자주 묻는 질문

ControlMapping 사용법

ControlMapping이란 무엇인가요?

14 프레임워크(NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, GDPR, NIST SP 800-53, CIS Controls, Essential Eight) 간에 어떤 보안 요구사항이 서로 대응되는지 보여주는 무료 참조 자료입니다. 1,421 요구사항을 다루며, 이를 50 보안 주제로 묶고, 모든 링크에 그 출처를 표시합니다.

격차 분석은 어떻게 실행하나요?

격차 분석 페이지를 열고 현재 보유한 프레임워크와 필요한 프레임워크를 선택하세요. 필요한 프레임워크의 모든 요구사항이 매핑됨(공개된 대응표 또는 저희의 편집 판단 기준), 느슨하게 관련됨, 보유 데이터에 매핑 없음 중 하나로 표시됩니다. 매핑이 없는 항목이 신규 작업일 가능성이 높습니다. 결과를 CSV로 내보내면 담당자, 상태, 증빙 열이 비어 있는 상태로 추적용 도구에 활용할 수 있습니다.

기호는 무엇을 의미하나요?

대응표 (채워진 사각형): 공개된 대응표(NIST, ENISA, CIS 또는 PCI SSC 제공)가 해당 연결을 보여줍니다. 편집 콘텐츠 (테두리만 있는 사각형): 공개된 대응표가 없는 경우 저희의 판단으로 연결한 것이며, 그 이유를 항상 표시합니다. 느슨하게 관련됨 (호박색 고리): 두 항목이 NIST CSF 2.0 결과(outcome)를 일부만 공유하므로, 의존하기 전에 확인이 필요합니다. 보유 데이터에 매핑 없음 (대시): 대체로 신규 작업이지만, 일부 프레임워크는 적용 범위가 부분적입니다. 주제를 정의하는 CSF 결과에는 다이아몬드 표시가 붙습니다. 자세한 내용은 방법론을 참조하세요.

주제란 무엇인가요?

암호화, 다중 인증, 인시던트 대응 등과 같은 보안 영역입니다. 각 주제는 NIST CSF 2.0 결과로 정의되며, 이를 다루는 모든 프레임워크의 요구사항을 나열합니다. 주제 페이지는 여러 프레임워크에 걸쳐 하나의 보안 영역을 한눈에 살펴보는 가장 빠른 방법입니다.

데이터를 내려받을 수 있나요?

예. 다운로드 페이지에서 전체 대응표를 CSV, Excel, JSON 형식으로 CC BY 4.0 라이선스에 따라 받을 수 있습니다. 제3자 자료의 라이선스는 각 파일에 표시되어 있습니다.

ControlMapping은 무료인가요?

예. 계정이 필요 없고 유료 장벽도 없습니다. 데이터는 CC BY 4.0에 따라 무료로 재사용할 수 있습니다.

정확성과 출처

매핑은 얼마나 정확한가요?

모든 요구사항 ID는 사이트 빌드 시 해당 프레임워크의 공식 목록과 대조하여 확인되며, 폐지된 ID는 빌드를 실패하게 합니다. 대응표로 표시된 링크는 공개된 대응표에서 가져온 것이고, 편집 콘텐츠로 표시된 링크는 저희의 판단이며 각각 이유가 함께 제시됩니다. 대응표는 요구사항들이 관련된 결과를 다룬다는 것을 보여줄 뿐, 한 요구사항을 충족하면 다른 요구사항도 충족된다는 의미는 아닙니다. 따라서 이 사이트는 계획 수립에 활용하고, 감사에 의존하기 전에 반드시 원문으로 확인하세요.

대응표는 어디에서 가져오나요?

NIST(CSF 2.0 참조 정보, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 부록 D), ENISA(NIS2 → ISO 27001 및 CSF 2.0), CIS(CIS Controls → CSF 2.0), PCI SSC(PCI DSS → CSF 2.0)가 제공합니다. SOC 2, GDPR, Essential Eight에는 공개 라이선스 대응표가 없으므로 해당 링크는 편집 콘텐츠입니다. 각 출처와 버전은 방법론에 명시되어 있습니다.

ISO, PCI 또는 SOC 2 요구사항의 전문을 왜 볼 수 없나요?

해당 텍스트는 ISO, PCI SSC, AICPA의 저작권이 적용됩니다. 저희는 ID, ISO의 제목, 그리고 PCI DSS와 SOC 2에 대한 저희 자체 간략 요약을 보여줍니다. NIST, HIPAA, NIS2, Essential Eight 텍스트는 라이선스가 허용하는 범위에서 표시됩니다.

오류를 발견했어요. 어떻게 신고하나요?

요구사항 페이지 어디에서든 오류 신고 링크를 사용하거나 소개 페이지를 참조하세요.

프레임워크

SOC 2와 ISO 27001의 차이점은 무엇인가요?

ISO 27001은 정보보안 경영시스템에 대한 인증서로 마무리되며, 공인 인증기관이 발급하고 3년간 유효합니다. SOC 2는 보고서로 마무리되며, CPA 법인이 일정 기간(Type II의 경우 보통 3~12개월) 동안 귀사의 통제에 대해 내리는 의견입니다. 두 기준의 보안 통제는 상당 부분 겹칩니다. ISO는 경영시스템을 추가하고, SOC 2는 선택 사항인 가용성, 기밀성, 처리 무결성, 개인정보 보호 기준을 추가합니다. ISO 27001 vs SOC 2를 참조하세요.

SOC 2 Type I과 Type II 중 무엇이 필요한가요?

대부분의 고객은 Type II를 요구합니다. Type II는 일정 기간 동안 통제가 실제로 운영되었는지를 검증합니다. Type I은 특정 시점의 설계만 다루며, Type II 기간이 진행되는 동안 첫 단계로 유용합니다. SOC 2 가이드를 참조하세요.

ISO 27001 인증으로 NIS2를 충족할 수 있나요?

그것만으로는 충분하지 않습니다. ENISA는 NIS2 시행규정의 모든 기술적 조치를 ISO 27001에 매핑했으므로, 인증을 받은 조직은 상당 부분의 작업을 이미 마친 상태입니다. 그러나 NIS2는 인시던트 보고 기한(24시간, 72시간, 1개월), 경영진의 교육 및 책임, 국가 당국에 대한 등록을 추가로 요구합니다. NIS2 가이드를 참조하세요.

NIST CSF와 NIST SP 800-53의 차이점은 무엇인가요?

CSF 2.0은 결과(하위범주 106개)를 설명하며, 대부분의 조직에게 자발적으로 적용됩니다. SP 800-53은 그러한 결과를 달성하는 통제 카탈로그이며, 미국 연방 시스템에 의무적으로 적용되고 FedRAMP의 기반이 됩니다. NIST는 두 문서 간의 공식 매핑을 공개하고 있으며, 이 사이트도 이를 사용합니다.

CMMC Level 2는 누구에게 필요한가요?

통제된 비기밀 정보(Controlled Unclassified Information, CUI)를 취급하는 미국 국방부(DoD) 계약업체 및 하위 계약업체입니다. Level 2는 NIST SP 800-171 Rev 2의 110개 요구사항으로 구성되며, 자체 평가 또는 대부분의 CUI 계약에서는 공인 제3자 평가기관(C3PAO)의 평가로 검증합니다.

NIST CSF, HIPAA 또는 Essential Eight에 대한 인증이 있나요?

공식 인증은 없습니다. NIST CSF와 Essential Eight은 인증이 아니라 평가를 받으며, HIPAA는 HHS의 민권국(Office for Civil Rights)이 집행합니다. 세 가지 모두 제3자 확인서가 존재하지만, 어느 것도 공식 인증서는 아닙니다.