS 234에 대한 매핑이 없습니다.
| 프레임워크 | 요구사항 | 제목 | 링크 | 출처 / 사유 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-01 | Configuration management practices are established and applied | 주제 정의 | PR.PS-01 |
| ISO 27001 | A.8.9 | Configuration management | 대응표 | A.8.9: via PR.PS-01; NIST 800-53 map: CM-2, CM-6 |
| CIS v8.1 | CIS 4.1CIS 4.2CIS 4.3CIS 4.6CIS 4.7CIS 4.8CIS 16.7 | Establish and Maintain a Secure Configuration Process; Establish and Maintain a Secure Configuration Process for Network Infrastructure; Configure Automatic Session Locking on Enterprise Assets… | 대응표 | CIS 4.1: via PR.PS-01 CIS 4.2: via PR.PS-01 CIS 4.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): automatic session locking. CIS 4.6: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): secure management of assets and software. CIS 4.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): manage default accounts. CIS 4.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): remove or disable unnecessary services. CIS 16.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): standard hardening templates for application infrastructure. |
| SOC 2 | CC7.1CC5.2 | Detecting configuration changes and new vulnerabilities; General controls over technology | 편집 콘텐츠 | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 2.2.12.2.2 | System configuration standards developed and maintained; Vendor default accounts managed or removed | 대응표 | 2.2.1: via PR.PS-01 2.2.2: via PR.PS-01 |
| CMMC | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6CM.L2-3.4.7 | System Baselining; Security Configuration Enforcement; Least Functionality… | 대응표 | CM.L2-3.4.1: via 800-171r3 03.04.01 ↔ PR.PS-01 → CM-2; 800-171r2 Appendix D → CM-2, CM-6 CM.L2-3.4.2: via 800-171r3 03.04.02 ↔ PR.PS-01 → CM-6; 800-171r2 Appendix D → CM-2, CM-6 CM.L2-3.4.6: via 800-171r3 03.04.06 ↔ PR.PS-01 → CM-7; 800-171r2 Appendix D → CM-7 CM.L2-3.4.7: via 800-171r3 03.04.08 ↔ PR.PS-01 → CM-7; 800-171r3 03.04.06 ↔ PR.PS-01 → CM-7; 800-171r2 Appendix D → CM-7 |
| 800-53 | CM-2CM-6CM-7 | Baseline Configuration; Configuration Settings; Least Functionality | 대응표 | CM-2: via PR.PS-01 CM-6: via PR.PS-01 CM-7: via PR.PS-01 |
| HIPAA | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)§164.316(b)(2)(iii) | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(PR.PS-01)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| GDPR | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 GDPR 요구사항이 없습니다. |
| NIS2 | 6.3 | Configuration management | 대응표 | 6.3: via PR.PS-01; ENISA ISO map: A.8.9 |
| Essential Eight | ISM-1654ISM-1859ISM-1412ISM-1860ISM-1621ISM-1585 | Internet Explorer 11 is disabled or removed; Office productivity suites are hardened using ASD and vendor hardening guidance, with…; Web browsers are hardened using ASD and vendor hardening guidance, with the most…… | 편집 콘텐츠 | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 DORA 요구사항이 없습니다. |
| CPS 234 | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 CPS 234 요구사항이 없습니다. |
| Cyber Essentials | CE 2 | Secure Configuration | 편집 콘텐츠 | CE 2: Remove unnecessary accounts and software, change default passwords, disable auto-run, and require authentication and device locking. |
주제 정의 이 주제를 정의하는 CSF 2.0 결과 · 대응표 공개된 크로스워크로 뒷받침되는 항목을 최소 하나 이상 선택 · 편집 콘텐츠 ControlMapping의 판단과 사유 · 매핑되지 않음, 이 주제의 CSF 성과만 공유함 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 방법론.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
매핑이 잘못되었거나 누락되었나요? 신고하기
보안 구성 소개
보안 구성 관리는 서버, 워크스테이션, 네트워크 장비 및 애플리케이션에 대해 강화된 기준 구성을 수립하는 활동으로, 불필요한 서비스, 포트 및 프로토콜을 비활성화하여 공격 표면을 최소화한다. 조직은 CIS Benchmarks 또는 DISA STIGs와 같이 업계에서 인정받는 벤치마크를 채택하고, 구성 관리 플랫폼 및 그룹 정책과 같은 자동화 도구를 통해 구성을 적용하며, 구성 드리프트를 모니터링해야 한다. 정기적인 구성 감사를 통해 시스템이 규정 준수 상태를 유지하고 모든 변경이 적절한 변경 관리 절차를 거치는지 확인할 수 있다.