제로 트러스트
제로 트러스트 구현 -- 절대 신뢰하지 말고, 항상 검증하라.
제로 트러스트은 NIST CSF 2.0의 PR.AA-03 (Users, services, and hardware are authenticated); PR.AA-04 (Identity assertions are protected, conveyed, and verified); PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage) 결과들로 정의됩니다. 대응표 ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 및 NIS2의 공개 크로스워크를 통해 매핑됨. 편집 콘텐츠 SOC 2에 편집 방식으로 매핑됨. HIPAA에서 느슨하게만 관련됨. 보유 데이터에 매핑 없음 보유 데이터에 GDPR, Essential Eight, DORA, CPS 234 및 Cyber Essentials에 대한 매핑이 없습니다.
| 프레임워크 | 요구사항 | 제목 | 링크 | 출처 / 사유 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03PR.AA-04PR.AA-05PR.IR-01 | Users, services, and hardware are authenticated; Identity assertions are protected, conveyed, and verified; Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties… | 주제 정의 | PR.AA-03 PR.AA-04 PR.AA-05 PR.IR-01 |
| ISO 27001 | A.5.15A.8.5A.8.22 | Access control; Secure authentication; Segregation of networks | 대응표 | A.5.15: via PR.AA-03; PR.AA-05; NIST 800-53 map: AC-3, AC-6 A.8.5: via PR.AA-03; PR.AA-05 A.8.22: via PR.IR-01; NIST 800-53 map: AC-4 |
| CIS v8.1 | CIS 6.8CIS 12.2CIS 12.7CIS 13.5 | Define and Maintain Role-Based Access Control; Establish and Maintain a Secure Network Architecture; Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure… | 대응표 | CIS 6.8: via PR.AA-05 CIS 12.2: via PR.IR-01 CIS 12.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): remote devices connect through VPN and enterprise AAA. CIS 13.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): access control for remote assets. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | 편집 콘텐츠 | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.18.3.1 | Access control model defined; User and admin access requires an authentication factor | 대응표 | 7.2.1: via PR.AA-05 8.3.1: via PR.AA-03 |
| CMMC | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6 | Authorized Access Control; Boundary Protection; Network Communication by Exception | 대응표 | AC.L2-3.1.1: via 800-171r3 03.01.01 ↔ PR.AA-05; 800-171r2 Appendix D → AC-3 SC.L2-3.13.1: via 800-171r3 03.13.01 ↔ PR.IR-01 SC.L2-3.13.6: via 800-171r3 03.13.06 ↔ PR.IR-01 |
| 800-53 | AC-3AC-4IA-2AC-6 | Access Enforcement; Information Flow Enforcement; Identification and Authentication (Organizational Users)… | 대응표 | AC-3: via PR.AA-05; PR.IR-01 AC-4: via PR.IR-01 IA-2: via PR.AA-03 AC-6: via PR.AA-05 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(PR.AA-03, PR.AA-04, PR.AA-05, PR.IR-01)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| GDPR | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 GDPR 요구사항이 없습니다. |
| NIS2 | 6.811.111.6 | Network segmentation; Access control policy; Authentication | 대응표 | 6.8: via PR.IR-01; ENISA ISO map: A.8.22 11.1: via PR.AA-05; ENISA ISO map: A.5.15 11.6: via PR.AA-03; PR.AA-05 |
| Essential Eight | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Essential Eight 요구사항이 없습니다. |
| DORA | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 DORA 요구사항이 없습니다. |
| CPS 234 | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 CPS 234 요구사항이 없습니다. |
| Cyber Essentials | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Cyber Essentials 요구사항이 없습니다. |
주제 정의 이 주제를 정의하는 CSF 2.0 결과 · 대응표 공개된 크로스워크로 뒷받침되는 항목을 최소 하나 이상 선택 · 편집 콘텐츠 ControlMapping의 판단과 사유 · 매핑되지 않음, 이 주제의 CSF 성과만 공유함 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 방법론.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
매핑이 잘못되었거나 누락되었나요? 신고하기
제로 트러스트 소개
제로 트러스트 아키텍처는 어떤 사용자, 장치, 네트워크 세그먼트도 암묵적으로 신뢰해서는 안 된다는 원칙에 따라 작동하며, 모든 접근 요청마다 신원과 권한을 지속적으로 검증할 것을 요구합니다. 구현에는 마이크로 세그멘테이션, 신원 인식 프록시, 장치 자세 점검, 최소 권한 접근 정책, 그리고 출처와 관계없이 모든 네트워크 트래픽에 대한 지속적인 모니터링이 포함됩니다. 제로 트러스트를 도입하는 조직은 단계적 접근 방식을 택하는 것이 좋습니다. 먼저 신원 검증과 MFA부터 시작하고, 아키텍처가 성숙해짐에 따라 네트워크 세그멘테이션과 워크로드 격리로 확장하는 방식입니다.